SwissSign Laufzeitverkürzung auf 198 Tage ab 9. März – Anpassung in NSP 15.7

[joerg]

Hallo zusammen,

ich verwalte unsere Zertifikate über NoSpamProxy 15.7 mit einer SwissSign MPKI (Auto-RAO).

Im Hinblick auf die aktuelle Mail von SwissSign zur Umsetzung des CA/B-Forum Ballot SC-081 wird die maximale Zertifikatsgültigkeit sowie die Domain-Validierung zum 9. März 2026 auf 198 Tage verkürzt.

In der Konfiguration des Zertifikatsanbieters (S/MIME SwissSign) in NoSpamProxy 15.7 habe ich aktuell nur die festen Auswahlmöglichkeiten "1 Jahr (empfohlen)" oder "2 Jahre" für die Gültigkeitsdauer. Ein freies Feld für "198 Tage" oder eine manuelle Eingabe der Tage scheint es in der GUI nicht zu geben.

Meine Fragen an das Team:

1. Wird es für die Version 15.7 zeitnah ein Service Update oder einen Hotfix geben, der die Auswahlmöglichkeit auf 198 Tage anpasst?
2. Was passiert ab dem 9. März, wenn NSP weiterhin mit dem Parameter "1 Jahr" anfragt? Wird die Anfrage von NSP automatisch korrigiert oder lehnt SwissSign diese dann hart ab?
3. Gibt es eventuell einen Registry-Key oder eine Konfigurationsdatei, über die wir den Standardwert für die Gültigkeit vorab manuell auf 198 Tage forcieren können?

Die Domain-Validierung im SwissSign-Portal haben wir bereits für unsere Domänen aktualisiert, es geht rein um die technische Anforderung durch den NoSpamProxy.

Vielen Dank für eure Hilfe!

 

[Steffen.HK]

Hallo Zusammen,

der Kollege war etwas schneller als ich, hätte allerdings genau die selben Fragen dazu.
Wie müsste mit Anfordern eines Zertifikates umgegangen werden?

Gruß
Steffen

 

[Fabian]

Gute Frage, ich klinke mich mal ein und bin auch auf die offizielle Antwort von NSP gespannt

LG
Fabian

 

[JanJäschke]

Ich schätze mal ihr bezieht euch alle auf folgende Kundgebung:

News | SwissSign

Certificate Authority & Trust Service Provider: SSL/TLS-Zertifikate, S/MIME E-Mail-Verschlüsselung, digitale Unterschriften, Time Stamping und Managed PKI (MPKI). Vertrauen Sie auf 100 % swiss made Sicherheit und Effizienz

www.swisssign.com

Diese sowie der ganze SC081v3 (https://cabforum.org/2025/04/11/bal...-of-reducing-validity-and-data-reuse-periods/)
Das nächste S/MIME relevante ist: https://github.com/cabforum/smime/releases/tag/Ballot_SMC014 hierbei geht es aber um CAA Einträge die nur noch greifen sollen wenn auch DNSSEC genutzt wird.

Es ist uns bewusst, dass diese Änderungen auch alle für S/MIME kommen werden, genau wie für TLS werden wir eine entsprechende Lösung bieten.
Übergangsmäßig soll für TLS auch eine Skript Lösung aufgezeigt werden mit welcher ACME auf den Gateway Rollen umgesetzt werden kann. Im WebPortal ist dies ja bereits möglich.

EDIT:
DNSSEC ist auch zur Domänenvalidierung erforderlich.

 

[Sören]

CA/B-Forum Ballot SC-081

um es kurz zu machen:



TLS ist nicht S/Mime