• IT-Karriere:
  • Services:

Chrome: Google plant drastische Maßnahmen gegen Symantec

Nach mehreren Vorfällen, bei denen Symantec offenbar die Kontrolle über seine Zertifikatsinfrastruktur verloren hatte, plant Google nun drastische Maßnahmen. Das könnte für Symantec existenzbedrohend werden.

Artikel veröffentlicht am , Hanno Böck
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein.
Im Symantec-Hauptquartier dürften einige Leute gerade nervös werden - Googles Androhung könnte durchaus existenzbedrohend für die Firma sein. (Bild: LPS.1/Wikimedia Commons/CC0 1.0)

Für die Firma Symantec dürften schwierige Zeiten anbrechen. Chrome-Entwickler Ryan Sleevi kündigte auf einer Entwicklermailingliste an, welche Maßnahmen Google plant, um auf fehlerhafte Zertifikatsausstellungen von Symantec zu reagieren.

Inhalt:
  1. Chrome: Google plant drastische Maßnahmen gegen Symantec
  2. Keine Extended-Validation-Zertifikate mehr von Symantec

Über einen Zeitraum von mehreren Monaten sollen schrittweise alle momentan gültigen und von Symantec ausgestellten Zertifikate ungültig werden. Symantec kann zwar weiterhin neue Zertifikate ausstellen, die dürfen aber nur noch neun Monate gültig sein. Und die teuren und daher bei Zertifizierungsstellen besonders beliebten Extended-Validation-Zertifikate darf Symantec vorerst überhaupt nicht mehr ausstellen, bestehende Extended-Validation-Zertifikate sind damit praktisch wertlos. Symantec verkauft Zertifikate unter verschiedenen Produktnamen, auch zu Symantec gehörende Marken wie Thawte, Geotrust oder Verisign sind davon betroffen.

30.000 Zertifikate von unzuverlässigen Partnern ausgestellt

Der Hintergrund: Anfang Januar fand Andrew Ayer von der Firma SSLMate heraus, dass in den Certificate-Transparency-Logdaten mehrere Testzertifikate zu finden waren, die für Domains ausgestellt waren, deren Inhaber diese nicht beantragt hatten. Ausgestellt wurden diese jedoch nicht von Symantec selbst, sondern von einer Firma namens Crosscert.

Nach Recherchen von Google und Mozilla stellte sich jedoch heraus, dass das Problem weit größer war. Insgesamt vier Firmen hatten Kontrolle über die Infrastruktur von Symantec, konnten Zertifikate ausstellen und wurden dabei über Jahre hinweg nicht hinreichend kontrolliert. Von diesen vier Firmen wurden insgesamt mindestens 30.000 Zertifikate ausgestellt. Offenbar ist es jedoch technisch nicht feststellbar, welche Zertifikate davon betroffen sind - sie sind identisch mit anderen von Symantec ausgestellten Zertifikaten. Daher besteht keine Möglichkeit, nur diesen Zertifikaten das Vertrauen zu entziehen.

Stellenmarkt
  1. SIZ GmbH, Bonn
  2. OGS Gesellschaft für Datenverarbeitung und Systemberatung mbH, Koblenz

Laut Ryan Sleevi hatte Symantec von einigen dieser Vorfälle bereits gewusst, diese jedoch nicht öffentlich eingestanden. Auch hätte Symantec mehrfach auf Fragen von Google und Mozilla bei der Recherche nicht ausreichend geantwortet. Symantec stand bereits vor dem Vorfall unter verschärfter Beobachtung, da schon 2015 zu Testzwecken von Symantec unberechtigt Zertifikate ausgestellt wurden, unter anderem für Domains von Google selbst.

Symantec hatte damit vielfach gegen die Regelungen des CA/Browser-Forums verstoßen. In dieser Organisation legen Zertifizierungsstellen und Browserhersteller gemeinsam Regelungen fest, an die sich TLS-Zertifizierungsstellen halten müssen.

Alle Zertifikate müssten ersetzt werden

Sollte Google die jetzt vorgestellten Maßnahmen tatsächlich verwirklichen, dürfte das für Symantec drastische Auswirkungen haben. Alle Symantec-Kunden müssen ihre Zertifikate ersetzen. Das soll schrittweise erfolgen. Zunächst werden alle Zertifikate mit einer Laufzeit von über 33 Monaten ungültig. Schrittweise soll dieser Wert weiter gesenkt werden. In Version 64, die Anfang 2018 erscheint, sollen nur noch Zertifikate mit einer Gültigkeit von neun Monaten akzeptiert werden.

Die Verkürzung der Zertifikatslaufzeit entspricht einem generellen Wunsch von Google. Das ist auch ein Resultat aus der Diskussion um die Abschaffung von SHA-1. Da viele Zertifikate Laufzeiten von mehreren Jahren haben, dauert es oft sehr lange, bis Änderungen durchgesetzt werden können. Vor kurzem hatte Google daher versucht, im CA/Browser-Forum eine Begrenzung der Laufzeit von Zertifikaten auf 398 Tage festzuschreiben. Mozilla unterstützte Googles Pläne, doch von den Zertifizierungsstellen gab es heftigen Widerstand. Nur Let's Encrypt stimmte für diese Änderung, 24 Zertifizierungsstellen stimmten dagegen, drei enthielten sich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Keine Extended-Validation-Zertifikate mehr von Symantec 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. (aktuell u. a. AMD Ryzen Threadripper 2920X für 399€ inkl. Versand)
  2. (u. a. Samsung Galaxy S10 128 GB für 555€ statt 599€ im Vergleich und Sony Xperia 10 21:9 64...
  3. (u. a. HP Omen 25 FHD/144 Hz für 169€, MSI Optix MAG271CQP WQHD/144 Hz für 339€ und...
  4. 159€ (neuer Tiefpreis)

Rulf 30. Mär 2017

und da braucht sich niemand an die regeln halten, weil sie weder kontrolliert noch strikt...

My1 27. Mär 2017

also ich hab nen etwas aufgemotzten (SSD, mehr RAM) dell inspiron 17 3721. ich fahr nach...

My1 27. Mär 2017

ja mag sein, wobei zumindest ich als ich damals mir online banking machen lassen habe, no...

Xiut 27. Mär 2017

Es geht um... Und das ist kompletter Unsinn und stimmt absolut nicht...

TechnikSchaaf 26. Mär 2017

... nicht aber all jene von denen man nicht weis ob sie eventuell auch unberechtigter...


Folgen Sie uns
       


Razer Eracing Simulator ausprobiert (CES 2020)

Der Eracing Simulator von Razer versucht, das Fahrgefühl in einem Rennwagen wiederzugeben. Dank Motoren und einer großen Leinwand ist die Immersion sehr gut, wie Golem.de im Hands on feststellen konnte.

Razer Eracing Simulator ausprobiert (CES 2020) Video aufrufen
Radeon RX 5600 XT im Test: AMDs Schneller als erwartet-Grafikkarte
Radeon RX 5600 XT im Test
AMDs "Schneller als erwartet"-Grafikkarte

Für 300 Euro ist die Radeon RX 5600 XT interessant - trotz Konkurrenz durch Nvidia und AMD selbst. Wie sehr die Navi-Grafikkarte empfehlenswert ist, hängt davon ab, ob Nutzer sich einen Flash-Vorgang zutrauen.
Ein Test von Marc Sauter

  1. Grafikkarte AMD bringt RX 5600 XT im Januar
  2. Grafikkarte Radeon RX 5600 XT hat 2.304 Shader und 6 GByte Speicher
  3. Radeon RX 5500 XT (8GB) im Test Selbst mehr Speicher hilft AMD nicht

Support-Ende von Windows 7: Für wen Linux eine Alternative zu Windows 10 ist
Support-Ende von Windows 7
Für wen Linux eine Alternative zu Windows 10 ist

Windows 7 erreicht sein Lebensende (End of Life) und wird von Microsoft künftig nicht mehr mit Updates versorgt. Lohnt sich ein Umstieg auf Linux statt auf Windows 10? Wir finden: in den meisten Fällen schon.
Von Martin Loschwitz

  1. Lutris EA verbannt offenbar Linux-Gamer aus Battlefield 5
  2. Linux-Rechner System 76 will eigene Laptops bauen
  3. Grafiktreiber Nvidia will weiter einheitliches Speicher-API für Linux

SpaceX: Der Weg in den Weltraum ist frei
SpaceX
Der Weg in den Weltraum ist frei

Das Raumschiff hob noch ohne Besatzung ab, aber der Testflug war ein voller Erfolg. Der Crew Dragon von SpaceX hat damit seine letzte große Bewährungsprobe bestanden, bevor die Astronauten auch mitfliegen dürfen.
Ein Bericht von Frank Wunderlich-Pfeiffer

  1. Raumfahrt SpaceX macht Sicherheitstest bei höchster Belastung
  2. Raumfahrt SpaceX testet dunkleren Starlink-Satelliten
  3. SpaceX Starship platzt bei Tanktest

    •  /