Chrome: Google plant drastische Maßnahmen gegen Symantec

Nach mehreren Vorfällen, bei denen Symantec offenbar die Kontrolle über seine Zertifikatsinfrastruktur verloren hatte, plant Google nun drastische Maßnahmen. Das könnte für Symantec existenzbedrohend werden.

Artikel veröffentlicht am , Hanno Böck
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein.
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein. (Bild: LPS.1/Wikimedia Commons/CC0 1.0)

Für die Firma Symantec dürften schwierige Zeiten anbrechen. Chrome-Entwickler Ryan Sleevi kündigte auf einer Entwicklermailingliste an, welche Maßnahmen Google plant, um auf fehlerhafte Zertifikatsausstellungen von Symantec zu reagieren.

Inhalt:
  1. Chrome: Google plant drastische Maßnahmen gegen Symantec
  2. Keine Extended-Validation-Zertifikate mehr von Symantec

Über einen Zeitraum von mehreren Monaten sollen schrittweise alle momentan gültigen und von Symantec ausgestellten Zertifikate ungültig werden. Symantec kann zwar weiterhin neue Zertifikate ausstellen, die dürfen aber nur noch neun Monate gültig sein. Und die teuren und daher bei Zertifizierungsstellen besonders beliebten Extended-Validation-Zertifikate darf Symantec vorerst überhaupt nicht mehr ausstellen, bestehende Extended-Validation-Zertifikate sind damit praktisch wertlos. Symantec verkauft Zertifikate unter verschiedenen Produktnamen, auch zu Symantec gehörende Marken wie Thawte, Geotrust oder Verisign sind davon betroffen.

30.000 Zertifikate von unzuverlässigen Partnern ausgestellt

Der Hintergrund: Anfang Januar fand Andrew Ayer von der Firma SSLMate heraus, dass in den Certificate-Transparency-Logdaten mehrere Testzertifikate zu finden waren, die für Domains ausgestellt waren, deren Inhaber diese nicht beantragt hatten. Ausgestellt wurden diese jedoch nicht von Symantec selbst, sondern von einer Firma namens Crosscert.

Nach Recherchen von Google und Mozilla stellte sich jedoch heraus, dass das Problem weit größer war. Insgesamt vier Firmen hatten Kontrolle über die Infrastruktur von Symantec, konnten Zertifikate ausstellen und wurden dabei über Jahre hinweg nicht hinreichend kontrolliert. Von diesen vier Firmen wurden insgesamt mindestens 30.000 Zertifikate ausgestellt. Offenbar ist es jedoch technisch nicht feststellbar, welche Zertifikate davon betroffen sind - sie sind identisch mit anderen von Symantec ausgestellten Zertifikaten. Daher besteht keine Möglichkeit, nur diesen Zertifikaten das Vertrauen zu entziehen.

Stellenmarkt
  1. IT- Projektmanager (w/m/d) digitale Medizin - eHealth
    Universitätsklinikum Hamburg-Eppendorf, Hamburg-Eppendorf
  2. IT Support Administrator (m/w/d)
    BITO-Lagertechnik Bittmann GmbH, Meisenheim
Detailsuche

Laut Ryan Sleevi hatte Symantec von einigen dieser Vorfälle bereits gewusst, diese jedoch nicht öffentlich eingestanden. Auch hätte Symantec mehrfach auf Fragen von Google und Mozilla bei der Recherche nicht ausreichend geantwortet. Symantec stand bereits vor dem Vorfall unter verschärfter Beobachtung, da schon 2015 zu Testzwecken von Symantec unberechtigt Zertifikate ausgestellt wurden, unter anderem für Domains von Google selbst.

Symantec hatte damit vielfach gegen die Regelungen des CA/Browser-Forums verstoßen. In dieser Organisation legen Zertifizierungsstellen und Browserhersteller gemeinsam Regelungen fest, an die sich TLS-Zertifizierungsstellen halten müssen.

Alle Zertifikate müssten ersetzt werden

Sollte Google die jetzt vorgestellten Maßnahmen tatsächlich verwirklichen, dürfte das für Symantec drastische Auswirkungen haben. Alle Symantec-Kunden müssen ihre Zertifikate ersetzen. Das soll schrittweise erfolgen. Zunächst werden alle Zertifikate mit einer Laufzeit von über 33 Monaten ungültig. Schrittweise soll dieser Wert weiter gesenkt werden. In Version 64, die Anfang 2018 erscheint, sollen nur noch Zertifikate mit einer Gültigkeit von neun Monaten akzeptiert werden.

Die Verkürzung der Zertifikatslaufzeit entspricht einem generellen Wunsch von Google. Das ist auch ein Resultat aus der Diskussion um die Abschaffung von SHA-1. Da viele Zertifikate Laufzeiten von mehreren Jahren haben, dauert es oft sehr lange, bis Änderungen durchgesetzt werden können. Vor kurzem hatte Google daher versucht, im CA/Browser-Forum eine Begrenzung der Laufzeit von Zertifikaten auf 398 Tage festzuschreiben. Mozilla unterstützte Googles Pläne, doch von den Zertifizierungsstellen gab es heftigen Widerstand. Nur Let's Encrypt stimmte für diese Änderung, 24 Zertifizierungsstellen stimmten dagegen, drei enthielten sich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Keine Extended-Validation-Zertifikate mehr von Symantec 
  1. 1
  2. 2
  3.  


Rulf 30. Mär 2017

und da braucht sich niemand an die regeln halten, weil sie weder kontrolliert noch strikt...

My1 27. Mär 2017

also ich hab nen etwas aufgemotzten (SSD, mehr RAM) dell inspiron 17 3721. ich fahr nach...

My1 27. Mär 2017

ja mag sein, wobei zumindest ich als ich damals mir online banking machen lassen habe, no...

Xiut 27. Mär 2017

Es geht um... Und das ist kompletter Unsinn und stimmt absolut nicht...



Aktuell auf der Startseite von Golem.de
Sicherheitslücke
Die Schadsoftware, die auf ausgeschalteten iPhones aktiv ist

Forschern ist es gelungen, eine Schadsoftware auf ausgeschalteten iPhones mit vermeintlich leerem Akku auszuführen. Denn ganz aus sind diese nicht.

Sicherheitslücke: Die Schadsoftware, die auf ausgeschalteten iPhones aktiv ist
Artikel
  1. Bundeswehr: Das Heer will sich nicht abhören lassen
    Bundeswehr
    Das Heer will sich nicht abhören lassen

    Um sicher zu kommunizieren, halten die Landstreitkräfte in NATO-Missionen angeblich ihre Panzer an und verabreden sich "von Turm zu Turm".
    Ein Bericht von Matthias Monroy

  2. Einstieg in Linux mit drei Online-Workshops
     
    Einstieg in Linux mit drei Online-Workshops

    Linux-Systeme verstehen und härten sowie die Linux-Shell programmieren - das bieten drei praxisnahe Online-Workshops der Golem Akademie.
    Sponsored Post von Golem Akademie

  3. Milliarden-Übernahme: Musk spricht von günstigerem Übernahmeangebot für Twitter
    Milliarden-Übernahme  
    Musk spricht von günstigerem Übernahmeangebot für Twitter

    Mit Blick auf die Zählung von Spam-Konten bei Twitter hat Elon Musk gefragt, ob die mehr als 200 Millionen Twitter-Nutzer angerufen worden seien.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 400€ Rabatt auf Gaming-Stühle • AOC G3 Gaming-Monitor 34" UWQHD 165 Hz günstig wie nie: 404€ • Xbox Series X bestellbar • MindStar (u.a. Gigabyte RTX 3090 24GB 1.699€) • LG OLED TV (2021) 65" 120 Hz 1.499€ statt 2.799€ [Werbung]
    •  /