Revocation: Zentrale Zertifikatssperrlisten von Mozilla geplant

Um Nutzer künftig vor falschen oder entwendeten Zertifikaten zu schützen, will Mozilla eine zentrale Sperrliste pflegen. Damit folgen die Firefox-Macher den Ideen Googles für Chrome.

Artikel veröffentlicht am ,
Mozilla plant eine zentrale Sperrliste für Zertifikate im Firefox-Browser.
Mozilla plant eine zentrale Sperrliste für Zertifikate im Firefox-Browser. (Bild: Mozilla)

In einem vorläufigen Entwurf erklären die Mozilla-Entwickler, künftig eine zentrale Sperrliste für Zertifikate pflegen zu wollen. Diese soll OneCRL heißen und sei "konzeptuell ähnlich zu Chromes CRLsets", wie Entwickler Richard Barnes in der Diskussion zu den Plänen schreibt. Ziel müsse es sein, dass die Verwendung zurückgezogener Zertifikate nie zu einem Verbindungsaufbau führt, also zu einem sogenannten Hard-Fail. Zudem sollte es immer möglich sein herauszufinden, ob ein Zertifikat zurückgezogen wurde.

Stellenmarkt
  1. IT Trainee/SAP Trainee (m/w/d)
    tegut... gute Lebensmittel GmbH & Co. KG, Fulda
  2. SAP SD/MM Berater (m/w/x)
    über duerenhoff GmbH, Raum Ennepetal
Detailsuche

Das dazu bisher verwendete OCSP (Online Certificate Status Protocol) hat aber diverse Nachteile. Neben der teils viel zu langen Dauer für das Abfragen der Gültigkeit von Zertifikaten, ergeben sich auch Schwierigkeiten für den Datenschutz. Bei strenger Anwendung verursacht das Protokoll viele Probleme, weshalb es oft auf unsichere Weise in den Browsern implementiert ist. In Googles Chrome wird deshalb OCSP auch nicht mehr verwendet.

Um trotzdem die notwendige Sicherheit zu gewährleisten, verwendet Chrome eine CRL (Certificate Revocation List), also eine Sperrliste für nicht vertrauenswürdige Zertifikate. Eine solche Liste möchte Mozilla mit OneCRL nun ebenfalls aufbauen und pflegen. Wie lange dies dauern wird, ist derzeit aber noch nicht absehbar.

Die Informationen der OneCRL sollen zentral vorgehalten und "in regelmäßigen Abständen an Firefox-Instanzen ausgeliefert" werden. Für CA-Zertifikate soll dann ausschließlich OneCRL maßgeblich sein. Für End-Entities (EE), soll neben der Liste aber auch OCSP-Stapling verwendet werden. Lässt sich die Gültigkeit nicht sicher überprüfen, soll dann aber ein Hard-Fail erzwungen werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Ass Bestos 08. Aug 2014

nein, denn stell dir mal vor ms sperrt ein zertifikat von einem mitbewerbe und sagt dann...

MarioWario 07. Aug 2014

Blockieren ist eher die Lösung wenn Zertifikate nicht verifiziert werden können (aber das...



Aktuell auf der Startseite von Golem.de
Ron Gilbert
Chefentwickler von Monkey Island sauer auf Community

"Die Leute sind gemein": Ron Gilbert, Chefentwickler von Return to Monkey Island, reagiert auf Kritik am Grafikstil des Adventures.

Ron Gilbert: Chefentwickler von Monkey Island sauer auf Community
Artikel
  1. Kryptowährungen: Pleite von Three Arrows Capital zieht Kreise
    Kryptowährungen
    Pleite von Three Arrows Capital zieht Kreise

    Nach der Liquidationsanordnung gegenüber dem Fonds Three Arrows Capital verlieren immer mehr Krypto-Broker reichlich Geld.

  2. Google: iFixit verkauft Originalteile für Pixel-Smartphones
    Google
    iFixit verkauft Originalteile für Pixel-Smartphones

    Nach Googles angekündigter Zusammenarbeit mit iFixit gibt es beim Reparaturspezialisten nun Originalteile für die Pixel-Modelle 2 bis 6.

  3. CD Projekt Red: Ursachenforschung über Bugs in Cyberpunk 2077
    CD Projekt Red
    Ursachenforschung über Bugs in Cyberpunk 2077

    War ein Dienstleister schuld an den massiven Fehlern in Cyberpunk 2077? Darauf deutet ein umfangreicher, aber umstrittener Leak hin.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG UltraGear 27" WQHD 165 Hz 299€ • Switch OLED günstig wie nie: 333€ • MindStar (MSI Optix 27" WQHD 165 Hz 249€, MSI RX 6700 XT 499€) • Alternate (SSDs & RAM von Kingston) • Grafikkarten zu Toppreisen • PNY RTX 3080 12GB günstig wie nie: 929€ • Top-TVs bis 53% Rabatt [Werbung]
    •  /