Abo
  • Services:
Anzeige
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling (Bild: Mozilla)

Firefox: Mitgelieferte Gültigkeitsprüfung für Zertifikate

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Anzeige

Zur korrekten Überprüfung eines Zertifikats beim Aufbau einer TLS-Verbindung gehört es üblicherweise, dass auch bei der Zertifizierungsstelle verifiziert wird, ob das X.509-Zertifikat von dieser zurückgezogen wurde. Die Zertifizierungsstellen ziehen Zertifikate zurück, wenn ihnen durch den Besitzer mitgeteilt wurde, dass der private Schlüssel eines Zertifikats möglicherweise in die Hände von Angreifern gelangt ist.

Doch die bisherigen Verfahren - CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol) - haben zahlreiche Probleme und werden daher nur noch selten eingesetzt. Mit OCSP Stapling könnte Abhilfe geschaffen werden. Die Grundidee ist, dass bereits beim Aufbau einer SSL-Verbindung die Gültigkeitsinformationen für ein Zertifikat mitgeliefert werden.

Mozilla ist spät dran

Wie auf dem Entwicklerblog von Mozilla zu lesen ist, werden künftige Versionen von Firefox OCSP Stapling unterstützen, in den aktuellen Nightly-Builds ist es bereits aktiviert. Damit ist Firefox vergleichsweise spät dran, der Internet Explorer, Chrome und Opera unterstützen OCSP Stapling bereits, lediglich Safari fehlt noch in der Liste der bekannten Browser.

Das erste Konzept zur Überprüfung der Gültigkeit von Zertifikaten waren sogenannte Certificate Revocation Lists (CRLs). Zertifizierungsstellen hielten eine Liste von für ungültig erklärten Zertifikaten vor. Naheliegenderweise hatte dieses Konzept schnell ein Problem: Die Listen wurden zu groß, eine Überprüfung der Listen durch den Browser war nicht mehr realistisch.

Problematische OCSP-Server

Abhilfe sollte das Protokoll OCSP schaffen. Hierbei schickt der Browser eine Anfrage zu jedem Zertifikat, das überprüft werden soll, und erhält eine unterschriebene Antwort der Zertifizierungsstelle. Problem dabei: Theoretisch müssten Browser, wenn sie keine Antwort erhalten, das Zertifikat für ungültig erklären.

In der Praxis geschieht dies aber nicht, denn es würde häufig zu Fehlverbindungen kommen, wenn die OCSP-Server einer Zertifizierungsstelle gerade nicht erreichbar sind. Ein Angreifer, der ein für ungültig erklärtes Zertifikat besitzt, kann somit die Verbindung zum OCSP-Server der Zertifizierungsstelle stören und verhindern, dass die Gültigkeit eines Zertifikats überprüft wird.

Ein weiteres Problem von OCSP ist der Datenschutz. Die Zertifizierungsstellen erhalten aufgrund der Anfragen durch die Browser umfangreiche Informationen darüber, wer auf welchen HTTPS-Seiten unterwegs ist. Aufgrund der zahlreichen Probleme von OCSP sind einige Browserhersteller inzwischen dazu übergegangen, OCSP einfach abzuschalten.

Abfrage per Webserver

OCSP Stapling geht nun einen anderen Weg. Hier fragt nicht der Browser die Gültigkeit eines Zertifikats ab, sondern der Webserver. Die Antwort des OCSP-Servers ist für einen begrenzten Zeitraum, etwa einige Stunden, gültig und wird beim Aufbau einer TLS-Verbindung mitgesendet.

Somit müssen der Webserver und der Browser OCSP Stapling unterstützen. Laut einer Erhebung der Webseite Netcraft sind es vor allem Microsofts IIS-Server, die OCSP Stapling bereits unterstützen. Apache liefert die Funktion ebenfalls ab der Version 2.4 mit, sie muss jedoch manuell aktiviert werden. Nginx unterstützt seit Version 1.4.0 ebenfalls OCSP Stapling.

Ob ein HTTPS-Server OCSP Stapling unterstützt, kann mit dem SSL-Test der Firma Qualys online überprüft werden.


eye home zur Startseite
Spaghetticode 31. Jul 2013

Ich habe diese Option schon seit einiger Zeit in meinen Fireföxen aktiviert. Zu...



Anzeige

Stellenmarkt
  1. Hubert Burda Media, Offenburg
  2. Bosch Software Innovations GmbH, Waiblingen, Berlin
  3. B. Metzler seel. Sohn & Co. Holding AG, Frankfurt
  4. über Ratbacher GmbH, Berlin


Anzeige
Blu-ray-Angebote
  1. (u. a. Apollo 13, Insidious, Horns, King Kong, E.T. The Untouchables, Der Sternwanderer)
  2. (u. a. Vier Fäuste für ein Halleluja, Zwei bärenstarke Typen,Vier Fäuste gegen Rio)
  3. 17,97€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von IBM
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Sicherheitskonzeption für das App-getriebene Geschäft


  1. Travelers Box

    Münzgeld am Flughafen tauschen

  2. Apple

    Produktionsfehler macht Akkutausch im iPhone 6S notwendig

  3. Apple

    Aktivierungssperre des iPads lässt sich umgehen

  4. Amazon

    Downloader-App aus dem Fire-TV-Store entfernt

  5. Autonomes Fahren

    Apple zeigt Interesse an selbstfahrenden Autos

  6. Sicherheit

    Geheimdienst warnt vor Cyberattacke auf russische Banken

  7. Super Mario Bros. (1985)

    Fahrt ab auf den Bruder!

  8. Canon EOS 5D Mark IV im Test

    Grundsolides Arbeitstier mit einer Portion Extravaganz

  9. PSX 2016

    Sony hat The Last of Us 2 angekündigt

  10. Raspberry Pi

    Schutz gegen Übernahme durch Hacker und Botnetze verbessert



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nach Angriff auf Telekom: Mit dem Strafrecht Router ins Terrorcamp schicken oder so
Nach Angriff auf Telekom
Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  1. 0-Day Tor und Firefox patchen ausgenutzten Javascript-Exploit
  2. Pornoseite Xhamster spricht von Fake-Leak
  3. Mitfahrgelegenheit.de 640.000 Ibans von Mitfahrzentrale-Nutzern kopiert

Digitalcharta: Operation am offenen Herzen der europäischen Demokratie
Digitalcharta
Operation am offenen Herzen der europäischen Demokratie
  1. EU-Kommission Mehrwertsteuer für digitale Medien soll sinken
  2. Vernetzte Geräte Verbraucherminister fordern Datenschutz im Haushalt
  3. Neue Richtlinie EU plant Netzsperren und Staatstrojaner

Garamantis: Vorsicht Vitrine, anfassen erwünscht!
Garamantis
Vorsicht Vitrine, anfassen erwünscht!
  1. Gentechnik Mediziner setzen einem Menschen Crispr-veränderte Zellen ein
  2. Zarm Zehn Sekunden schwerelos
  3. Mikroelektronik Wie eine Vakuumröhre - nur klein, stromsparend und schnell

  1. Re: Wenn Obama seinen Behörden das Hacken von...

    Desertdelphin | 09:26

  2. Re: Die Einbrinung einer Mindestgarntie

    Andre_af | 09:24

  3. Re: Wegen Galiumnitrid? Sonst nichts?

    DasBoeseBlub | 09:24

  4. Re: Habe selbst keinen Raspberry

    RicoBrassers | 09:24

  5. Re: Genau sowas steht in den...

    M.P. | 09:22


  1. 09:26

  2. 08:41

  3. 12:54

  4. 11:56

  5. 10:54

  6. 10:07

  7. 08:59

  8. 08:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel