O Google anunciou uma importante mudança no navegador Chrome que afetará a confiança em certificados digitais emitidos pela Entrust, uma autoridade de certificação renomada. A partir de 1º de novembro de 2024, o Chrome 127 (e versões posteriores) deixará de considerar automaticamente esses certificados como confiáveis.
Essa decisão se baseia em preocupações do Google relacionadas à conformidade da Entrust com padrões de segurança e sua capacidade de resolver problemas de forma oportuna. Relatórios públicos de incidentes recentes teriam abalado a confiança na Entrust como uma autoridade certificadora confiável.
“Nos últimos anos, relatórios de incidentes divulgados publicamente destacaram um padrão de comportamentos preocupantes por parte da Entrust que não atendem às expectativas mencionadas, e isso erodeu a confiança em sua competência, confiabilidade e integridade como proprietária de uma AC publicamente confiável”, afirmou a equipe de segurança do Chrome em um post no blog.
Após 1º de novembro, certificados TLS (validação de servidor) emitidos pela Entrust ou AffirmTrust não serão confiáveis por padrão. No entanto, os usuários do Chrome ainda terão a opção de confiar manualmente nesses certificados, se desejarem manter funcionalidades existentes, embora isso implique em riscos.
O Google não é a única empresa insatisfeita. A Mozilla também documentou problemas com certificados da Entrust há algumas semanas.
Operadores de sites que utilizam certificados Entrust precisam migrar para uma nova autoridade certificadora antes de novembro para evitar interrupções.
O Google confirmou que a mudança entrará em vigor com o Chrome 127 para Windows, macOS, ChromeOS, Android e Linux. É importante ressaltar que, devido a políticas da Apple, o Chrome Verificador de Certificados e o Armazenamento de Raiz do Chrome correspondente não podem ser usados no Chrome para iOS.
“A decisão do Programa Raiz do Chrome é decepcionante para nós, como membro de longa data da comunidade do Fórum CA/B. Estamos comprometidos com o negócio de certificados TLS públicos e estamos trabalhando em planos para fornecer continuidade aos nossos clientes”, comentou um porta-voz da Entrust
