Apple, Google & Mozilla misstrauen WoSign und StartCom

Browserhersteller monieren Manipulationen Apple, Google & Mozilla misstrauen WoSign und StartCom

10.11.2016Autor / Redakteur: Moritz Jäger / Dipl.-Ing. (FH) Andreas Donner

Drei Hersteller entziehen den CAs WoSign und StartCom das Vertrauen. Ausgegebene Zertifikate werfen in den Browsern künftig Fehlermeldungen aus. Wer Zertifikate dieser beiden Ausgabestellen in seinen Webseiten oder Applikationen nutzt, sollte sich demnächst Alternativen suchen.

Anbieter zum Thema

SonicWall Germany

Trustwave Germany GmbH

Apple, Google und Mozilla vertrauen künftig den Zertifikaten von WoSign und StartCom nicht mehr.
(Bild: TBIT - pixabay / CC0 )

Die Zertifikatherausgeber WoSign und StartCom wurden von Apple, Google und Mozilla auf eine schwarze Liste gesetzt. Zertifikaten, die nach dem 21. Oktober 2016 ausgestellt werden, wird demnächst nicht mehr vertraut. Die Änderungen werden im Rahmen von Chrome 56, Firefox 51 sowie einem Sicherheitsupdate für Mac OS und iOS umgesetzt. Nutzer, die auf eine Seite mit einem Zertifikate von WoSign oder StartCom surfen, erhalten eine entsprechende Fehlermeldung.

Was steckt dahinter?

Beim chinesischen Zertifikatherausgeber WoSign kam es zu einer ganzen Reihe von Unregelmäßigkeiten bei der Ausgabe von Zertifikaten. Das Unternehmen vergibt freie SSL-Zertifikate, nimmt es aber scheinbar bei der Kontrolle nicht so genau. Das führte unter anderem dazu, dass sich ein Nutzer ein gültiges Zertifikat für Github.io generieren konnte, ohne dass er irgendetwas mit Github zu tun hatte.

Außerdem erwischte Mozilla die CA dabei, wie sie die Ausgabedaten für SHA-1 SSL-Zertifikate zurückdatierte. Dieser Standard gilt als nicht mehr sicher, seit dem ersten Januar 2016 sollten CAs deswegen nur noch SSL-Zertifikate ausgeben, die mittels SHA-2 signiert wurden.

Und StartCom?

Das israelische Zertifikatsunternehmen StartCom ist ebenfalls auf der schwarzen Liste gelandet. Das liegt vor allem daran, dass WoSign das Unternehmen gekauft hat, ohne dies transparent zu machen. Laut dem Google Blog wurden Infrastruktur, Personal und Ausgabesystem durch das von WoSign ersetzt. Als Mozilla das Unternehmen darauf ansprach, versuchten man es dort mit Ausflüchten und gab an, dass "nichts gemeldet werden müsse". Mozilla, Google und Apple sehen dagegen ein regelwidriges Verhalten, das zusammen mit den länger bekannten technischen Schlampereien zum Ausschluss der beiden CAs führte.

Was müssen Verantwortliche tun?

Grundsätzlich sollten sich IT-Verantwortliche, die WoSign- oder StartCom-Zertifikate verwenden, schnellstmöglich nach einer Alternative umsehen. Kostenlose Zertifikate gibt es etwa über Let’s Encrypt, auch wenn hier keine Wildcard-Zertifikate möglich sind. Falls Zertifikate vor dem 19. September 2016 vom Certificate Transparency Projekt registriert wurden, behalten sie ihre Gültigkeit – zumindest solange sie nicht ablaufen oder vom Besitzer zurückgezogen werden.

Wer mit Let's Encrypt seine Webseite verschlüsselt, sollte zumindest mit kleineren Fehlern rechnen, die sich aber rasch ausfindig machen lassen.

Aufklappen für Details zu Ihrer Einwilligung

Stand vom 30.10.2020

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

(ID:44364771)