Im Verlauf der letzten zehn Jahre ist eine verschlüsselte Kommunikation im Browser weitgehend zum Standard geworden. Inzwischen warnen Firefox, Chrome und Safari standardmäßig, wenn Nutzer eine Web-Seite ohne Verschlüsselung (und aktuelles passendes Zertifikat) aufrufen. Nun hat Apple vorgeschlagen, die Gültigkeitsdauer entsprechender Zertifikate schrittweise zu reduzieren. Bis September 2027 soll die aktuelle maximale Validität von 398 Tagen auf 45 reduziert werden, wenn Apples Vorschlag angenommen wird. Server-Administratoren befürchten zusätzliche (in ihren Augen unnötige) Arbeit, andere stellen sich hinter Apples Vorschlag.


Der Änderungsvorschlag findet sich auf GitHub und wird dort umfangreich diskutiert; auch auf Reddit findet sich ein entsprechender Thread. Ein betroffener Administrator argumentiere, dass er zwanzig Dienste betreue, bei denen die Erneuerung des Zertifikats ein manueller Prozess sei. Andere halten dagegen, dass Initiativen wie ACME und LetsEncrypt die Erneuerung von Zertifikaten in vielen Anwendungsfällen automatisieren. Durch die entsprechende Vorlaufzeit würde ein industrieweiter Druck entstehen, entsprechende Routinen zusätzlich in weitere Bereiche der Web-Infrastruktur zu integrieren.

Höhere Sicherheit, aber mehr Aufwand
Zertifikate haben zwar eine maximale Gültigkeitsdauer, können jedoch individuell zurückgezogen werden (revocation). Einige Stimmen geben zu bedenken, es sei besser, auf diese gezielte Maßnahme zurückzugreifen, anstatt alle Server in die Pflicht zu nehmen. Dagegen wird die Beobachtung gehalten, dass weit verbreitete Browser einen „revocation check“ nicht zuverlässig ausführten.

(Erneute) Monopolisierung der Zertifikatvergabe?
Wiederum andere äußern die Befürchtung, dass auf diese Weise die Vergabe von Zertifikaten nur noch mithilfe großer Plattformen möglich sei, namentlich Cloudflare, Azure, AWS und LetsEncrypt. Manche freuen sich stattdessen über die gestiegene Job-Sicherheit – niemand sonst in ihrer Firma sei in der Lage, die Komplexität einer Zertifikatsverwaltung zu durchschauen. Google, Hersteller des am weitesten verbreiteten Browsers, hat sich in Vergangenheit für eine Verkürzung der Zertifikatslaufzeit ausgesprochen.

Viele Stimmen – aber keine klare Richtung
Betrachtet man allein die Emojis am ursprünglichen Änderungsantrag, ergibt sich ein gemischtes Bild: sechzig Daumen hoch, 77 Daumen runter, 12 Herzen und sechsmal eine Rakete. Der Vorschlag sieht eine einjährige Vorbereitungszeit vor, in der sich Server-Administratoren auf eine bevorstehende stufenweise Laufzeitverkürzung einstellen können. Die automatisierte Zertifikatsvergabe von LetsEncrypt, mit der unabhängige Webentwickler ihre Web-Kommunikation absichern können, erneuert Zertifikate derzeit automatisch nach 90 Tagen.