Certum rozpocznie wydawanie certyfikatów SSL/TLS z dedykowanych Root CA

Od stycznia 2027 roku Certum planuje rozpocząć wydawanie publicznych certyfikatów SSL/TLS z dwóch Root CA dedykowanych dla TLS:

• Certum TLS RSA Root CA
• Certum TLS ECC Root CA

Są to nowe Root CA, które są obecnie włączane do programów zaufania przeglądarek i systemów operacyjnych. Oznacza to, że będą one stopniowo uzyskiwać zaufanie w poszczególnych przeglądarkach, systemach operacyjnych i innych platformach.

W okresie przejściowym będzie konieczne zastosowanie odpowiedniego certyfikatu krzyżowego (cross-certificate) jako elementu łańcucha certyfikacji. Pozwoli to systemom, które nie ufają jeszcze bezpośrednio nowym Root CA, zbudować prawidłową ścieżkę zaufania do Root CA, który jest już zaufany.

Dodatkowo nowe certyfikaty SSL/TLS wydawane z dedykowanej hierarchii TLS nie będą zawierały rozszerzenia Extended Key Usage (EKU) clientAuth. Będą przeznaczone wyłącznie do uwierzytelniania serwera TLS.

Certyfikaty, które zostały już wydane, nie ulegną zmianie i zachowają ważność do końca wskazanego w nich okresu ważności.

Dlaczego Certum wprowadza nowe Root CA dla TLS?

Wprowadzenie Certum TLS RSA Root CA oraz Certum TLS ECC Root CA jest częścią szerszego procesu przechodzenia infrastruktury PKI Certum na nowe, dedykowane hierarchie Root CA.

Wymagania dotyczące publicznie zaufanych hierarchii certyfikatów stale się zmieniają. Programy zaufania przeglądarek i Root CA zmierzają w kierunku dedykowanych hierarchii PKI, w których Root CA są wykorzystywane do określonych zastosowań, takich jak uwierzytelnianie serwera TLS.

Nowe Certum TLS RSA Root CA oraz Certum TLS ECC Root CA są przeznaczone specjalnie dla publicznych certyfikatów SSL/TLS Certum. Ich wprowadzenie pozwala dostosować infrastrukturę Certum do aktualnych wymagań programów zaufania Root CA oraz oddzielić wydawanie certyfikatów TLS od innych zastosowań certyfikatów.

Szczegółowy plan Certum dotyczący przejścia na nowe Root CA jest dostępny pod adresem:
https://bugzilla.mozilla.org/show_bug.cgi?id=2030937

Co ta zmiana oznacza dla mnie?

Dla większości użytkowników zmiana nie będzie wymagała natychmiastowego działania.

Jeśli masz już ważny certyfikat SSL/TLS Certum, nie zostanie on zmodyfikowany ani zastąpiony w związku z tą zmianą. Zachowa ważność do końca wskazanego w nim okresu ważności.

Po rozpoczęciu wydawania certyfikatów z nowej hierarchii TLS, nowe certyfikaty SSL/TLS będą tworzyły łańcuch certyfikacji do Certum TLS RSA Root CA lub Certum TLS ECC Root CA.

Zmiana ta dotyczyć będzie tak samo aktywacji nowych produktów, jak również sytuacji, w której wykorzystując proces reissue, wydasz kolejny certyfikat w ramach produktu zamówionego wcześniej.

Ponieważ nowe Root CA są jeszcze w procesie uzyskiwania zaufania w przeglądarkach, systemach operacyjnych i innych platformach, w niektórych środowiskach konieczne może być zastosowanie odpowiedniego certyfikatu krzyżowego (cross-certificate). Umożliwi on systemom, które nie ufają jeszcze bezpośrednio nowemu Root CA, zbudowanie prawidłowej ścieżki zaufania do Root CA, który jest już zaufany.

Dlatego podczas instalacji nowo wydanego certyfikatu należy użyć pełnego, właściwego dla niego łańcucha certyfikacji dostarczonego dla tego certyfikatu.

Co zmieni się w przypadku Client Authentication i mTLS?

Ta zmiana jest szczególnie istotna, jeśli obecnie wykorzystujesz publiczny certyfikat SSL/TLS Certum do Client Authentication lub mutual TLS (mTLS).

Nowe certyfikaty SSL/TLS wydawane z dedykowanej hierarchii TLS Certum nie będą zawierały rozszerzenia Extended Key Usage (EKU) clientAuth. Będą przeznaczone wyłącznie do uwierzytelniania serwera TLS.

Oznacza to, że nowo wydany certyfikat z nowej hierarchii nie powinien być wykorzystywany jako certyfikat klienta w konfiguracji mTLS wymagającej rozszerzenia EKU clientAuth.

Jeżeli Twoja infrastruktura wykorzystuje ten sam publiczny certyfikat SSL/TLS zarówno do uwierzytelniania serwera, jak i Client Authentication, przygotuj się do korzystania z osobnego certyfikatu przeznaczonego do Client Authentication.

Kogo może dotyczyć ta zmiana?

Większość klientów korzystających z certyfikatów SSL/TLS Certum do standardowego uwierzytelniania serwera HTTPS nie powinna odczuć tej zmiany, pod warunkiem prawidłowej konfiguracji pełnego łańcucha certyfikacji.

Zmiana będzie wymagała od Ciebie działań, jeśli:

• wykorzystujesz publiczne certyfikaty SSL/TLS Certum do Client Authentication lub mTLS;
• Twoja infrastruktura wykorzystuje certificate pinning, public key pinning lub CA pinning albo oczekuje konkretnego Root CA Certum lub określonego łańcucha certyfikacji;
• korzystasz z własnego magazynu zaufanych certyfikatów zamiast magazynu dostarczanego i aktualizowanego przez system operacyjny, przeglądarkę lub środowisko uruchomieniowe;
• korzystasz ze starszych lub nieaktualizowanych systemów, których magazyny zaufanych certyfikatów mogą nie otrzymywać aktualizacji zawierających nowe Root CA Certum;
• Twoja aplikacja ma „na sztywno” skonfigurowany konkretny Root CA, Subordinate CA lub oczekiwany łańcuch certyfikacji, co może uniemożliwić zaakceptowanie certyfikatu wydanego z nowej hierarchii.

Crosscertyfikacja ma zapewnić kompatybilność w okresie, w którym nowe Root CA stopniowo uzyskują zaufanie. Systemy, które ograniczają zaufanie do konkretnego CA, certyfikatu, klucza publicznego lub określonego łańcucha certyfikacji, mogą jednak wymagać zmian w konfiguracji.

Czy muszę podjąć jakieś działania?

Jeśli korzystasz z certyfikatów SSL/TLS Certum wyłącznie do standardowego HTTPS, a Twoje systemy korzystają z aktualnych i regularnie aktualizowanych magazynów zaufanych certyfikatów, nie musisz obecnie podejmować żadnych działań.

Jeśli którykolwiek z opisanych powyżej scenariuszy dotyczy Twojego środowiska lub aplikacji, zalecamy sprawdzenie konfiguracji przed instalacją certyfikatu wydanego z nowej hierarchii TLS. W szczególności upewnij się, że Twoje systemy mogą korzystać z wymaganego łańcucha certyfikacji oraz nie są zależne od obecności rozszerzenia EKU clientAuth, konkretnego CA Certum lub określonego łańcucha certyfikacji.

Certum planuje rozpocząć wydawanie standardowych certyfikatów SSL/TLS z Certum TLS RSA Root CA oraz Certum TLS ECC Root CA od stycznia 2027 roku. Przejście na nową hierarchię TLS będzie stopniowe. Jeśli certyfikat zostanie wydany z nowego roota, wraz z informacją mailową o wydaniu certyfikatu Certum wyśle przypomnienie o konieczności użycia pełnego, właściwego łańcucha certyfikacji.

Certyfikaty niezbędne do utworzenia pełnego łańcucha certyfikacji możesz pobrać ze strony Certum: https://www.certum.pl/pl/cert_wiedza_zaswiadczenia_klucze_certum/

Będziemy aktualizować ten komunikat wraz z pojawianiem się bardziej szczegółowych informacji dotyczących wprowadzenia nowych Root CA dla TLS.