Abo
  • Services:

Firefox: Mitgelieferte Gültigkeitsprüfung für Zertifikate

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Artikel veröffentlicht am , Hanno Böck
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling (Bild: Mozilla)

Zur korrekten Überprüfung eines Zertifikats beim Aufbau einer TLS-Verbindung gehört es üblicherweise, dass auch bei der Zertifizierungsstelle verifiziert wird, ob das X.509-Zertifikat von dieser zurückgezogen wurde. Die Zertifizierungsstellen ziehen Zertifikate zurück, wenn ihnen durch den Besitzer mitgeteilt wurde, dass der private Schlüssel eines Zertifikats möglicherweise in die Hände von Angreifern gelangt ist.

Stellenmarkt
  1. Universität Hamburg, Hamburg
  2. Hannover Rück SE, Hannover

Doch die bisherigen Verfahren - CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol) - haben zahlreiche Probleme und werden daher nur noch selten eingesetzt. Mit OCSP Stapling könnte Abhilfe geschaffen werden. Die Grundidee ist, dass bereits beim Aufbau einer SSL-Verbindung die Gültigkeitsinformationen für ein Zertifikat mitgeliefert werden.

Mozilla ist spät dran

Wie auf dem Entwicklerblog von Mozilla zu lesen ist, werden künftige Versionen von Firefox OCSP Stapling unterstützen, in den aktuellen Nightly-Builds ist es bereits aktiviert. Damit ist Firefox vergleichsweise spät dran, der Internet Explorer, Chrome und Opera unterstützen OCSP Stapling bereits, lediglich Safari fehlt noch in der Liste der bekannten Browser.

Das erste Konzept zur Überprüfung der Gültigkeit von Zertifikaten waren sogenannte Certificate Revocation Lists (CRLs). Zertifizierungsstellen hielten eine Liste von für ungültig erklärten Zertifikaten vor. Naheliegenderweise hatte dieses Konzept schnell ein Problem: Die Listen wurden zu groß, eine Überprüfung der Listen durch den Browser war nicht mehr realistisch.

Problematische OCSP-Server

Abhilfe sollte das Protokoll OCSP schaffen. Hierbei schickt der Browser eine Anfrage zu jedem Zertifikat, das überprüft werden soll, und erhält eine unterschriebene Antwort der Zertifizierungsstelle. Problem dabei: Theoretisch müssten Browser, wenn sie keine Antwort erhalten, das Zertifikat für ungültig erklären.

In der Praxis geschieht dies aber nicht, denn es würde häufig zu Fehlverbindungen kommen, wenn die OCSP-Server einer Zertifizierungsstelle gerade nicht erreichbar sind. Ein Angreifer, der ein für ungültig erklärtes Zertifikat besitzt, kann somit die Verbindung zum OCSP-Server der Zertifizierungsstelle stören und verhindern, dass die Gültigkeit eines Zertifikats überprüft wird.

Ein weiteres Problem von OCSP ist der Datenschutz. Die Zertifizierungsstellen erhalten aufgrund der Anfragen durch die Browser umfangreiche Informationen darüber, wer auf welchen HTTPS-Seiten unterwegs ist. Aufgrund der zahlreichen Probleme von OCSP sind einige Browserhersteller inzwischen dazu übergegangen, OCSP einfach abzuschalten.

Abfrage per Webserver

OCSP Stapling geht nun einen anderen Weg. Hier fragt nicht der Browser die Gültigkeit eines Zertifikats ab, sondern der Webserver. Die Antwort des OCSP-Servers ist für einen begrenzten Zeitraum, etwa einige Stunden, gültig und wird beim Aufbau einer TLS-Verbindung mitgesendet.

Somit müssen der Webserver und der Browser OCSP Stapling unterstützen. Laut einer Erhebung der Webseite Netcraft sind es vor allem Microsofts IIS-Server, die OCSP Stapling bereits unterstützen. Apache liefert die Funktion ebenfalls ab der Version 2.4 mit, sie muss jedoch manuell aktiviert werden. Nginx unterstützt seit Version 1.4.0 ebenfalls OCSP Stapling.

Ob ein HTTPS-Server OCSP Stapling unterstützt, kann mit dem SSL-Test der Firma Qualys online überprüft werden.



Anzeige
Blu-ray-Angebote
  1. 34,99€

Spaghetticode 31. Jul 2013

Ich habe diese Option schon seit einiger Zeit in meinen Fireföxen aktiviert. Zu...


Folgen Sie uns
       


Asus Zenbook 13 (UX333FN) ausprobiert (Ifa 2018)

Das Asus Zenbook 13 (UX333FN) ist ein sehr kompaktes Ultrabook mit Geforce-Grafik und ein paar cleveren Ideen.

Asus Zenbook 13 (UX333FN) ausprobiert (Ifa 2018) Video aufrufen
Red Dead Redemption 2 angespielt: Mit dem Trigger im Wilden Westen eintauchen
Red Dead Redemption 2 angespielt
Mit dem Trigger im Wilden Westen eintauchen

Überfälle und Schießereien, Pferde und Revolver - vor allem aber sehr viel Interaktion: Das Anspielen von Red Dead Redemption 2 hat uns erstaunlich tief in die Westernwelt versetzt. Aber auch bei Grafik und Sound konnte das nächste Programm von Rockstar Games schon Punkte sammeln.
Von Peter Steinlechner

  1. Red Dead Redemption 2 Von Bärten, Pferden und viel zu warmer Kleidung
  2. Rockstar Games Red Dead Online startet im November als Beta
  3. Rockstar Games Neuer Trailer zeigt Gameplay von Red Dead Redemption 2

iPhone Xs, Xs Max und Xr: Wer unterstützt die eSIM in den neuen iPhones?
iPhone Xs, Xs Max und Xr
Wer unterstützt die eSIM in den neuen iPhones?

Apples neue iPhones haben neben dem Nano-SIM-Slot eine eingebaute eSIM, womit der Konzern erstmals eine Dual-SIM-Lösung in seinen Smartphones realisiert. Die Auswahl an Netzanbietern, die eSIMs unterstützen, ist in Deutschland, Österreich und der Schweiz aber eingeschränkt - ein Überblick.
Von Tobias Költzsch

  1. Apple Das iPhone Xr macht's billiger und bunter
  2. Apple iPhone Xs und iPhone Xs Max sind bierdicht
  3. Apple iPhones sollen Stiftunterstützung erhalten

Energietechnik: Die Verlockung der Lithium-Luft-Akkus
Energietechnik
Die Verlockung der Lithium-Luft-Akkus

Ein Akku mit der Energiekapazität eines Benzintanks würde viele Probleme lösen. In der Theorie ist das möglich. In der Praxis ist noch viel Arbeit nötig.
Von Frank Wunderlich-Pfeiffer

  1. Elektroautos CDU will Bau von Akkuzellenfabriken subventionieren
  2. Brine4Power EWE will Strom unter der Erde speichern
  3. Forschung Akku für Elektroautos macht es sich im Winter warm

    •  /