最近 DigiCert 憑證撤銷事件再次提醒我們，自動化憑證管理不再只是「加分」，而是至關重要的必需品。2024 年 8 月 4 日，DigiCert 宣布將撤銷一批憑證，原因在於網域控制驗證 (DCV) 不正確。這起事件突顯了 SSL/TLS 憑證管理的一個根本挑戰：人為錯誤越來越難以避免，而這類錯誤的後果卻可能十分嚴重。
DigiCert 憑證撤銷事件：自動化需求的案例分析
憑證頒發機構 (CA) DigiCert 發現，其 CNAME 驗證流程中的一個缺陷導致核發了不合規的憑證。 雖然這個錯誤影響的範圍不大（僅佔相關網域驗證的 0.4%），但仍必須在 24 小時內撤銷所有受影響的憑證。
問題的根源在於 CNAME 記錄中底線前綴 (“_”) 的應用不一致。 雖然發生衝突的機率很低，但憑證頒發機構和瀏覽器論壇 (CABF) 的規則嚴格要求合規，這使得 DigiCert 沒有任何寬容的空間。
這起事件突顯了幾個關鍵問題：
- 憑證管理的複雜性： 即使對於像 DigiCert 這樣的領先憑證頒發機構來說，管理跨各種系統和流程的網域驗證細節仍然極具挑戰。
- 不合規的高昂代價： CABF 等產業標準不允許任何錯誤。 即使是看似微小的配置錯誤，也可能導致憑證被廣泛撤銷，並造成嚴重的服務中斷。
- 手動流程的局限性： 依賴手動流程進行憑證核發和驗證會增加人為錯誤的風險。 在 DigiCert 的案例中，系統遷移過程中的一個程式碼疏忽未被發現，最終導致核發了不合規的憑證。
憑證生命週期日益縮短
除了 DigiCert 事件之外，另一個值得關注的趨勢是憑證生命週期的顯著縮短。 近期蘋果公司更提議逐步縮短 TLS/SSL 憑證的有效期限，最終目標是將其從目前的 398 天大幅縮短至 47 天。
這項提議如果實施，將會對憑證管理帶來深遠的影響。 憑證需要更頻繁地更新，這將給 IT 團隊帶來更大的營運負擔。
請注意，這項縮短憑證有效期限的提議目前仍處於提案階段，尚未確認實施。 蘋果的提案概述了以下階段：
- 第一階段： 從 2026 年 3 月 15 日起，憑證的有效期限不應超過 199 天，且絕對不得超過 200 天。
- 第二階段： 從 2027 年 3 月 15 日起，憑證的有效期限不應超過 99 天，且絕對不得超過 100 天。
- 最終階段： 從 2029 年 3 月 15 日起，憑證的有效期限不應超過 46 天，且絕對不得超過 47 天。
這項提案還包括縮短憑證資訊（包括組織身分和網域所有權）驗證的重用期限。 驗證重用期限將從目前的 398 天，逐步縮短至最終的 10 天。
為何自動化對於憑證管理至關重要
DigiCert 事件和蘋果的提議都顯示出一個共同點：SSL/TLS 憑證部署的複雜性和規模不斷增加，使得手動管理難以以為繼。
原因如下：
- 憑證生命週期縮短： 為了限制金鑰洩漏的影響，業界正朝著更短的憑證生命週期發展（90 天的期限越來越常見）。 蘋果的提議更是將此趨勢推向極致，大幅增加了憑證更新的頻率。
- 憑證數量激增： 由於微服務、雲端運算和 DevOps 實踐的採用，組織部署的憑證數量比以往任何時候都多。 手動管理成百上千個憑證無疑是一場後勤夢魘。
- 持續安全的需求： 在當今的威脅環境中，網站安全不是一次性的設定，而是一個持續的過程。 過期或配置錯誤的憑證可能會使網站容易受到攻擊，因此持續監控和自動化補救至關重要。
自動化在預防未來事件中的作用
自動化憑證生命週期管理 (CLM) 解決方案通過以下方式應對這些挑戰：
- 自動化憑證更新： 在憑證過期前自動更新，消除因憑證過期導致的服務中斷風險。
- 集中化憑證管理： 提供一個統一的平台，用於管理組織內的所有憑證，無論是由哪個憑證頒發機構核發。
- 強制執行政策合規性： 確保憑證的核發和配置符合產業最佳實踐和組織政策。
- 減少人為錯誤： 盡可能減少手動干預，降低配置錯誤和其他錯誤的風險。
結論
DigiCert 憑證撤銷事件和蘋果縮短憑證有效期限的提議，都凸顯了自動化憑證管理的迫切需求。 隨著憑證數量持續增長且憑證生命週期縮短，依賴手動流程已不再是一個可行的選擇。 自動化對於組織維持網站安全、確保業務連續性並符合產業標準至關重要。
