Sectigo 投票支持將 SSL 證書有效期上限設為一年

SSL行業整體呈現證書有效期逐步縮短的趨勢。早在2000年代，用戶還可以購買到SSL 證書有效期長達6年或8年的SSL證書。此後CABF逐步壓縮證書有效期，目前SSL證書的最長有效期為27個月。上一次有效期縮減於2018年初落地，若本次投票通過，下一輪縮減將於2020年4月生效。

支持縮短證書有效期的核心理由是：證書本身固有風險。密鑰被盜、合法簽發的證書被惡意濫用的可能性始終存在；證書頒發機構（CA）誤向錯誤主體簽發證書的概率雖低，但無法完全排除；此外，域名所有權可能發生變更，存在主體已失去域名控制權，但仍持有該域名有效證書一段時間的情況。

上述風險的發生概率都極低，絕大多數證書在整個有效期內都被合規合法使用，不存在實質安全隱患。但在其他條件相同的前提下，有效期越短的證書風險越低。Sectigo是受公眾信任、通過公根證書簽發與維護承擔數碼身份管理職責的企業之一，作為全球最大的商業公共證書頒發機構（CA），我們始終嚴肅履行自身責任，不會輕率對待任何可降低證書風險的機會。

反對縮短證書有效期的理由是：這會增加證書用戶（即依賴證書營運網站與伺服器的主體）的管理開銷。額外的管理工作不僅會增加證書管理員的時間成本與操作負擔，還會因出錯概率提升，帶來服務中斷或其他故障的風險。

近年的相關事件已印證TLS證書意外過期的潛在後果：2018年O2、軟銀等流動網絡營運商遭遇長達一天的服務中斷（超3200萬用戶無法使用服務，愛立信為此支付的SLA違約金預計達1億美元）；2017年Equifax數據泄露事件（美國45%人口的個人身份信息被盜，Equifax被處以7億美元罰款）——該事件尤具警示意義：證書過期導致一套本用於防範數據竊取的系統失效，最終直接引發了本次數據泄露。

我們同樣高度重視上述顧慮。作為公共證書頒發機構（CA），我們有責任充分了解客戶使用證書的實際方式，以及CABF規則變更在真實場景中的落地影響。我們需要在兩種極端之間尋求平衡：既不能採用過於嚴苛的安全規則阻礙企業正常使用數碼服務，也不能制定過於寬鬆的規則引入不可接受的風險。判定這個平衡點需要結合細緻的場景分析，以及對當前市場實際情況的全面掌握。

本次決策中一項非常重要的考量因素是自動化能力。過去我們與其他CA一直推動證書有效期逐步縮減，以盡可能降低服務中斷風險。在SSL成為主流計算範式的二十多年裡，絕大多數場景中證書部署、證書生命週期管理和續期的有效自動化方案都極為稀缺，「表格管理」是行業常態。在這種情況下，將證書有效期從兩年縮短為一年，相當於直接讓管理開銷和人為錯誤風險翻倍。

但當前情況正在發生變化。ACME（自動化證書管理環境）自動化協議的普及度極高，目前已有超1.5億個網站使用ACME協議，同時有數以百計的工具提供相關支持，ACME有能力重構證書自動化的格局。除此之外市場上還有其他自動化方案：SCEP（簡單證書註冊協議）、EST（安全傳輸註冊協議），以及Sectigo Certificate Manager等平台，都為有需求的用戶提供了更多選擇，幫助用戶實現證書管理自動化.

對於小型企業而言，其業務正逐步遷移至託管服務商或內容分發網絡，伺服器放置在辦公桌下的模式已基本成為歷史。這些大型專業的網站託管與分發服務可利用上述自動化方案，完全承接小型企業的證書管理負擔。

當然，目前自動化尚未實現全面普及。在2018/2019年美國政府停擺期間，我們觀察到大量服務及網站離線，就清晰反映我們在自動化落地方面仍有很長的路要走。不過自動化趨勢已具備極強的發展動能，我們預期這一趨勢將持續推進並逐步成熟。我們現正透過旗下的證書管理平台（Sectigo Certificate Manager與IoT Manager），以及我們對EFF旗下Certbot證書自動化工具的贊助，目標是將其功能範圍從單純DV 證書擴展至OV以及EV 證書場景。

我們預期自動化趨勢將持續發展。由於SC22提案（若通過）要到2020年4月才會生效，有關投票最早也要到2021年4月才會真正影響證書管理員的日常營運。這留給他們一年半的時間來評估及落實自動化解決方案。我們認為這個時間窗口足以納入任何合理的IT部門路線規劃，同時我們也鼓勵企業及政府機構由現在開始推進自身的自動化解決方案建設。