Zertifikate: Startcom gibt auf

Es wird keine Rückkehr in die Browser geben: Startcom gibt auf. Die zu Qihoo360 gehörende Zertifizierungsstelle zieht damit auch die Konsequenzen aus einem vernichtenden Sicherheitsaudit.

Artikel veröffentlicht am 17. November 2017, 12:18 Uhr, Hauke Gierow

Startcom wird ab 1.1. 2018 keinerlei Zertifikate mehr ausstellen. (Bild: Startcom)

Die Zertifizierungsstelle Startcom gibt auf und will ab Anfang des kommenden Jahres keine neuen Zertifikate mehr ausstellen. Dies gab der Aufsichtsratsvorsitzende der Organisation, Xiaosheng Tan, auf Mozillas Mailingliste bekannt. Auch eine Wiederaufnahme in das Root-Programm von Mozilla steht nicht mehr zur Debatte. Mozilla und andere Browserhersteller hatten sowohl Startcom als auch Wosign wegen Verstößen gegen Richtlinien aus den Programmen entfernt.

Startcom gehört zum chinesischen Internetunternehmen Qihoo360. Vor dem Entzug des Vertrauens hatten Mozilla und weitere Betreiber bemängelt, dass die Verbindung der beiden Zertifizierungsstellen Wosign und Startcom nicht ausreichend deutlich gemacht worden sei. Außerdem gab es technische Fehler bei der Zertifikatsvergabe.

OCSP-Dienst soll noch zwei Jahre online bleiben

Die Abschaltung der Zertifikatsvergabe soll zum 1. Januar 2018 erfolgen. Die Certificate Revocation List und der OCSP-Dienst sollen ab diesem Zeitpunkt noch für zwei Jahre weiterbetrieben werden. Nach Ablauf dieser Zeit sollen auch die drei Rootzertifikate vernichtet werden.

Startcom hatte zuletzt noch versucht, die eigene Infrastruktur zu erneuern und sich um eine Neuaufnahme in die verschiedenen Root-Programme bemüht. Die neue PHP-basierte Software fiel jedoch im Sicherheitstest von Cure53 durch. Dort hieß es: "Die PHP Codebasis war voller Lücken, schlecht kommentiert, hatte wenige oder gar keine Tests und wirkte insgesamt so, als ob sie unter hohem Zeitdruck zusammengehackt wurde." Die Applikation sei offensichtlich "nicht von jemandem entwickelt worden, der etwas von Softwaresicherheit versteht."

Startcom bedankt sich in der Mail bei der Mozilla-Community und bei Cure53 für das Feedback. Es habe sich gezeigt, dass es noch "Raum für Verbesserungen" gebe.