文｜三易生活
作為全球頂尖的科技巨頭之一，蘋果不止在自己的一畝三分地里說一不二，在整個互聯(lián)網(wǎng)行業(yè)也有擁有著巨大的影響力，他們的一舉一動也會改變部分從業(yè)者的生活。
日前有消息顯示，蘋果已向國際性電子認(rèn)證機構(gòu)（CA）與操作系統(tǒng)、瀏覽器廠商組成的CA/B論壇提交表決提案，建議將SSL/TLS證書的有效期從398天縮短至45天。
消息一出，無數(shù)站長以及社區(qū)管理員開始在網(wǎng)絡(luò)上吐槽蘋果的這個決定，紛紛抱怨其不該進(jìn)行這項提案。據(jù)悉，SSL/TLS證書是一種權(quán)威性的電子文檔，同時也是網(wǎng)絡(luò)信息傳播之中證明身份的工具。而TLC/SSL證書主要發(fā)揮作用的場景，就是我們用瀏覽器訪問網(wǎng)站時，它會確保瀏覽器訪問的web服務(wù)器是URL對應(yīng)的、而非釣魚網(wǎng)站。
在訪問互聯(lián)網(wǎng)的過程里，用戶在瀏覽器中輸入的網(wǎng)址后，瀏覽器首先會檢閱網(wǎng)站的web服務(wù)器里存儲的數(shù)字證書，以對服務(wù)器進(jìn)行身份驗證。簡單來說，數(shù)字證書的意義就是在網(wǎng)絡(luò)上證明“我是我”。如果TLC/SSL證書無效，用戶就會看到一條警告，聲稱連接不是私有的，也意味著瀏覽器無法與網(wǎng)站建立安全的加密連接。
面對這種情況，瀏覽器現(xiàn)在會以直接警告的方式提示不要訪問對應(yīng)網(wǎng)站，所以對于網(wǎng)站的站長來說，如果沒有TLC/SSL證書或者是證書過期，也就意味著訪問量可能暴跌，而沒有訪客則代表網(wǎng)站上掛載的廣告不會被打開，最終影響他們的收入。所以對于網(wǎng)站站長來說，保證TLC/SSL證書的長期有效是確保網(wǎng)站生存的頭等大事。
如此一來，站長想要的自然是TLC/SSL證書有效期越長越好。然而遺憾的是，負(fù)責(zé)簽發(fā)TLC/SSL證書的數(shù)字證書認(rèn)證中心（CA）和驗證證書的瀏覽器廠商，站在了站長的對立面。最初TLC/SSL證書的有效期最高是10年，到了2011年這個數(shù)字變成5年，隨后在2015年減到3年、2018年更是縮短為2年。
到了2020年，蘋果在未經(jīng)CA/B論壇投票的情況下，單獨宣布自2020年9月1日開始，任何有效期超過398天的新TLC/SSL證書將不會受到Safari瀏覽器的信任，緊接著Google和Mozilla也紛紛效仿。沒錯，現(xiàn)在網(wǎng)站的TLC/SSL證書已經(jīng)需要每年進(jìn)行續(xù)簽。那么為何瀏覽器巨頭都想要縮短這個證書的有效期呢？
答案是蘋果是為了用更低的成本，來提高用戶從其瀏覽器訪問網(wǎng)絡(luò)的安全性。眾所周知，TLC/SSL證書來自于作為第三方的數(shù)字證書認(rèn)證中心，后者會使用非對稱加密技術(shù)來產(chǎn)生一對公鑰和私鑰，然后用自己的私鑰對自己的公鑰進(jìn)行簽名。公鑰加密算法的安全性是建立在私鑰安全的基礎(chǔ)上，所以如果網(wǎng)站使用的數(shù)字證書私鑰文件被不慎泄露呢？
TLC/SSL證書的私鑰泄露，將會讓加密數(shù)據(jù)傳輸通道不再具有“加密”的作用，不法分子通過泄露的私匙就可以竊取網(wǎng)站的數(shù)據(jù)、內(nèi)容，進(jìn)而獲得用戶的賬號密碼、支付密碼等敏感信息。因此縮短證書有效期就可以讓證書頒發(fā)機構(gòu)輪換密鑰，進(jìn)而保障證書自身的安全性。
與此同時，由于每一次申請TLC/SSL證書都需要“驗明正身”，所以縮短證書有效期，也可以使得證書頒發(fā)機構(gòu)及時對網(wǎng)站的最新信息進(jìn)行驗證，從而確保網(wǎng)站的真實身份及其安全性。再說了，一個的合法網(wǎng)站永遠(yuǎn)不會成為釣魚站點，這種保證瀏覽器廠商可做不出來。
最為核心的一點，是TLC/SSL證書的有效期越長，證書吊銷列表（CRL）也會變得越來越長，而CRL的作用就是告知瀏覽器哪些證書是有效、哪些已經(jīng)被吊銷。它越長就會?越增加瀏覽器的請求流量壓力，進(jìn)而導(dǎo)致瀏覽器崩潰等情況的出現(xiàn)。
一旦TLC/SSL證書的時效縮短，證書頒發(fā)機構(gòu)就要始終保持加密算法的穩(wěn)定性和安全性，而網(wǎng)站站長為了避免因證書過期導(dǎo)致網(wǎng)站成為網(wǎng)絡(luò)釣魚活動的溫床，就要始終關(guān)注證書的有效期。如此一來，縮短TLC/SSL證書的有效期就等于是臟活累活要證書頒發(fā)機構(gòu)和網(wǎng)站站長來干，蘋果只需坐享其成即可。
從398天到45天，就意味著網(wǎng)站站長要從現(xiàn)在每年更新一次TLC/SSL證書，發(fā)展到每一個半月就更新一次。毫無疑問這樣的時間差可謂是天壤之別，也就難怪這些站長們都不樂意了。