The Cloudflare Blog
·
避免停机：现代替代方案取代过时的证书固定实践
💡
原文英文，约3100词，阅读约需12分钟。
📝
内容提要
证书固定已过时，现代标准包括短期证书寿命、定期轮换中间证书、增加证书透明度和多视角域控制验证。这些标准提供相同安全级别，减少管理负担和风险。
🎯
关键要点
- 证书固定已过时，现代标准包括短期证书寿命、定期轮换中间证书、增加证书透明度和多视角域控制验证。
- 证书固定依赖于证书的精确匹配，频繁的证书轮换导致客户端拒绝新证书，从而造成连接失败。
- Cloudflare观察到由于证书固定导致的客户报告的停机次数显著增加。
- 现代标准通过缩短证书有效期和定期轮换中间证书来提高安全性，减少管理负担。
- 证书透明度日志提供了监控和审计TLS证书发行的标准化框架，减少了对证书固定的需求。
- 证书固定的使用增加了管理复杂性和潜在的停机风险，尤其是在证书更新时。
- 推荐使用短期证书、CAA记录、证书透明度监控和多视角域控制验证等现代替代方案来提高安全性。
❓
延伸问答
为什么证书固定被认为过时？
证书固定依赖于证书的精确匹配，频繁的证书轮换导致客户端拒绝新证书，从而造成连接失败，增加了停机风险。
现代替代方案有哪些？
现代替代方案包括短期证书、定期轮换中间证书、证书透明度监控和多视角域控制验证等。
证书透明度如何减少证书固定的需求？
证书透明度日志提供监控和审计TLS证书发行的标准化框架，有助于检测错误发行的证书，降低对证书固定的需求。
证书固定导致的停机风险有哪些？
证书固定增加了管理复杂性，尤其是在证书更新时，未及时更新的固定证书会导致客户端拒绝新证书，造成服务不可用。
短期证书的优势是什么？
短期证书通过缩短有效期，减少了被攻击者利用的时间窗口，并鼓励自动化管理，降低了管理负担。
如何确保证书更新不会导致停机？
建议使用现代标准，如短期证书和证书透明度监控，定期检查和更新证书，以避免因固定证书过时而导致的停机。
➡️
