Telia tarjoaa varmennepalveluja seuraavissa maissa:
| Ruotsi | Suomi | Norja | Viro | Liettua | Tanska |
ASIAKASPALVELU:
0200 20 300
VARMENNEPALVELUN TUKI:
TIEDOTTEET
--
Tietoa muutoksista globaalissa PKI-järjestelmässä sekä Telia Certificate Authorityssä
- TLS-varmenteiden voimassaoloaika, domain-validoinnin uudelleenkäytön aika ja identiteetin validoinnin uudelleenkäytön aika lyhenevät vaiheittain kolmessa osassa.
- Telia CA:n TLS-varmenteiden laskutus muuttuu päivälaskutusmalliin.
- ClientAuth-bitti kielletään julkisista TLS-sertifikaateista.
- Telia CA ottaa käyttöön uusia myöntäviä CA:ta TLS-sertifikaateille (sekä OV että DV).
- Telia CA:n uusi PKI-hierarkia: root CA:t “v3” kaikille varmennekäyttötarkoituksille.
- Telia CA ACME tukee Account Renewal Information (ACME ARI) -toiminnallisuutta.
- Telia CA Portaalin käyttöliittymä uudistetaan.
- Uudet pysyvät domainin hallinnan validointimenetelmät DNS-nimille ja IP-osoitteille.
- TLS-varmenteiden hallinnan automatisointi Telia CA:n avulla.
1. TLS-varmenteiden voimassaoloaika, domain-validoinnin uudelleenkäytön aika ja identiteetin validoinnin uudelleenkäytön aika lyhenevät vaiheittain kolmessa osassa
CA/Browser Forumin TLS-varmenteiden perusvaatimukset lyhentävät julkisesti luotettujen TLS-varmenteiden sekä niihin liittyvien verkkotunnusten validointien ja yritystietojen voimassaoloaikaa.
Aikataulu lyhennyksille on seuraava:
| Ajankohta | Nyt | 03/2026 | 03/2027 | 03/2029 |
| Varmenteen voimassaolo | 398 pv | 200 pv (6 kk) | 100 pv (3 kk) | 47 pv (1 kk) |
| Verkkotunnuksen voimassaolo | 398 pv | 200 pv (6 kk) | 100 pv (3 kk) | 10 pv |
| Organisaation voimassaolo | 825 pv | 398 pv | 398 pv | 398 pv |
Telia CA käyttää muutamaa päivää lyhyempiä voimassaoloaikoja ja tietojen uudelleenkäyttöaikoja varmistaakseen, että uusimiset tapahtuvat ajoissa enimmäisvoimassaoloaikojen puitteissa.
Muutos varmenteiden voimassaoloajoissa on merkittävä ja koskee kaikkia TLS-varmenteiden myöntäjiä maailmanlaajuisesti samalla tavalla. Tavoitteena on parantaa Internetin tietoturvaa. Samalla kannustetaan siirtymään automaatioon (esim. ACME).
Vaihtoehtoisesti Telia CA suosittelee harkitsemaan siirtymistä Private PKI -ratkaisuun tilanteissa, joissa julkisesti luotettuja TLS-varmenteita ei tarvita. Private PKI -varmenteilla voi olla pidempi voimassaoloaika, eikä niihin sovelleta Domain Control Validation- tai Subject Identity Validation -vaatimuksia. Tämä tarjoaa enemmän joustavuutta, mutta säilyttää TLS-käyttötapauksissa tarvittavan tietoturvan.
Telia CA tarjoaa hallinnoidun Private PKI -palvelun, jossa asiakkaat voivat ylläpitää PKI:tä turvallisesti Telian auditoidussa infrastruktuurissa ja hyödyntää Private PKI:n joustavuutta sisäiseen TLS-suojaukseen. Private PKI -ratkaisussa luottamus täytyy jakaa organisaation sisäisessä infrastruktuurissa, mutta kun se on jaettu, se toimii kuten julkisesti luotettu TLS PKI käyttöjärjestelmien ja/tai selainten kautta.
Tapauksissa, joissa julkisesti luotettuja TLS-varmenteita tarvitaan, Telia CA tarjoaa uusia CA/Browser Forumin sallimia verkkotunnuksen validointimenetelmiä lieventääkseen lyhentyvien voimassaoloaikojen vaikutuksia. Lisätietoja on saatavilla alla.
Organisaation tietojen (O/L) voimassaolon lyhentymisen vaikutus on vähäinen Telia CA:n automatisoitujen prosessien ansiosta. Telia päivittää O/L-arvot asiakkaan puolesta.
2. Telia CA:n TLS-varmenteiden laskutus muuttuu päivälaskutusmalliin
Telia lopettaa ennaltamaksettujen TLS-varmenteiden tarjoamisen ja siirtyy päivälaskutusmalliin. Uusi käytön mukaan laskutettava malli on joustava ja perustuu seuraaviin periaatteisiin:
- Aktiivisissa TLS-varmenteissa käytetyt yksilölliset DNS SAN-nimet tai DNS IP-osoitteet lasketaan päivittäin.
- Jokaisella wildcard-nimellä, täysin määritellyllä verkkotunnuksella ja IP-osoitteella on päivähinta, joka on lähellä nykyisen vuosihinnan arvoa jaettuna 365:llä.
- Aktiivisten yksilöllisten SAN-nimien yhteenlaskettua määrää käytetään Telian asiakaslaskutuksessa kuukausittain.
- Asiakkaita laskutetaan Telian määrittämin välein. Laskutusraportit sisältävät kaikki yksilölliset SAN-nimet tarkistusta varten. Varsinainen lasku sisältää vain päivittäisten määrien summan ja osittaiset tiedot. Käytön mukaan laskutettavalla mallilla on monia etuja verrattuna ennakkomaksumalliin:
- Vain yksilölliset SAN-nimet lasketaan. Kaikki SAN-nimien kopiot ovat maksuttomia.
- Varmenteita voidaan vaihtaa milloin tahansa ilman lisäkustannuksia. Veloitus perustuu vain käytettyihin päiviin.
- Kuukauden lopussa kaikki päivittäiset SAN-määrät lasketaan yhteen kuukausilaskua varten, joka toimitetaan maksettavaksi tavalliseen tapaan Telian laskutuksen kautta.
- Varmenteen mitätöinti lopettaa veloituksen välittömästi.
- Kun aiempi varmenne uusitaan, sen jäljellä olevia päiviä ei menetetä
Esimerkki: Jos luot wildcard-varmenteen kalenterivuoden ensimmäisenä päivänä, vuoden lopussa se on tuottanut laskua 365 * päivähinta, mikä on suunnilleen sama hinta kuin perinteisessä ennakkomaksumallissa. Jos luot wildcard-kopion vuoden aikana, sillä ei ole vaikutusta hinnoitteluun.
3. ClientAuth-bitti kielletään julkisista TLS-sertifikaateista.
Aiemmin kaikissa TLS-varmenteissa oli kaksi Extended Key Usage (EKU) -bittiä: serverAuth ja clientAuth. Uusissa Telia v4:n myöntämissä TLS-varmenteissa on vain serverAuth-bitti. Tämä tarkoittaa, että samalla varmenteella ei voida enää suojata sekä asiakasta että palvelinta. Kaksisuuntainen todennus vaatii, että erillinen client-varmenne konfiguroidaan palvelimelle.
Telia CA toi Certificate Manager -portaaliin valittavaksi uuden varmennetyypin (ClientAuth). ClientAuth-varmennetyyppi tukee kaksisuuntaista todennusta, mutta ei ole validi palvelinvarmenne. ClientAuth-varmenne on voimassa kolme vuotta.
4. Telia CA ottaa käyttöön uusia myöntäviä CA:ta TLS-sertifikaateille (sekä OV että DV)
Telia siirtyy uuteen varmenteita myöntävään CA-sukupolveen v4. Uusi sukupolvi on tarpeen CA/Browser Forumin uusimpien vaatimusten täyttämiseksi (monikäyttöiset juurivarmenteet eivät ole enää sallittuja ja TLS-varmenteet eivät voi sisältää “clientAuth”-bittiä). V4-sukupolvi on saatavilla samanaikaisesti nykyisen v3-sukupolven kanssa ainakin kevääseen 2026 asti.
Uudessa v4-sukupolvessa on kaksi olennaista muutosta:
- EKU-bitti clientAuth poistetaan TLS-varmenteesta
- CA-hierarkia muuttuu. Asiakkaiden on asennettava uusi kolmitasoinen CA-hierarkia, kun uusia varmenteita asennetaan palvelimille.
Aluksi uusi hierarkia perustuu vanhaan juureen Telia Root CA v2, mutta myöhemmin (arviolta vuonna 2028), kun uusi Telia-juuri on hyväksytty kaikissa root-ohjelmissa, hierarkian juuri päivitetään muotoon Telia RSA/EC Root CA v3.
5. Telia CA:n uusi PKI-hierarkia: Root CA:t v3 kaikille varmennekäyttötarkoituksille
Telia siirtyy uuteen juurivarmenteiden sukupolveen v3. Uusi sukupolvi tarvitaan CA/Browser Forumin uusimpien vaatimusten täyttämiseksi (monikäyttöiset juurivarmenteet eivät ole enää sallittuja). v3-juurisukupolvi on saatavilla samanaikaisesti nykyisen v2-juurisukupolven kanssa useiden vuosien ajan. Lopulta kun selaimet sitä edellyttävät, vain v3-juurisukupolvi on käytettävissä.
Huom! Chrome/Google on julkaissut uudet suunnitelmansa, jotka edellyttävät CA-hierarkioiden päivittämistä 6 kuukauden välein. => CA-asiakkaiden on sopeuduttava päivittämään CA-hierarkiat kaikkien uusien varmenteiden osalta. ACME hoitaa tämän automaattisesti. Lisäksi juurivarmenteiden elinkaari tulee olemaan jatkossa huomattavasti lyhyempi.
6. Telia CA ACME tukee Account Renewal Information (ACME ARI) -toiminnallisuutta
ARI:n avulla ACME-palvelin (CA) voi antaa ACME-asiakkaille ehdotuksia varmenteen uusimisikkunasta. CA saattaa tarvita tätä vaihtoehtoa, jos uusissa varmenteissa havaitaan haavoittuvuuksia ja varmenne on uusittava nopeammin kuin ACME-asiakas on alun perin määrittänyt.
Asiakkaita suositellaan käyttämään ACME-client-ohjelmia, jotka tukevat ARI-toiminnallisuutta.
7. Telia CA Portaalin käyttöliittymä uudistetaan
Telia uudistaa pian varmenneportaalin graafista käyttöliittymää (GUI). Suunniteltu julkaisupäivä muutoksille on 15.12.2025. Portaalin toiminnallisuus säilyy ennallaan, mutta valikkorakenne ja visuaalinen ilme uudistuvat.
8. Uudet pysyvät verkkotunnuksen hallinnan validointimenetelmät DNS-nimille ja IP-osoitteille
Telia ottaa käyttöön uudet pysyvät verkkotunnuksen ja IP-osoitteen validointimenetelmät vuoden 2026 ensimmäisellä neljänneksellä. Uusien menetelmien avulla asiakkaat voivat antaa Telia CA:lle valtuuden käyttää automatisoituja verkkotunnuksen hallinnan validointeja pysyvien tietueiden avulla nimipalvelujärjestelmässä (DNS). Valtuutus määritetään lisäämällä tietty DNS TXT -tietue verkkotunnukseen. Valtuutustasot ovat verkkotunnuksen omistajien hallinnassa ja ne voidaan asettaa erikseen eri verkkotunnushierarkian tasoille vain tietyille yksiköille (yritysryhmä, yritys, portaaliryhmä, portaalikäyttäjä, ACME-käyttäjä).
Pysyvät verkkotunnuksen hallinnan validointimenetelmät helpottavat haasteita, jotka liittyvät verkkotunnuksen voimassaolon lyhenemiseen nykyisiin menetelmiin verrattuna. Siirtyminen pysyviin menetelmiin poistaa tarpeen päivittää DNS-tietueita CA:n tarjoamilla satunnaisilla koodeilla. Pysyvä valtuutus on voimassa, kunnes se poistetaan verkkotunnuksesta. Asiakas / verkkotunnuksen omistaja hallitsee täysin, miten verkkotunnukset valtuutetaan, ja jokainen verkkotunnus sekä CA on valtuutettava erikseen. Uuden menetelmän tietoturva on vastaava kuin muissa DNS-pohjaisissa menetelmissä. Lisätietoja ja ohjeita annetaan, kun uudet menetelmät otetaan käyttöön Telia CA:n toimesta vuoden 2026 ensimmäisellä neljänneksellä.
9. TLS-varmenteiden hallinnan automatisointi Telia CA:n avulla
Telia CA:n Automated Certificate Management Environment (ACME) -palvelua voidaan käyttää varmenteiden elinkaaren hallinnan automatisointiin. ACME:ssa asiakkaalla on ACME-asiakasohjelma, joka on määritetty kommunikoimaan CA:n ACME-palvelimen kanssa. Kaikilla Telian Certificate Management Portal -asiakkailla on ACME käytettävissä, ja ACME-tunnisteet voidaan määrittää ilman erillisiä pyyntöjä tai lisäkustannuksia.
Oikein konfiguroitu ACME-asiakasohjelma huolehtii palvelinvarmenteen automaattisesta ylläpidosta ilman manuaalista päivitystä. Mitä tahansa ACME-asiakasohjelma, joka tukee External Account Binding (EAB) -toiminnallisuutta, voidaan käyttää Telia CA:n ACME-palvelun kanssa. Esimerkkejä ovat Certbot, Lego ja Win-ACME.
Telian ACME-palvelun pääominaisuudet:
- Tuki sekä DV- että OV-varmenteille
- Hallinnoidun PKI:n varmenteet voidaan rekisteröidä ACME:n avulla (Telia CA isännöi asiakkaan CA:ta)
- ACMEa voidaan käyttää esivalidoitujen verkkotunnusten kanssa, joita hallitaan Telian Certificate Management Portalissa. ACME-tunnisteet voidaan määrittää käyttämään esivalidoituja verkkotunnuksia, jolloin erillistä HTTP-01- tai DNS-01-validointia ei tarvita
- ACME otetaan käyttöön tulevien pysyvien verkkotunnusvalidointimenetelmien kanssa
- ACME-validointimenetelmät DNS-01 ja HTTP-01 ovat myös käytettävissä
---T---