Let’s Encrypt Generacija Y: Novo pravilo

Let’s Encrypt Generacija Y: Sertifikati u trajanju od 45 Dana umesto dosadašnjih 3 meseca

Digitalna bezbednost ulazi u novu fazu. Let’s Encrypt, neprofitni sertifikacioni autoritet (CA) koji opslužuje stotine miliona veb sajtova, zvanično je najavio „Generaciju Y“ – radikalnu promenu koja skraćuje životni vek SSL/TLS sertifikata na samo 45 dana. Ova promena ima za cilj povećanje kriptografske agilnosti interneta.

Šta je Generacija Y?

Generacija Y predstavlja potpuno novu hijerarhiju poverenja (PKI). Kako bi se osigurala tranzicija bez prekida rada sajtova, Let’s Encrypt je kreirao:

• Dva nova korenska CA (Root CA): Osnova novog sistema poverenja.
• Šest posredničkih CA (Intermediate CA): Koji će direktno potpisivati sertifikate krajnjih korisnika.

Ključno je napomenuti da su ovi novi autoriteti „unakrsno potpisani“ (cross-signed) sa postojećim korenima Generacije X (ISRG Root X1 i X2). To znači da će uređaji koji još nisu ažurirani i dalje verovati novim sertifikatima, osiguravajući kompatibilnost unazad.

Kraj za TLS Autentifikaciju Klijenata

Velika promena dolazi za DevOps inženjere. Let’s Encrypt ukida podršku za TLS autentifikaciju klijenata počevši od februara 2026. godine. Podrazumevani ACME profil prelazi na Generaciju Y bez ove autentifikacije 13. maja 2026. godine.

MOŽDA VAM SE SVIĐA

Šta Apple planira za narednu godinu?

Pročitajte više »

Ako vaša infrastruktura zahteva više vremena, možete manuelno prebaciti konfiguraciju
na tlsclient profil koji ostaje na starim korenima do maja 2026.

Zašto baš 45 dana?

Trenutni standard industrije je 90 dana, ali Let’s Encrypt to prepolovljava. Razlozi su bezbednosne prirode:

1. Manji prozor za napad: Ako je privatni ključ kompromitovan, on postaje beskoristan mnogo brže.
2. Brža zamena ključeva: U slučaju otkrivanja ranjivosti u kriptografskim algoritmima (npr. proboj kvantnih računara), ceo internet se može ažurirati za samo mesec i po dana.
3. Forsiranje automatizacije: Kraći rokovi primoravaju administratore da koriste alate kao što su Certbot i automatizovane cron poslove, umesto ručnog obnavljanja koje je sklono greškama.

Tranzicija počinje odmah za korisnike tlsserver profila, dok će potpuna implementacija sertifikata u trajanju od 45 dana kao podrazumevane opcije biti završena 2028. godine.