Fragen? Antworten! Siehe auch: Alternativlos
Unterschriften unter Verträgen laufen ja auch nicht aus.
Einen wirklich guten Grund gibt es nicht, also im Sinne von "das wäre anders nicht lösbar gewesen". Zertifikate laufen im Wesentlichen aus, weil wir keinen guten Revocation-Mechanismus haben. Es gibt verschiedene Szenarien, in denen ein Zertifikat ungültig gemacht werden muss. Beispielsweise: Dem Eigentümer wird der Laptop geklaut, wo der Schlüssel dazu drauf war. Oder die damals verwendeten Krypto-Verfahren gelten heute als unsicher. Oder der Eigentümer hat die Passphrase vergessen und ein neues Zertifikat gemacht.
Was man dann eigentlich tun wollen würde, ist: Neues Zertifikat machen, altes Zertifikat als ungültig markieren. Nur: Wie? Wir reden hier von digitalen Daten! Wenn ich den Schlüssel verloren habe, kann ich ja auch gar nicht mehr nachweisen, dass das jemals mein Zertifikat gewesen ist! Jeglicher Nachweis davon basiert ja darauf, dass ich auf Zuruf Dinge tun kann, die man nur mit dem Schlüssel zum Zertifikat machen kann. Wenn ich den verloren habe, kann ich aber nichts davon machen!
PGP sah dafür vor, dass man beim Erstellen des Zertifikats auch gleich ein "dieses Zertifikat ist ungültig" erstellt, mit dem Schlüssel zum Zertifikat, und das tut man dann auf eine Diskette oder was damals so üblich war, oder druckt es aus, und packt es in einen feuerfesten Tresor irgendwo. Wenn man dann das Zertifikat zurückrufen muss, öffnet man den Tresor, holt den Rückruf raus, und verbreitet ihn.
Das ist jetzt aber alles nur bedingt praxistauglich. Daher hat man folgendes Rückrufverfahren ausprobiert: Die herausgebende Stelle (die CA) hat eine Liste an zurückgerufenen Zertifikaten. Wenn du zu einer Webseite gehst, dann holt dein Browser bei der CA die Liste und guckt, ob das vom Webserver präsentierte Zertifikat da als zurückgerufen draufsteht. Das Verfahren hat in der Praxis nie wirklich überzeugen können. Entweder die Liste wird lang und unhandlich, oder die CA hat plötzlich ein fettes Lastproblem, weil alle Browser der Welt da periodisch diese Liste abrufen wollen.
Das nächste Verfahren, das man probiert hat, war ein Webdienst, bei dem der Browser fragen kann: Ist dieses Zertifikat gültig? Das ist natürlich auch Mist, weil dann die CA sehen kann, wer auf meinen Webserver geht.
Und so bleibt nur die alte Methode mit dem Auslaufen der Zertifikate. Die sorgt dann auch dafür, dass die anderen Verfahren besser werden, weil man in der Datenbank der zurückgerufenen Zertifikate nur die nicht eh schon wegen Ablaufens ungültigen Zertifikate vorhalten muss.
In der Praxis war das aber alles ganz schlecht, so dass im Moment der Konsens ist, dass das mit Revocation alles nicht praxisfest ist, und man daher lieber kurze Lebenszeiten vergibt. Dann kann man die Zertifikate zwar nicht zurückrufen aber sie bleiben auch nicht mehr monatelang gültig.
Man könnte also sagen, dass wir auslaufende Zertifikatslebensdauern haben, weil wir keinen besseren Weg gefunden haben, wie man den Rückruf von Zertifikaten handhaben soll.
Und man könnte noch weitergehen und sagen, dass wir den besseren Weg auch nicht finden werden, weil die mittlerweise nur noch ein paar Monate langen Laufzeiten den Leidensdruck zu stark gesenkt haben.