證書生命週期縮短對企業有何意義

過去數年，證書的有效期持續縮短，用作保障電郵安全、為電郵簽署的 S/MIME 證書曾是少數未受這股趨勢影響的證書類型，不過有關情況近期已經出現轉變。今年較早時，蘋果宣布計劃將 S/MIME 證書的有效期限制為398天，與網站證書的最長有效期看齊。此外，這項要求將會作為根儲存規則強制執行——也就是說對部分企業而言，不符合規定可能帶來嚴重後果。

甚麼是 S/MIME 證書？

安全/多用途互聯網郵件擴展（S/MIME）證書用作保障電子郵件通訊安全，以及為電郵簽署。其他電郵防護方式或許會透過掃描郵件內容識別可疑字句或連結，而 S/MIME 證書的作用是驗證寄件人身分。如果身分無法通過驗證，郵件會被標記為可疑。這套機制可切斷攻擊者與受害者的接觸渠道，協助企業和個人防範釣魚攻擊及其他社會工程學攻擊。

S/MIME 技術亦支援為通訊雙方的傳輸內容加密。有關機制可提供雙重安全保障：一方面確保收發的電郵真實可信、未被篡改，另一方面可防止惡意軟件在傳輸過程中攔截、竊取數據。

為甚麼要縮短證書生命週期？

從更廣泛的行業趨勢來看，蘋果這次公布並不令人意外。過去數年，隨着企業和各類服務陸續採用更安全、更靈活的公鑰基礎設施（PKI）方案，證書生命週期不斷縮短。蘋果計劃限制其電郵客戶端所用 S/MIME 證書的有效期，只是邁向更安全數碼環境進程中的又一步。

縮短證書有效期具備安全效益。證書需要更新的頻率越高，整體安全性往往越強，原因包括：

• 可更頻繁輪換安全密鑰，防範密鑰被盜的風險。

• 一旦密鑰外洩，攻擊者可利用的時間窗口更小。

• 惡意主體濫用合法簽發證書的機會更少。

• 不再需要的證書會自動失效。

• 可定期更新證書，套用最新的加密與安全機制。

簡單而言，縮短證書有效期可降低人為失誤、安全缺口或防護疏漏出現的機會。蘋果推動縮短 S/MIME 證書有效期，目的是推動整個行業採用更安全的電郵加密方案。

這項轉變對企業有哪些影響？

整體而言，S/MIME 證書有效期縮短基本上不會對證書頒發機構（CA）以外的企業造成影響。證書頒發機構（CA）需要調整自身規則以符合398天的有效期限制，否則可能被移出蘋果根儲存；至於一般企業或用戶基本上不會感受到有關影響，尤其是完整使用蘋果生態系統的用戶。唯一的例外是經由蘋果電郵客戶端過濾的收件郵件：如果收件郵件關聯的證書不符合新的有效期規則，有關郵件或寄件人可能會被標記為不可信。

想了解更多關於蘋果 S/MIME 證書有效期政策的內容，可收聽《Root Causes》播客第187期《蘋果限制 S/MIME 證書有效期.”