Abo
  • Services:

Firefox: Mitgelieferte Gültigkeitsprüfung für Zertifikate

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Artikel veröffentlicht am , Hanno Böck
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling (Bild: Mozilla)

Zur korrekten Überprüfung eines Zertifikats beim Aufbau einer TLS-Verbindung gehört es üblicherweise, dass auch bei der Zertifizierungsstelle verifiziert wird, ob das X.509-Zertifikat von dieser zurückgezogen wurde. Die Zertifizierungsstellen ziehen Zertifikate zurück, wenn ihnen durch den Besitzer mitgeteilt wurde, dass der private Schlüssel eines Zertifikats möglicherweise in die Hände von Angreifern gelangt ist.

Stellenmarkt
  1. CURRENTA GmbH & Co. OHG, Leverkusen
  2. Notion Systems GmbH, Schwetzingen

Doch die bisherigen Verfahren - CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol) - haben zahlreiche Probleme und werden daher nur noch selten eingesetzt. Mit OCSP Stapling könnte Abhilfe geschaffen werden. Die Grundidee ist, dass bereits beim Aufbau einer SSL-Verbindung die Gültigkeitsinformationen für ein Zertifikat mitgeliefert werden.

Mozilla ist spät dran

Wie auf dem Entwicklerblog von Mozilla zu lesen ist, werden künftige Versionen von Firefox OCSP Stapling unterstützen, in den aktuellen Nightly-Builds ist es bereits aktiviert. Damit ist Firefox vergleichsweise spät dran, der Internet Explorer, Chrome und Opera unterstützen OCSP Stapling bereits, lediglich Safari fehlt noch in der Liste der bekannten Browser.

Das erste Konzept zur Überprüfung der Gültigkeit von Zertifikaten waren sogenannte Certificate Revocation Lists (CRLs). Zertifizierungsstellen hielten eine Liste von für ungültig erklärten Zertifikaten vor. Naheliegenderweise hatte dieses Konzept schnell ein Problem: Die Listen wurden zu groß, eine Überprüfung der Listen durch den Browser war nicht mehr realistisch.

Problematische OCSP-Server

Abhilfe sollte das Protokoll OCSP schaffen. Hierbei schickt der Browser eine Anfrage zu jedem Zertifikat, das überprüft werden soll, und erhält eine unterschriebene Antwort der Zertifizierungsstelle. Problem dabei: Theoretisch müssten Browser, wenn sie keine Antwort erhalten, das Zertifikat für ungültig erklären.

In der Praxis geschieht dies aber nicht, denn es würde häufig zu Fehlverbindungen kommen, wenn die OCSP-Server einer Zertifizierungsstelle gerade nicht erreichbar sind. Ein Angreifer, der ein für ungültig erklärtes Zertifikat besitzt, kann somit die Verbindung zum OCSP-Server der Zertifizierungsstelle stören und verhindern, dass die Gültigkeit eines Zertifikats überprüft wird.

Ein weiteres Problem von OCSP ist der Datenschutz. Die Zertifizierungsstellen erhalten aufgrund der Anfragen durch die Browser umfangreiche Informationen darüber, wer auf welchen HTTPS-Seiten unterwegs ist. Aufgrund der zahlreichen Probleme von OCSP sind einige Browserhersteller inzwischen dazu übergegangen, OCSP einfach abzuschalten.

Abfrage per Webserver

OCSP Stapling geht nun einen anderen Weg. Hier fragt nicht der Browser die Gültigkeit eines Zertifikats ab, sondern der Webserver. Die Antwort des OCSP-Servers ist für einen begrenzten Zeitraum, etwa einige Stunden, gültig und wird beim Aufbau einer TLS-Verbindung mitgesendet.

Somit müssen der Webserver und der Browser OCSP Stapling unterstützen. Laut einer Erhebung der Webseite Netcraft sind es vor allem Microsofts IIS-Server, die OCSP Stapling bereits unterstützen. Apache liefert die Funktion ebenfalls ab der Version 2.4 mit, sie muss jedoch manuell aktiviert werden. Nginx unterstützt seit Version 1.4.0 ebenfalls OCSP Stapling.

Ob ein HTTPS-Server OCSP Stapling unterstützt, kann mit dem SSL-Test der Firma Qualys online überprüft werden.



Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de
  2. 1.299,00€
  3. 119,90€

Spaghetticode 31. Jul 2013

Ich habe diese Option schon seit einiger Zeit in meinen Fireföxen aktiviert. Zu...


Folgen Sie uns
       


Intel NUC7 June Canyon - Test

Wir mögen Intels NUC7: Er hat volle PC-Funktionalität in kleinem Formfaktor zu einem niedrigen Preis.

Intel NUC7 June Canyon - Test Video aufrufen
Red Dead Online angespielt: Schweigsam auf der Schindmähre
Red Dead Online angespielt
Schweigsam auf der Schindmähre

Der Multiplayermodus von Red Dead Redemption 2 schickt uns als ehemaligen Strafgefangenen in den offenen Wilden Westen. Golem.de hat den handlungsgetriebenen Einstieg angespielt - und einen ersten Onlineüberfall gemeinsam mit anderen Banditen unternommen.

  1. Spielbalance Updates für Red Dead Online und Battlefield 5 angekündigt
  2. Rockstar Games Red Dead Redemption 2 geht schrittweise online
  3. Games US-Spielemarkt erreicht Rekordumsätze

Machine Learning: Wie Technik jede Stimme stehlen kann
Machine Learning
Wie Technik jede Stimme stehlen kann

Ein Unternehmen aus Südkorea arbeitet daran, Stimmen reproduzierbar und neu generierbar zu machen. Was für viele Branchen enorme Kosteneinsparungen bedeutet, könnte auch eine neue Dimension von Fake News werden.
Ein Bericht von Felix Lill

  1. AWS Amazon bietet seine Machine-Learning-Tutorials kostenlos an
  2. Random Forest, k-Means, Genetik Machine Learning anhand von drei Algorithmen erklärt
  3. Machine Learning Amazon verwirft sexistisches KI-Tool für Bewerber

Sony-Kopfhörer WH-1000XM3 im Test: Eine Oase der Stille oder des puren Musikgenusses
Sony-Kopfhörer WH-1000XM3 im Test
Eine Oase der Stille oder des puren Musikgenusses

Wir haben die dritte Generation von Sonys Top-ANC-Kopfhörer getestet - vor allem bei der Geräuschreduktion hat sich einiges getan. Wer in lautem Getümmel seine Ruhe haben will, greift zum WH-1000XM3. Alle Nachteile der Vorgängermodelle hat Sony aber nicht behoben.
Ein Test von Ingo Pakalski


      •  /