避免停机：现代替代方案取代过时的证书固定实践
内容提要
证书固定已过时，现代标准包括短期证书寿命、定期轮换中间证书、增加证书透明度和多视角域控制验证。这些标准提供相同安全级别，减少管理负担和风险。
延伸解读
证书固定为何在当前PKI环境下更易引发停机
证书固定依赖客户端对特定证书的精确匹配，而现代PKI生态中，CA频繁轮换中间证书和缩短证书寿命已成为趋势。一旦证书更新，新证书可能无法匹配客户端固定的旧证书，导致连接被拒绝，即使新证书合法有效。Cloudflare观察到2024年以来因证书固定导致的客户停机报告显著增加，部分客户甚至未意识到自己设置了固定。这种“设置后遗忘”的做法在证书快速轮换的今天风险极高。
现代替代方案如何在不增加管理负担的前提下提升安全
短期证书、中间证书定期轮换、证书透明度日志和多视角域控制验证等现代标准，共同解决了证书固定最初旨在缓解的安全问题。短期证书限制了证书被滥用的时间窗口；中间证书轮换降低了中间证书被攻破的影响；证书透明度日志提供了实时监控和审计证书颁发的框架；多视角DCV检查则防止BGP劫持导致的错误颁发。这些方案自动化程度高，减少了手动维护固定列表的复杂性和出错风险。
不同层级证书固定的权衡与风险
证书固定可应用于根证书、中间证书或叶子证书，但各有弊端。根证书固定管理简单，但信任范围过宽，一旦根CA被攻破影响巨大，且根证书轮换罕见，容易因“设置后遗忘”导致停机。中间证书固定平衡了安全与灵活性，但中间证书轮换更频繁，且CA可能使用不同中间证书颁发，增加了不可预测性。叶子证书固定安全性最高，但证书寿命短，需频繁更新固定，停机风险最大。总体而言，这些固定方式均带来管理复杂性和潜在停机风险。
采用现代标准时需关注的关键实践
转向现代标准时，组织应关注几个关键实践：使用短期证书（如90天或更短）并自动化续期；通过CAA记录限制可颁发证书的CA；启用证书透明度监控，及时获知域名的证书颁发情况；利用多视角DCV检查防止错误颁发；在CAA记录中指定ACME账户URI以收紧颁发控制。对于必须使用证书固定的场景，建议上传自定义证书并在预发布环境测试续期，以确保固定更新，避免停机。
Q&A
为什么证书固定被认为过时？
证书固定依赖于证书的精确匹配，频繁的证书轮换导致客户端拒绝新证书，从而造成连接失败，增加了停机风险。
现代替代方案有哪些？
现代替代方案包括短期证书、定期轮换中间证书、证书透明度监控和多视角域控制验证等。
证书透明度如何减少证书固定的需求？
证书透明度日志提供监控和审计TLS证书发行的标准化框架，有助于检测错误发行的证书，降低对证书固定的需求。
证书固定导致的停机风险有哪些？
证书固定增加了管理复杂性，尤其是在证书更新时，未及时更新的固定证书会导致客户端拒绝新证书，造成服务不可用。
短期证书的优势是什么？
短期证书通过缩短有效期，减少了被攻击者利用的时间窗口，并鼓励自动化管理，降低了管理负担。
如何确保证书更新不会导致停机？
建议使用现代标准，如短期证书和证书透明度监控，定期检查和更新证书，以避免因固定证书过时而导致的停机。
