Abo
  • IT-Karriere:

Chrome: Google plant drastische Maßnahmen gegen Symantec

Nach mehreren Vorfällen, bei denen Symantec offenbar die Kontrolle über seine Zertifikatsinfrastruktur verloren hatte, plant Google nun drastische Maßnahmen. Das könnte für Symantec existenzbedrohend werden.

Artikel veröffentlicht am , Hanno Böck
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein.
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein. (Bild: LPS.1/Wikimedia Commons/CC0 1.0)

Für die Firma Symantec dürften schwierige Zeiten anbrechen. Chrome-Entwickler Ryan Sleevi kündigte auf einer Entwicklermailingliste an, welche Maßnahmen Google plant, um auf fehlerhafte Zertifikatsausstellungen von Symantec zu reagieren.

Inhalt:
  1. Chrome: Google plant drastische Maßnahmen gegen Symantec
  2. Keine Extended-Validation-Zertifikate mehr von Symantec

Über einen Zeitraum von mehreren Monaten sollen schrittweise alle momentan gültigen und von Symantec ausgestellten Zertifikate ungültig werden. Symantec kann zwar weiterhin neue Zertifikate ausstellen, die dürfen aber nur noch neun Monate gültig sein. Und die teuren und daher bei Zertifizierungsstellen besonders beliebten Extended-Validation-Zertifikate darf Symantec vorerst überhaupt nicht mehr ausstellen, bestehende Extended-Validation-Zertifikate sind damit praktisch wertlos. Symantec verkauft Zertifikate unter verschiedenen Produktnamen, auch zu Symantec gehörende Marken wie Thawte, Geotrust oder Verisign sind davon betroffen.

30.000 Zertifikate von unzuverlässigen Partnern ausgestellt

Der Hintergrund: Anfang Januar fand Andrew Ayer von der Firma SSLMate heraus, dass in den Certificate-Transparency-Logdaten mehrere Testzertifikate zu finden waren, die für Domains ausgestellt waren, deren Inhaber diese nicht beantragt hatten. Ausgestellt wurden diese jedoch nicht von Symantec selbst, sondern von einer Firma namens Crosscert.

Nach Recherchen von Google und Mozilla stellte sich jedoch heraus, dass das Problem weit größer war. Insgesamt vier Firmen hatten Kontrolle über die Infrastruktur von Symantec, konnten Zertifikate ausstellen und wurden dabei über Jahre hinweg nicht hinreichend kontrolliert. Von diesen vier Firmen wurden insgesamt mindestens 30.000 Zertifikate ausgestellt. Offenbar ist es jedoch technisch nicht feststellbar, welche Zertifikate davon betroffen sind - sie sind identisch mit anderen von Symantec ausgestellten Zertifikaten. Daher besteht keine Möglichkeit, nur diesen Zertifikaten das Vertrauen zu entziehen.

Stellenmarkt
  1. Mercer Timber Products GmbH, Saalburg-Ebersdorf
  2. Darlehenskasse der Studierendenwerke e.V., Köln

Laut Ryan Sleevi hatte Symantec von einigen dieser Vorfälle bereits gewusst, diese jedoch nicht öffentlich eingestanden. Auch hätte Symantec mehrfach auf Fragen von Google und Mozilla bei der Recherche nicht ausreichend geantwortet. Symantec stand bereits vor dem Vorfall unter verschärfter Beobachtung, da schon 2015 zu Testzwecken von Symantec unberechtigt Zertifikate ausgestellt wurden, unter anderem für Domains von Google selbst.

Symantec hatte damit vielfach gegen die Regelungen des CA/Browser-Forums verstoßen. In dieser Organisation legen Zertifizierungsstellen und Browserhersteller gemeinsam Regelungen fest, an die sich TLS-Zertifizierungsstellen halten müssen.

Alle Zertifikate müssten ersetzt werden

Sollte Google die jetzt vorgestellten Maßnahmen tatsächlich verwirklichen, dürfte das für Symantec drastische Auswirkungen haben. Alle Symantec-Kunden müssen ihre Zertifikate ersetzen. Das soll schrittweise erfolgen. Zunächst werden alle Zertifikate mit einer Laufzeit von über 33 Monaten ungültig. Schrittweise soll dieser Wert weiter gesenkt werden. In Version 64, die Anfang 2018 erscheint, sollen nur noch Zertifikate mit einer Gültigkeit von neun Monaten akzeptiert werden.

Die Verkürzung der Zertifikatslaufzeit entspricht einem generellen Wunsch von Google. Das ist auch ein Resultat aus der Diskussion um die Abschaffung von SHA-1. Da viele Zertifikate Laufzeiten von mehreren Jahren haben, dauert es oft sehr lange, bis Änderungen durchgesetzt werden können. Vor kurzem hatte Google daher versucht, im CA/Browser-Forum eine Begrenzung der Laufzeit von Zertifikaten auf 398 Tage festzuschreiben. Mozilla unterstützte Googles Pläne, doch von den Zertifizierungsstellen gab es heftigen Widerstand. Nur Let's Encrypt stimmte für diese Änderung, 24 Zertifizierungsstellen stimmten dagegen, drei enthielten sich.

Keine Extended-Validation-Zertifikate mehr von Symantec 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. (u. a. Seasonic Focus Gold 450 W für 46,99€ statt über 60€ im Vergleich)
  2. 92,60€
  3. (aktuell u. a. Notebooks)
  4. 999€ (Vergleichspreis 1.111€)

Rulf 30. Mär 2017

und da braucht sich niemand an die regeln halten, weil sie weder kontrolliert noch strikt...

My1 27. Mär 2017

also ich hab nen etwas aufgemotzten (SSD, mehr RAM) dell inspiron 17 3721. ich fahr nach...

My1 27. Mär 2017

ja mag sein, wobei zumindest ich als ich damals mir online banking machen lassen habe, no...

Xiut 27. Mär 2017

Es geht um... Und das ist kompletter Unsinn und stimmt absolut nicht...

TechnikSchaaf 26. Mär 2017

... nicht aber all jene von denen man nicht weis ob sie eventuell auch unberechtigter...


Folgen Sie uns
       


Days Gone - Fazit

In Days Gone sind wir als Rocker Deacon St. John im zerstörten Oregon unterwegs und erleben das ganz große Abenteuer.

Days Gone - Fazit Video aufrufen
Bandlaufwerke als Backupmedium: Wie ein bisschen Tetris spielen
Bandlaufwerke als Backupmedium
"Wie ein bisschen Tetris spielen"

Hinter all den modernen Computern rasseln im Keller heutzutage noch immer Bandlaufwerke vor sich hin - eine der ältesten digitalen Speichertechniken. Golem.de wollte wissen, wie das im modernen Rechenzentrum aussieht und hat das GFZ Potsdam besucht, das Tape für Backups nutzt.
Von Oliver Nickel


    IT-Forensikerin: Beweise sichern im Faradayschen Käfig
    IT-Forensikerin
    Beweise sichern im Faradayschen Käfig

    IT-Forensiker bei der Bundeswehr sichern Beweise, wenn Soldaten Dienstvergehen oder gar Straftaten begehen, und sie jagen Viren auf Militärcomputern. Golem.de war zu Gast im Zentrum für Cybersicherheit, das ebenso wie die IT-Wirtschaft um guten Nachwuchs buhlt.
    Eine Reportage von Maja Hoock

    1. Homeoffice Wenn der Arbeitsplatz so anonym ist wie das Internet selbst
    2. Bundesagentur für Arbeit Informatikjobs bleiben 132 Tage unbesetzt
    3. IT-Headhunter ReactJS- und PHP-Experten verzweifelt gesucht

    Elektromobilität: Wohin mit den vielen Akkus?
    Elektromobilität
    Wohin mit den vielen Akkus?

    Akkus sind die wichtigste Komponente von Elektroautos. Doch auch, wenn sie für die Autos nicht mehr geeignet sind, sind sie kein Fall für den Schredder. Hersteller wie Audi testen Möglichkeiten, sie weiterzuverwenden.
    Ein Bericht von Dirk Kunde

    1. Proterra Elektrobushersteller vermietet Akkus zur Absatzförderung
    2. Batterieherstellung Kampf um die Zelle
    3. US CPSC HP muss in den USA nochmals fast 80.000 Akkus zurückrufen

      •  /