Anzeige
Mit Wosign gibt es jetzt eine weitere Möglichkeit, kostenlos TLS-Zertifikate zu erhalten.
Mit Wosign gibt es jetzt eine weitere Möglichkeit, kostenlos TLS-Zertifikate zu erhalten. (Bild: Wosign)

Wosign: Kostenlose TLS-Zertifikate aus China

Mit Wosign gibt es jetzt eine weitere Möglichkeit, kostenlos TLS-Zertifikate zu erhalten.
Mit Wosign gibt es jetzt eine weitere Möglichkeit, kostenlos TLS-Zertifikate zu erhalten. (Bild: Wosign)

Eine neue Zertifizierungsstelle aus China bietet für zwei Jahre gültige kostenlose TLS-Zertifikate an. Dabei gibt es allerdings noch einen kleinen Haken in Sachen Signaturalgorithmus.

Anzeige

Während vor einigen Jahren Zertifikate für verschlüsselte HTTPS-Webseiten noch als teuer galten, ist der neue Trend, dass diese immer häufiger kostenlos verfügbar sind. Mit Wosign gibt es jetzt eine weitere Zertifizierungsstelle, die kostenlose Zertifikate ausstellt. Wosign ist in Shenzhen in China beheimatet, was sicher bei einigen Menschen für Vorbehalte sorgen dürfte. Doch aus technischer Sicht sind solche Vorbehalte unbegründet.

Schon bisher kann man kostenlose TLS-Zertifikate von der israelischen Firma StartSSL erhalten. Diese haben allerdings einige Nachteile. Sie haben nur eine Gültigkeit von einem Jahr, was häufige Zertifikatswechsel erfordert. Während die Zertifikate von StartSSL früher an jeden ausgegeben wurden, ist inzwischen auf der Webseite zu lesen, dass die kostenlosen Zertifikate nur für nichtkommerzielle Zwecke genutzt werden dürfen. Aus dem Umfeld von Mozilla und der EFF ist eine weitere kostenlose Zertifizierungsstelle geplant: Let's encrypt soll im Sommer dieses Jahres starten.

Interface in chinesischer Sprache

Mit Wosign gibt es nun ein weiteres Angebot für kostenlose Zertifikate. Allerdings dürfte die Bestellung bei vielen für Kopfzerbrechen sorgen, denn das Interface ist zur Zeit ausschließlich in Mandarin verfügbar. Es gibt jedoch eine inoffizielle englischsprachige Anleitung mit Screenshots im Blog von Freerk Ohling. Mit Hilfe dieser Anleitung und Google Translate gelingt es auch ohne Sprachkenntnisse, sich ein Zertifikat zu bestellen.

Die Bestellungen werden manuell bearbeitet, es kann einige Stunden dauern, bis das Zertifikat letztendlich verfügbar ist. Bedenken sollte man, dass die OCSP-Server zur Gültigkeitsprüfung in China stehen. Daher sind die OCSP-Prüfungen, die manche Browser beim Laden einer Seite durchführen, relativ langsam. Es empfiehlt sich daher, auf jeden Fall OCSP Stapling zu nutzen, um Ladezeitverzögerungen durch langsame OCSP-Antworten zu verhindern.

Neben der Gültigkeit von zwei Jahren gibt es einen weiteren kleinen Vorteil von Wosign gegenüber StartSSL: Man kann auch Zertifikate erstellen, die nur für einzelne Subdomains gelten. Bei StartSSL sind alle Zertifikate grundsätzlichen auch für die Hauptdomain gültig. In einigen Fällen ist dies nicht erwünscht.

Wosign ist nicht direkt in den Webbrowsern integriert. Stattdessen ist das Zertifikat von Wosign selbst wiederum von StartSSL signiert. Somit werden die Wosign-Zertifikate von allen modernen Browsern akzeptiert. Einen Nachteil hat das Ganze allerdings: Das Zwischenzertifikat von Wosign hat zur Zeit eine Signatur mit dem Hash-Algorithmus SHA-1. Dieser gilt schon länger als problematisch, und im vergangenen Jahr hat Google angekündigt, im Chrome-Browser vor entsprechenden Zertifikaten in verschiedenen Stufen zu warnen. Wosign hat jedoch bereits ein neues Zwischenzertifikat bei StartSSL beantragt, somit dürfte sich dieses Problem in Kürze erledigt haben.

Zertifikate aus China keine Neuheit

Für die größten Vorbehalte dürfte wohl sorgen, dass Wosign in China betrieben wird. Allerdings: Zu neuen Sicherheitsproblemen wird das wohl nicht führen. Schon jetzt akzeptieren die großen Browser Zertifikate der Zertifizierungsstelle CNNIC (China Internet Network Information Center), einer Organisation, die dem chinesischen Informationsministerium unterstellt ist.

Wosign bietet, wie einige andere Zertifizierungsstellen auch, die Möglichkeit, sich den privaten Schlüssel auf dem Server erstellen zu lassen. Davon ist generell dringend abzuraten - völlig unabhängig davon, für wie vertrauenswürdig man eine Zertifizierungsstelle hält. Vielmehr sollte man auf dem lokalen Rechner ein sogenanntes Certificate Signing Request (CSR) erzeugen und über diesen Weg ein Zertifikat anfordern.

Key Pinning schützt vor kompromittierten Zertifizierungsstellen

Für welche Zertifizierungsstelle sich ein Webseitenbetreiber entscheidet, ist aus Sicherheitsgründen im Grunde egal. Denn auch jede andere Zertifizierungsstelle kann gefälschte Zertifikate für eine Seite ausstellen. Teilweise verhindern kann man solche Angriffe durch böswillige Zertifizierungsstellen, indem man HTTP Public Key Pinning einsetzt.

Nachtrag vom 13. Februar 2015, 12:11 Uhr

Inzwischen gibt es von Wosign neue Zwischenzertifikate, die mit SHA256 signiert sind. Somit gibt es keine Probleme mit aktuellen Browsern. Weiterhin ist das Interface zur Bestellung von Zertifikaten jetzt auch auf Englisch verfügbar.


eye home zur Startseite
Frank 13. Feb 2015

Der TLS-Handshake benötigt zusätzliches Datenvolumen, vor allem aber zusätzliche...

patrik.stutz 13. Feb 2015

Einfache Lösung: Alle CAs standardmässig aus den Browsern entfernen. Wenn der User einer...

RipClaw 08. Feb 2015

Kann ich bestätigen. Neulich hatte ein Kunde das Problem das der Mailversand über seinen...



Anzeige

Stellenmarkt
  1. Bosch Sensortec GmbH, Reutlingen
  2. Deutsche Telekom AG, Leinfelden-Echterdingen
  3. Daimler AG, Sindelfingen
  4. Amedes Medizinische Dienstleistungen GmbH, Hamburg


Anzeige
Top-Angebote
  1. 229,00€ inkl. Versand
  2. mit Geforce GTX 1070 und i5-6500 für 1.229 €
  3. (u. a. Ice Age 1-4 Blu-ray je 6,90€, Rio 2 Blu-ray 6,90€, Playstation VR 399€)

Folgen Sie uns
       


  1. Passwort-Cracker

    Hashcat will jetzt auch Veracrypt knacken können

  2. Sparc S7

    Oracle attackiert Intels Xeon mit acht Kernen bei 4,27 GHz

  3. Musikstreaming

    Spotify wirft Apple Behinderung des Wettbewerbs vor

  4. Fireflies

    Günstige Bluetooth-Ohrstecker sollen 100 US-Dollar kosten

  5. Twitch

    "Social Eating" als neuer Kanal

  6. Tidal

    Apple will Streamingdienst von Jay Z kaufen

  7. Social Media

    Facebook-Nutzer müssen vorerst weiter Klarnamen angeben

  8. Xiaomi Mi Qicycle

    Elektrisches Klappfahrrad mit Smartphone-Anschluss

  9. The Mill Blackbird

    Auto verwandelt sich für Filmaufnahmen

  10. United Internet

    Festnetzbetreiber heißt jetzt 1&1 Versatel



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oneplus Three im Test: Ein Alptraum für die Android-Konkurrenz
Oneplus Three im Test
Ein Alptraum für die Android-Konkurrenz
  1. Android-Smartphone Diskussionen um Speichermanagement beim Oneplus Three
  2. Smartphones Oneplus soll keine günstigeren Modellreihen mehr planen
  3. Ohne Einladung Oneplus Three kommt mit 6 GByte RAM für 400 Euro

Mobbing auf Wikipedia: Content-Vandalismus, Drohungen und Beschimpfung
Mobbing auf Wikipedia
Content-Vandalismus, Drohungen und Beschimpfung
  1. Freies Wissen Katherine Maher wird dauerhafte Wikimedia-Chefin

Neue Windows Server: Nano bedeutet viel mehr als nur klein
Neue Windows Server
Nano bedeutet viel mehr als nur klein
  1. Windows 10 Microsoft will Trickserei beim Upgrade beenden
  2. Windows 10 Microsoft zahlt Entschädigung für nicht gewolltes Upgrade
  3. Microsoft Patchday Das Download-Center wird nicht mehr alle Patches bieten

  1. Re: Wirklich übel!

    Smincke | 11:41

  2. Re: never before has a generation so diligently...

    david_rieger | 11:41

  3. Re: 400¤ ?

    Bigfoo29 | 11:41

  4. Re: Social Shi**ing

    ElMario | 11:41

  5. Re: architektur?

    Marentis | 11:40


  1. 11:39

  2. 11:35

  3. 10:36

  4. 10:30

  5. 10:23

  6. 10:14

  7. 09:44

  8. 07:58


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel