Abo
  • Services:
Anzeige
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling (Bild: Mozilla)

Firefox: Mitgelieferte Gültigkeitsprüfung für Zertifikate

HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling
HTTPS-Verbindung in Firefox - künftig mit OCSP Stapling (Bild: Mozilla)

Beim Aufbau von TLS-Verbindungen kann Firefox künftig Informationen über die Gültigkeit eines Zertifikats mitliefern. Das sogenannte OCSP Stapling wird damit von allen großen Browsern unterstützt, aber bei den Servern gibt es noch Probleme.

Zur korrekten Überprüfung eines Zertifikats beim Aufbau einer TLS-Verbindung gehört es üblicherweise, dass auch bei der Zertifizierungsstelle verifiziert wird, ob das X.509-Zertifikat von dieser zurückgezogen wurde. Die Zertifizierungsstellen ziehen Zertifikate zurück, wenn ihnen durch den Besitzer mitgeteilt wurde, dass der private Schlüssel eines Zertifikats möglicherweise in die Hände von Angreifern gelangt ist.

Anzeige

Doch die bisherigen Verfahren - CRL (Certificate Revocation List) und OCSP (Online Certificate Status Protocol) - haben zahlreiche Probleme und werden daher nur noch selten eingesetzt. Mit OCSP Stapling könnte Abhilfe geschaffen werden. Die Grundidee ist, dass bereits beim Aufbau einer SSL-Verbindung die Gültigkeitsinformationen für ein Zertifikat mitgeliefert werden.

Mozilla ist spät dran

Wie auf dem Entwicklerblog von Mozilla zu lesen ist, werden künftige Versionen von Firefox OCSP Stapling unterstützen, in den aktuellen Nightly-Builds ist es bereits aktiviert. Damit ist Firefox vergleichsweise spät dran, der Internet Explorer, Chrome und Opera unterstützen OCSP Stapling bereits, lediglich Safari fehlt noch in der Liste der bekannten Browser.

Das erste Konzept zur Überprüfung der Gültigkeit von Zertifikaten waren sogenannte Certificate Revocation Lists (CRLs). Zertifizierungsstellen hielten eine Liste von für ungültig erklärten Zertifikaten vor. Naheliegenderweise hatte dieses Konzept schnell ein Problem: Die Listen wurden zu groß, eine Überprüfung der Listen durch den Browser war nicht mehr realistisch.

Problematische OCSP-Server

Abhilfe sollte das Protokoll OCSP schaffen. Hierbei schickt der Browser eine Anfrage zu jedem Zertifikat, das überprüft werden soll, und erhält eine unterschriebene Antwort der Zertifizierungsstelle. Problem dabei: Theoretisch müssten Browser, wenn sie keine Antwort erhalten, das Zertifikat für ungültig erklären.

In der Praxis geschieht dies aber nicht, denn es würde häufig zu Fehlverbindungen kommen, wenn die OCSP-Server einer Zertifizierungsstelle gerade nicht erreichbar sind. Ein Angreifer, der ein für ungültig erklärtes Zertifikat besitzt, kann somit die Verbindung zum OCSP-Server der Zertifizierungsstelle stören und verhindern, dass die Gültigkeit eines Zertifikats überprüft wird.

Ein weiteres Problem von OCSP ist der Datenschutz. Die Zertifizierungsstellen erhalten aufgrund der Anfragen durch die Browser umfangreiche Informationen darüber, wer auf welchen HTTPS-Seiten unterwegs ist. Aufgrund der zahlreichen Probleme von OCSP sind einige Browserhersteller inzwischen dazu übergegangen, OCSP einfach abzuschalten.

Abfrage per Webserver

OCSP Stapling geht nun einen anderen Weg. Hier fragt nicht der Browser die Gültigkeit eines Zertifikats ab, sondern der Webserver. Die Antwort des OCSP-Servers ist für einen begrenzten Zeitraum, etwa einige Stunden, gültig und wird beim Aufbau einer TLS-Verbindung mitgesendet.

Somit müssen der Webserver und der Browser OCSP Stapling unterstützen. Laut einer Erhebung der Webseite Netcraft sind es vor allem Microsofts IIS-Server, die OCSP Stapling bereits unterstützen. Apache liefert die Funktion ebenfalls ab der Version 2.4 mit, sie muss jedoch manuell aktiviert werden. Nginx unterstützt seit Version 1.4.0 ebenfalls OCSP Stapling.

Ob ein HTTPS-Server OCSP Stapling unterstützt, kann mit dem SSL-Test der Firma Qualys online überprüft werden.


eye home zur Startseite
Spaghetticode 31. Jul 2013

Ich habe diese Option schon seit einiger Zeit in meinen Fireföxen aktiviert. Zu...



Anzeige

Stellenmarkt
  1. Treif Maschinenbau GmbH, Oberlahr
  2. Pensions-Sicherungs-Verein VVaG, Köln
  3. SBK Siemens-Betriebskrankenkasse, München
  4. SBK - Siemens-Betriebskrankenkasse, München


Anzeige
Top-Angebote
  1. 499€
  2. 359€
  3. 75,89€

Folgen Sie uns
       


  1. Bayern

    Kostenloses WLAN auf Autobahnrastplätzen freigeschaltet

  2. Waymo

    Robotaxis sollen 2018 in kommerziellen Betrieb gehen

  3. Nach Einbruchsversuch

    Zehntausende Haushalte in Berlin ohne Telefon und Internet

  4. US-Gerichtsurteil

    Einbetten von Tweets kann Urheberrecht verletzen

  5. Anklage in USA erhoben

    So sollen russische Trollfabriken Trump unterstützt haben

  6. Gerichtsurteil

    Facebook drohen in Belgien bis zu 100 Millionen Euro Strafe

  7. Microsoft

    Windows on ARM ist inkompatibel zu 64-Bit-Programmen

  8. Fehler bei Zwei-Faktor-Authentifizierung

    Facebook will keine Benachrichtigungen per SMS schicken

  9. Europa-SPD

    Milliardenfonds zum Ausbau von Elektrotankstellen gefordert

  10. Carbon Copy Cloner

    APFS-Unterstützung wird wegen Datenverlustgefahr beschränkt



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Freier Media-Player: VLC 3.0 eint alle Plattformen
Freier Media-Player
VLC 3.0 eint alle Plattformen

Ryzen 5 2400G und Ryzen 3 2200G im Test: Raven Ridge rockt
Ryzen 5 2400G und Ryzen 3 2200G im Test
Raven Ridge rockt
  1. Raven Ridge AMD verschickt CPUs für UEFI-Update
  2. Krypto-Mining AMDs Threadripper schürft effizient Monero
  3. AMD Zen+ und Zen 2 sind gegen Spectre gehärtet

Dorothee Bär: Netzbetreiber werden über 100 MBit/s angeblich kaum los
Dorothee Bär
Netzbetreiber werden über 100 MBit/s angeblich kaum los
  1. FTTH/B Glasfaser wird in Deutschland besser nachgefragt
  2. Koalitionsvertrag fertig "Glasfaser möglichst direkt bis zum Haus"
  3. Glasfaser Telekom weitet FTTH-Pilotprojekt auf vier Orte aus

  1. Re: Falscher Ansatz: Es müssen neue Infrastruktur...

    KnutRider | 06:49

  2. Re: Wieso emuliert man x86 auf ARM, warum...

    eXXogene | 06:38

  3. Re: 24 Milliarden Euro für Deutschland alleine.

    gadthrawn | 06:33

  4. I'm made in Russia

    HorkheimerAnders | 05:36

  5. Re: Redundanz

    cry88 | 05:36


  1. 06:36

  2. 06:24

  3. 21:36

  4. 16:50

  5. 14:55

  6. 11:55

  7. 19:40

  8. 14:41


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel