Lợi – Hại của việc rút ngắn thời hạn SSL/TLS

CA/B Forum là nơi các nhà phát hành chứng chỉ số và các nhà phát triển trình duyệt phối hợp để đặt ra chuẩn mực chung cho chứng chỉ số toàn cầu, nhằm duy trì một môi trường Internet an toàn, tin cậy và nhất quán. Gần đây khi CA/B Form đưa ra lộ trình ba giai đoạn thu hẹp thời hạn cặp khóa chứng chỉ số SSL,  có nhiều người cho rằng CA/B Forum thu hẹp thời hạn SSL để nhằm mục đích lợi nhuận, bắt chẹt các WebPKI và tận thu của khách hàng,  Cùng Bluebits tìm hiểu toàn cảnh và phân tích sự kiện này

1. Vì sao có ý kiến cho rằng CA/B Forum làm vậy để “tận thu”?

• Thời hạn SSL/TLS rút ngắn liên tục:
  • Trước đây chứng chỉ số có thể được cấp tới 5 năm.
  • Sau đó giảm xuống 3 năm, rồi 2 năm, và hiện tại (từ 2020) chỉ còn 398 ngày (~13 tháng).
• Khi chứng chỉ hết hạn nhanh hơn, khách hàng buộc phải:
  • Gia hạn / mua mới thường xuyên hơn, nghĩa là tăng chi phí vận hành.
  • Tốn thêm công sức triển khai (đặc biệt với doanh nghiệp có nhiều tên miền, hệ thống).
• Một số người cho rằng điều này có lợi cho CAs (như GlobalSign, DigiCert, Sectigo…) vì giúp họ tăng doanh thu từ chu kỳ gia hạn ngắn hơn.

2. Quan điểm chính thức của CA/B Forum và Browser Vendors

Theo công bố của CA/B Forum và các hãng trình duyệt (Google, Apple, Mozilla, Microsoft):

• Không phải vì lợi nhuận, mà vì lý do bảo mật:
  • Rút ngắn thời hạn chứng chỉ giúp giảm rủi ro khi chứng chỉ bị phát hành sai hoặc bị lộ private key.
  • Nếu có sự cố, chứng chỉ ngắn hạn sẽ tự động hết hạn nhanh hơn, giảm thiểu tác hại.
• Thúc đẩy tự động hóa:
  • Với thời hạn ngắn, doanh nghiệp buộc phải áp dụng quy trình cấp phát tự động (ACME, DevOps pipeline).
  • Điều này được xem là xu hướng an toàn hơn so với quản lý thủ công.
• Đồng bộ với xu hướng bảo mật hiện đại:
  • Giống như việc liên tục cập nhật hệ điều hành, phần mềm, việc “ép” chứng chỉ hết hạn nhanh cũng giúp Internet duy trì mức độ tin cậy cao hơn.

3. Thực tế lợi – hại nhìn từ nhiều phía

• Lợi ích cho bảo mật
  • Giảm rủi ro khi có chứng chỉ phát hành sai.
  • Buộc tổ chức triển khai tự động hóa, tránh tình trạng “chứng chỉ hết hạn mà quên gia hạn” (từng gây ra nhiều sự cố lớn như của Microsoft, LinkedIn…).
• Bất lợi cho khách hàng & CA nhỏ
  • Khách hàng nhỏ (không có hệ thống automation) sẽ thấy tăng chi phí và rủi ro vận hành.
  • Các CA nhỏ, WebPKI startup gặp khó vì khách hàng kêu ca nhiều, trong khi các CA lớn có dịch vụ quản lý / automation sẵn sàng hơn.
• Về mặt tài chính
  • Các CA không hẳn được lợi nhiều hơn, vì hầu hết họ cũng cho phép mua gói nhiều năm nhưng chia thành “certificate reissue” mỗi năm (khách hàng vẫn trả phí trọn gói).
  • Nhưng đúng là việc tăng gánh nặng vận hành khiến khách hàng dễ phụ thuộc vào các dịch vụ quản lý chứng chỉ (certificate management) – mà đây lại là mảng lợi nhuận mới của các CA lớn.

Bảng dưới đây so sánh các lợi ích và bất lợi khi CA/B Forum cùng các nhà cung cấp trình duyệt rút ngắn thời hạn chứng chỉ SSL/TLS, từ góc nhìn của nhiều bên liên quan.

Kết luận: Việc rút ngắn thời hạn SSL được chính thức lý giải là để nâng cao bảo mật và thúc đẩy tự động hóa. Tuy nhiên, các CA lớn và browser vendors hưởng lợi nhiều nhất, trong khi khách hàng nhỏ và CA nhỏ chịu áp lực vận hành và chi phí. Là doanh nghiệp cung cấp SSL và các sản phẩm liên quan đến WebPKI, Bluebits đã sẵn sàng cung cấp giải pháp và dịch vụ tự động hóa SSL nhằm đáp ứng được các nhu cầu sử dụng phức tạp của doanh nghiệp lớn cũng như yêu cầu chi phí tự động hóa SSL thật thấp từ các doanh nghiệp vừa và nhỏ trong khi vẫn đảm bảo an ninh – bảo mật, độ tin cậy của hệ thống. Chi tiết tại đây (link về KeyTalk)