Künftig alle Wosign-Zertifikate in Certificate Transparency

Die Vorfälle sind ohne Zweifel gravierend. Doch Wosign bemüht sich erkennbar darum, zumindest auf technischer Ebene gegen künftige Vorfälle vorzusorgen. Seit Kurzem werden alle neu ausgestellten Wosign-Zertifikate in Logs des Certificate-Transparency-Systems von Google eingetragen. Damit kann jeder überprüfen, für welche Domains Zertifikate ausgestellt werden. Auch alle Zertifikate, die im Jahr 2015 ausgestellt wurden, will Wosign in den Logs veröffentlichen.

Wosign-Zertifikate enthalten Signed Certificate Timestamps

Stellenmarkt
  1. Software-Entwickler*in Produktions-IT
    SCHOTT AG, Mitterteich
  2. Junior Testingenieur Hardware (m/w/d)
    DRÄXLMAIER Group, Vilsbiburg bei Landshut
Detailsuche

Auch enthalten die Wosign-Zertifikate sogenannte Signed Certificate Timestamps (SCT). Dabei handelt es sich um signierte Bestätigungen eines Logs über die Zertifikatseintragung. Auch Startcom stattet seine Zertifikate seit einiger Zeit mit SCTs aus. Browser können damit Zertifikate von Wosign oder Startcom, die keine SCTs enthalten und jüngeren Datums sind, ablehnen.

Damit sind die beiden Zertifizierungsstellen beim Implementieren von Certificate Transparency sogar engagierter als Letsencrypt. Dort sind bislang keine SCTs in den Zertifikaten enthalten, obwohl trotzdem alle Zertifikate in die Logs eingetragen werden.

Über der ganzen Debatte schwebt natürlich implizit der Vorwurf, dass Wosign als chinesische Firma besonders verdächtig ist, mit staatlichen Stellen zusammenzuarbeiten. Doch bei allen Fällen handelt es sich offenbar um schlichte Bugs und keine bösartigen Angriffe. Eine weitere chinesische Zertifizierungsstelle, CNNIC, wurde nach Sicherheitsproblemen aus den gängigen Browsern ausgeschlossen.

Sicherheitslücken auch in westlichen Zertifizierungsstellen

Golem Akademie
  1. Terraform mit AWS
    14./15. September 2021, online
  2. Einführung in die Programmierung mit Rust
    21.-24. September 2021, online
Weitere IT-Trainings

Klar ist aber auch, dass gravierende Sicherheitslücken bei Zertifizierungsstellen in westlichen Staaten auch immer wieder auftauchen. Zuletzt gab es etwa bei Comodo ein Problem mit den Verifikations-E-Mails und einer HTML-Injection-Lücke. Symantec hatte im vergangenen Jahr eine ganze Reihe von Problemen, die dazu geführt hatten, dass Google die Zertifizierungsstelle zur Nutzung von Certificate Transparency zwang.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Gehört Startcom jetzt Wosign?
  1.  
  2. 1
  3. 2
  4. 3


Aktuell auf der Startseite von Golem.de
Neues Betriebssystem von Microsoft
Wir probieren Windows 11 aus

Windows 11 ist bereits im Umlauf. Wir haben die Vorabversion ausprobiert und ein schickes OS durchstöbert. Im Kern ist es aber Windows 10.
Ein Hands-on von Oliver Nickel

Neues Betriebssystem von Microsoft: Wir probieren Windows 11 aus
Artikel
  1. Niedrige Inzidenzen: Homeoffice-Pflicht soll am 30. Juni enden
    Niedrige Inzidenzen
    Homeoffice-Pflicht soll am 30. Juni enden

    Die allgemeine Pflicht zum Homeoffice soll Ende des Monats fallen. Coronatests sollen aber weiterhin in Betrieben angeboten werden.

  2. Nach Juni 2022: Europäische Union will freies Roaming verlängern
    Nach Juni 2022
    Europäische Union will freies Roaming verlängern

    Die Regelung vom Juni 2017 soll verlängert und verbessert werden. Ein Ende von 'Roam like at home' wäre undenkbar.

  3. Websicherheit: Wie KenFM von Anonymous gehackt wurde
    Websicherheit
    Wie KenFM von Anonymous gehackt wurde

    Die Webseite AnonLeaks berichtet, wie das Defacement von KenFM ablief: durch abrufbare Backupdaten und das Wordpress-Plugin Duplicator Pro.
    Von Hanno Böck

negecy 02. Sep 2016

Moment mal, da wurden vor nicht all zu langer Zeit bösartige Zertifikate von Let's...

der-dicky 02. Sep 2016

...und was genau spricht dagegen? anderer quell port, gleicher ziel-port, das macht kein...

Moe479 31. Aug 2016

bemühen reicht leider nicht und halbdaneben ist trotzdem vorbei! das ganze geschäft...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Dualsense Midnight Black + Ratchet & Clank Rift Apart 99,99€ • Saturn Super Sale (u. a. Samsung 65" QLED (2021) 1.294€) • MSI 27" FHD 144Hz 269€ • Razer Naga Pro Gaming-Maus 119,99€ • Apple iPad Pro 12,9" 256GB 909€ [Werbung]
    •  /