Zertifikate: Mozilla will Startcom und Wosign das Vertrauen entziehen

Nach mehreren Problemen mit Startcom- und Wosign-Zertifikaten will Mozilla den Zertifikaten der Unternehmen offenbar das Vertrauen entziehen. Auch Google könnte diesem drastischen Schritt folgen.

Artikel veröffentlicht am ,
Wosign und Startcom müssen um ihren Status bei Mozilla bangen.
Wosign und Startcom müssen um ihren Status bei Mozilla bangen. (Bild: Wosign)

Mozilla überlegt offenbar, den Certificate Authorities (CA) Startcom und Wosign das Vertrauen zu entziehen. In einem auf Google Docs veröffentlichten Dokument, das unter anderem von Gervase Markham von Mozilla und Ryan Sleevi aus dem Chrome-Entwicklerteam unterzeichnet wurde, werden die Fehler von Wosign aus den vergangenen Monaten aufgearbeitet und Handlungsempfehlungen erarbeitet. Wosign hatte unter anderem ein unberechtigtes Zertifikat für die Codeplattform Github ausgestellt.

Stellenmarkt
  1. IT Systemadministrator / Fachinformatiker (m/w/d) für Systemintegration
    Hartmetall-Werkzeugfabrik Paul Horn GmbH, Tübingen
  2. IT Consultant / Expert (w/m/d) - Voice- und Collaboration-Lösungen (Cisco / Microsoft)
    Computacenter AG & Co. oHG, verschiedene Standorte
Detailsuche

Neben den bekannten Vorwürfen gegen Wosign kritisiert Mozilla, dass die CA im Jahr 2016 SHA1-Zertifikate erstellt, diese aber auf Dezember 2015 zurückdatiert habe. Damit wollte Wosign offenbar vermeiden, dass die entsprechenden Zertifikate von modernen Browsern blockiert werden. Diese akzeptieren wegen Sicherheitsproblemen keine neu ausgestellten SHA-1 Zertifikate mehr.

In dem Dokument heißt es: "Mozillas CA-Team hat das Vertrauen in die Fähigkeit von Wosign/Startcom verloren, die Aufgaben einer Certificate Authority ehrlich und kompetent auszuführen. Deshalb schlagen wir vor, dass ab einem noch festzulegenden Datum in der näheren Zukunft, Mozilla-Produkte neu ausgestellten Zertifikaten der beiden CA-Marken nicht mehr vertrauen werden."

Die Sperre soll zunächst für ein Jahr gelten. Danach könnten Wosign und Startcom erneut einen Antrag auf Zulassung stellen, müssten dann aber eine Reihe von Bedingungen erfüllen, etwa die 100-prozentige Einhaltung der Regeln von Googles Certificate-Transparency-Projekt. Außerdem müsste ein Point-in-time-Readiness-Audit von einem zuvor mit Mozilla vereinbartem Auditor durchgeführt werden.

Chinesische Nutzer haben Anspruch auf vertrauenswürdige CAs

Golem Akademie
  1. AZ-104 Microsoft Azure Administrator: virtueller Vier-Tage-Workshop
    13.–16. Dezember 2021, virtuell
  2. Advanced Python – Fortgeschrittene Programmierthemen: virtueller Zwei-Tage-Workshop
    27.–28. Januar 2022, Virtuell
Weitere IT-Trainings

Startcom und Wosign hatten vorgeschlagen, die vertraute Ausgabe von Zertifikaten auf China zu beschränken. Das lehnte Mozilla aber ab, weil nicht vermittelt werden könnte, warum chinesische Nutzer weniger Anspruch auf vertrauenswürdige CAs hätten als Nutzer im Rest der Welt.

Betroffen von der Maßnahme wären nur neu erstelle Zertifikate. Bereits ausgestellte würden also ihre Gültigkeit behalten und könnten weiterverwendet werden. Die Unterzeichner des Dokumentes sind sich bewusst, dass die CAs ihre Zertifikate vordatieren könnten, um der Maßnahme zu entgehen. Dann würde allen Zertifikaten des Unternehmens sofort das Vertrauen entzogen.

Das Dokument stellt noch keine endgültige Entscheidung dar, sondern soll als Grundlage für eine offene Diskussion dienen. Die Sprache ist aber recht deutlich, so dass es unwahrscheinlich ist, dass Mozilla anders verfährt als vorgeschlagen. Weil auch Ryan Sleevi von Chrome beteiligt ist, dürfte Google sich der Entscheidung von Mozilla anschließen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Max-M 27. Sep 2016

Wie genau meinst du das? Das selbst-signierte Zertifikat austauschen, das vom Web...

tritratrulala 27. Sep 2016

Let's Encrypt ist nicht profitorientiert und wurde maßgeblich von der EFF begründet...

haoLink 27. Sep 2016

Bedank dich bei denen selber, die haben harte Regelbrüche begangen - bitte lies die...

Gonzales 27. Sep 2016

Du bist mein Held

Max-M 27. Sep 2016

Ich nutze ebenfalls den offiziellen Client, eingesperrt in seinem Docker-Container...



Aktuell auf der Startseite von Golem.de
Kickstarter
Die Pibox ist ein Mini-NAS mit Raspberry Pi

Auf Basis des Raspberry Pi CM 4 entsteht die Pibox. Mittels Carrier-Platinen können daran zwei 2,5-Zoll-Laufwerke angeschlossen werden.

Kickstarter: Die Pibox ist ein Mini-NAS mit Raspberry Pi
Artikel
  1. Quartalsbericht: Amazon kämpft mit höheren Kosten und weniger Wachstum
    Quartalsbericht
    Amazon kämpft mit höheren Kosten und weniger Wachstum

    Der neue Amazon-Vorstandschef sieht auch im vierten Quartal weniger Wachstum wegen Investitionen und Problemen in den Lieferketen.

  2. Neuer Firmenname: Aus Facebook wird Meta
    Neuer Firmenname
    Aus Facebook wird Meta

    Facebook-Chef Mark Zuckerberg hat den Namen der neuen Dachgesellschaft seiner Dienste genannt. Dieser lehnt sich stark an das geplante Metaversum an.

  3. S9U fürs Homeoffice: Samsung stellt 49-Zoll-Ultrawide-Monitor mit KVM-Switch vor
    S9U fürs Homeoffice
    Samsung stellt 49-Zoll-Ultrawide-Monitor mit KVM-Switch vor

    Der S9U ist Samsungs neuer 32:9-Bildschirm. Er integriert USB-C mit 90 Watt Power Delivery und einen KVM-Switch. Das Panel schafft 120 Hz.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • WD Black SN750 1TB 89,90€ • Acer 27" FHD 165Hz 191,59€ • PS5 Digital + 2. Dualsense + 100€-Amazon-Gutschein mit o2-Vertrag sofort lieferbar • Kingston 1TB PCIe 69,90€ • GTA Trilogy Definitive 59,99€ • Alternate-Deals (u. a. Apacer 960GB SATA 82,90€) [Werbung]
    •  /