Entrust myy ensimmäisen PKI ratkaisunsa, joka mahdollistaa avainten ja varmenteiden hallinnan sekä salaamisen.

Netscape kehitti ensimmäisen varteenotettavan version SSL:stä, SSL v2:n. Jo vuotta myöhemmin, tämä versio "ammuttiin alas" pahojen tietoturvaongelmien vuoksi ja SSL v3 sai alkunsa.

Rauhaisaa eloa riitti aina vuoteen 1999 asti, jolloin mm. Microsoftin mukaantulo aiheutti uuden nimeämiskäytännön ja TLS v1.0 sai alkunsa.

Vuonna 2001 VeriSign sai siipeensä jonkun pystyttyä hankkimaan siltä väärennetyn code signing varmenteen Microsoftin nimellä.

TLS v1.1 syntyy, joka muun muassa otti kantaa BEAST haavoittuvuuteen, joskin suuremman yleisön tietoisuuteen tämä haavoittuvuus nousi vasta viisi vuotta myöhemmin.

Varmenteiden merkitys ja kehitys on kautta niiden olemassaoloajan kiihtynyt ja korkeimman turvatason, Extended Validation (EV), varmenteet syntyvät.

Vuosi 2008 näki mielenkiintoisia haavoittuvuuksia sekä väärinkäytöksiä varmenteiden myöntämisessä (Live.com palveluun hankittiin väärennetty varmenne, StartCom:lla sekä CertStar:lla oli puuttellinen verifiointi joka salli väärennettyjen varmenteiden hankinnan).

Samana vuonna TLS v1.2 sai alkunsa.

SSL Labs, joka julkaisee työkaluja paremman verkkoturvallisuuden kehittämiseksi saa alkunsa. Samalle vuodelle osuu myös ainakin kolme haavoittuvuutta/hyödyntämismenetelmää: Insecure renegotiation, sslstrip ja NUL byte attacks

Google aktivoituu parantamaan verkkoliikenteen turvallisuutta ja ottaa käyttöön HSTS, SPDY ja False Start teknologioita, jotka parantavat SSL/TLS verkkoliikenteen tehokkuutta. Samalle vuodelle osuu myös ikävä susi lampaan vaatteissa, Firesheep joka mahdollisti ei suojatun liikenteen helpon urkkimisen.

Pyrittiin virallisesti pääsemään eroon SSL v2:sta, mutta onnistuiko se kokonaan? Ehkäpä ei. Samaiselle vuodelle napsahti jälleen muutama epäonnistuminen varmennetoimittajilla. Diginotar hakkeroitiin pahemman kerran ja myös Comodon varmenteita onnistuttiin kaappaamaan. Onneksi nämä huomattiin ajoissa ja Comodo revokoi varmenteet.

Google otti käyttöön Public Key Pinning toiminnon omistamilleen saiteille ja vuosien varrella tämä onkin auttanut löytämään useita väärennösyrityksiä.

BEAST hyökkäys nousi tapetille ja tuli kertarysäyksellä julkisuuteen. Google ottaa käyttöön Forward Secrecy ominaisuuden.

Chrome lakkaa tarkistamasta varmenteiden revokointilistoja. Toimittajat tosin kehittivät omia menetelmiänsä, voidakseen varmistaa varmenteiden revokoitumisen.

HTTP/2 saa orastavan kasteen ja keskustelu sen ympärillä kiihtyy. SSL Labs julkaisee SSL Pulse palvelun, jolla voidaan seurata saittien kehittymistä. Tämä palvelu tuo tilastollisen näkymän internetin saiteista ja niiden turvatasosta.

Liekit leimuavat myös FLAME haittaohjelman löydyttyä Iranista. Valtiolliset toimijat ovat todennäköisesti tämän takana.

Microsoft alkaa blokkaamaan 1024 RSA:ta heikompia avaimia. HSTS, CSP nousevat merkittävästi esille. Synkempinä uutisina löytyy CRIME, sekä TurkTrust joka oli vahingossa myöntänyt CA varmenteita loppukäyttäjille.

CA/Browser Forum julkaisee ns. Baseline Requirements ohjeet, joita kaikkien CA:na toimivien tulee noudattaa.

Google julkaisee Certificate Transparency logituksen, joka mahdollistaa myönnettyjen varmenteiden viennin julkisiin rekistereihin.

LUCKY 13 hyökkäysmenetelmä pintautuu ja RC4 saa kuoliniskun uusien tutkimusten valossa. Tosin kestää vielä muutaman vuoden, ennen kuin tämä käytännössä toteutuu. Edward Snowden astuu esiin ja tekee historiallisen paljastuksen NSA:n urkintakoneistosta.

vTLS 1.3 kehittäminen alkaa.

NSA ja GCHQ ovat kehittäneen Bulrun ja Edgehill menetelmiä kryptauksen heikentämiseksi.

Safari ja IE11 alkavat tukea TLS v1.2 versiota. Google alkaa käyttää ChaCha20-Poly1305 TLS:ää, myöhemmin tämä standardisoidaan laajempaan käyttöön.

ANSSI CA rajoitetaan myöntämään varmenteita vain Ranskan alueelle, tämä johtuu siitä että Google Public Key Pinning havaitsee väärennettyjä varmenteita myönnettyinä heidän toimestaan.

RSA 2048 tulee standardiksi RSA 1024:n jäädessä eläkkeelle. Vanhat root ja intermediate varmenteet saavat edelleen jatkaa 1024:lla.

Firefox liittyy Safarin ja IE11 seuraan ja tukee TLS v1.2:ta.

Triple Handshake Attack tutkimus pintautuu ja TLS renegotiation pitää miettiä jälleen uudelleen.

HEARTBLEED OpenSSL projectissa tuo haavoittuvuudet koko kansan tietoisuuteen ja saa ennätysmäärän julkisuutta ja pöhinää aikaan varmenteiden parissa työskentelevissä. Hyvänä puolena HEARTBLEED tuo projektille lisärahoitusta suurten organisaatioiden toimesta ja sen kehittäminen ja korjaaminen saa uutta pontta. HEARTBLEED on piileskellyt projektissa reilun 20 vuotta, tämä verenvuodatus ehkä kannatti.

Google kehittää oman versionsa OpenSSL:stä, BoringSSL:n ja alkaa siirtää Chromiumia sille.

NIC India kärähtää väärennettyjen varmenteiden myöntämisestä ja Chrome rajoittaa tämän root varmenteiden käytön ainoastaan Intialaisille domaineille.

LibreSSL saa HEARTBLEED:in innoittamana alkunsa Ivan Ristic julkaisee Bulletproof SSL and TLS -kirjansa, josta uusittuun versioon pääset tutustumaan tästä.

LOGJAM aloittaa vuoden 2015 ja heti perään pintautuu SUPERFISH, Lenovon kannettavissa esiintynyt haavoittuvuus. Ongelmana oli kovakoodattu root varmenne, jonka privaattiavaimella kuka tahansa vastaavan koneen omistaja pystyi rakentamaan toimivan hyökkäyksen vastaaviin laitteisiin. Tätä seurasi välittömästi Komodia ja PrivDog, vastaavanlaiset haavoittuvuudet.

IETF julkaisee RFC 7465 julkaisun kieltääkseen virallisesti heikoksi havaitun RC4 Cipher suiten.

CNNIC myöntää testikäyttöön lyhytaikaisen Subordinate CA:n, jota päästiin hyväksikäyttämään. Tämän johdosta sekä Google, että Mozilla poistavat CNNIC-rootit käytöstä.

LIVE.FI saa kolauksen Microsoftin unohdettua lukita sen admin sähköpostin ja suomalainen it-manageri saa haettua väärin perustein sille varmenteen. Tämä oli kuitenkin hyväntahtoinen teko, eikä varmennetta käytetty vääriin tarkoituksiin.

Firefox julkaisee OneCRL:n varmenteiden sulkemista varten. Tätä ennen Firefoxin ainoa keino poistaa varmenteita käytöstä oli ohjelmistopäivitykset.

Microsoft esittelee Certificate Reputation ominaisuuden, Windows 10 ottaa näytteitä käyttäjien kohtaamista varmenteista ja toimittaa ne edelleen Bing webmaster ohjelman kautta sivustojen omistajille.

SMACK ja FREAK haavoittuvuudet ilmaantuvat.

Firefox pudottaa pois turvattomat TLS Fallbackit.

HTTP Public Key Pinning, vuosien debaatin jälkeen, julkaisee RFC 7469:n, joka mahdollistaa suojautumisen väärennetyiltä varmenteilta.

Suojausprotokolla TLS Fallback SCSV julkaistaan (RFC 7507) suojaamaan downgrade hyökkäyksiltä, sekä Firefox että Chrome tukee sitä, mutta Microsoft jää kelkasta pois. Google alkaa vaatimaan EV varmenteiden julkaisemista certificate transparency logeihin.

HTTP/2 julkaistaan (RFC 7540), tätä onkin jo odotettu. Kaikki selainvalmistajat ovat päättäneet julkaista HTTP/2:sen suojatulla protokollalla, vaikka itse HTTP/2 ei sitä vaadi.

SSL v3 pistetään jäihin POODLEn saattelemana.

Let's Encrypt julkaistaan, tämä mahdollistaa varmenteiden haun automatisoinnin, ilmaiseksi.

Pääosa selaimista poistaa tuen haavoittuvalle RC4 suitelle.

SHA1 varmenteita ei enää myönnetä.

Crypto Forum Research Group (CFRG) julkaisee (RFC 7748) julkaisun myötä kaksi uutta ECC menetelmää standardoitavaksi.

SLOTH (Security Losses from Obsolete and Truncated Transcript Hashes), CVE-2015-7575) tutkimuksella osoitetaan kuinka monet sovellukset edelleen käyttävät (client ja server) turvattomia RSA-MD5 allekirjoituksia.

Firefox 45 parantaa varmenteiden sulkulistan käsittelyä. Tärkeimpänä uutena ominaisuutena on kuitenkin Must-Staple ominaisuus, varmenteille, jotka on niitattu tuoreella OCSP vastineella.

DROWN hukutti taas toivon kirkkaammista vesistä netissä surffaamiselle. Tutkijat julkaisevat DROWN hyödyntämismenetelmän SSL v2.0 vastaan. Masentavaksi havainnon tekee se, että arvion mukaan n. 33% palvelimista oli tälle alttiina julkaisuhetkellä.

Chrome lopettaa kaikki TLS fallback toiminnot. Tämä muutos on tärkeä siksi, että se heikentää man-in-the-middle väijyjien mahdollisuutta pudottaa suojattu yhteys heikommalle turvatasolle. Google myös lopettaa RC4 ja SSLv3 käytön ja ottaa HSTS:n käyttöön. Kaikki näyttää tässä vaiheessa heinäkuuta kauniilta, kunnes SWEET32 osoittaa kuinka yleisesti käytetyt BLOWFISH ja 3DES cipher:it ovat haavoittuvia.

SHA-1 varmenteiden luotto päättyi helmikuussa 2017. Aikataulua nopeutettiin kun huomattiin, että laskentateho laitteissa on kasvanut niin huimasti, että jopa rikollisille alkaa avautua mahdollisuus hankkia teholtaan tarvittavat laitteet. SHA-2 on tehnyt tuloaan jo pitkään ja aiheuttanut myös kohtuullisen suuria kustannuksia laitteistojen uusimisten myötä. Ehkä saamme hetken hengähtää, ennen kuin seuraava uhka nousee tuhkasta. Vai onko se jo ovella? Kvanttitietokoneiden ylivertainen suorituskyky laskennassa saattaa tehdä tähänkin kohtaan loven.

Suuria mullistuksia on tapahtunut myös CA rintamalla. Sen hetkinen markkinajohtaja Symantec sai pahasti siipeensä annettuaan kumppaneilleen oikeuden verifioida ja myöntää varmenteita itsenäisesti. Tämä johti useisiin väärinkäytöksiin ja lopulta siihen, että Google "suuttui" ja laittoi Symantecin mustalle listalle. Käytännössä tämä johti siihen, että Symantecin eri brändien varmenteisiin lakattiin luottamasta. Lisänsä tähän soppaan toi Digicert, joka päätyi ostamaan Symantecin varmenneliiketoiminnan.

ROBOT Attack nousee julkisuuteen loppuvuodesta 2017. Tämä juontaa juurensa jo vuoteen 1998 saakka, jolloin Daniel Bleichenbacher (Bleichenbacher side channel) havaitsi, haavoittuvuuden, joka mahdollistaa RSA-salauksen purku- ja allekirjoitustoimintojen suorittamisen TLS-palvelimen yksityisellä avaimella.

TLS 1.3 hyväksytään standard -protokollaksi.

Chrome vaatii, että kaikki julkisesti myönnetyt varmenteet lähetetään Certificate Transparency (CT) lokiin.

Automatic Certificate Management Environment (ACME) standardisoidaan ja julkaistaan (RFC 8555).

Google ilmoittaa että Gmail ottaa käyttöön MTA-STS:n, joka on käytännössä sähköpostin vastine HTTP Strict Transport Security -standardille.

Chrome ja Firefox poistavat visuaalisen korostuksen, joka ilmaisi vihreällä osoitepalkilla selaimessa, mikäli sivustolla oli käytössä EV-varmenne.

SHA-1 tiivistefunktioon kohdistuva Shambles attack löydetään.

TLS 1.0 ja 1.1. poistuu käytöstä selaimissa. Syyskuussa 2020 astuu voimaan muutos, jonka myötä Apple ei enää hyväksy varmenteita, joiden elinikä on yli 398 päivää. Chrome, Mozilla ja Microsoft seuraavat perässä ja näin ollen CA:t ovat pakotettuja muuttamaan käytäntöjään.

Tutkijat julkaisevat tiedotteen havaitsemastaan Raccoon attack haavoittuvuudesta, joka mahdollistaa salatun yhteyden murtamisen TLS 1.2:sta ja tätä aiempia TLS protokollia hyödyntävissä ympäristöissä.

The Internet Engineering Task Force (IETF) julkaisee RFC 8996:n minkä myötä TLS 1.0 sekä 1.1 deprekoituvat, koska niissä ilmenneet haavoittuvuudet on todettu korjauskelvottomiksi.

Chrome määrittää sivustojen https://-osoitteen oletukseksi ohjauksiinsa parantaen näin selailijoiden tietoturvaa.