• IT-Karriere:
  • Services:

Zwischenzertifikate: Zertifikatswechsel bei Let's Encrypt steht an

Bisher war das Let's-Encrypt-Zwischenzertifikat von Identrust signiert. Das wird sich bald ändern.

Artikel von veröffentlicht am
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an.
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an. (Bild: Let's Encrypt)

Bei der kostenlosen Zertifizierungsstelle Let's Encrypt steht ein Wechsel des Zwischenzertifikats an. Nächstes Jahr soll standardmäßig ein Zwischenzertifikat verwendet werden, das nicht mehr von der Zertifizierungsstelle Identrust signiert ist. Das alte Zwischenzertifikat läuft bald ab.

Stellenmarkt
  1. Information und Technik Nordrhein-Westfalen (IT.NRW), Düsseldorf
  2. Hekatron Technik GmbH, Sulzburg

TLS-Zertifikate werden üblicherweise über Zertifikatsketten geprüft. Browser und andere HTTP-Clients haben eine Liste von Root-Zertifikaten vorliegen, denen sie vertrauen. Mit den zugehörigen privaten Schlüsseln dieser Zertifikate werden Zwischenzertifikate signiert. Mit den Schlüsseln der Zwischenzertifikate wiederum werden die eigentlichen Webseitenzertifikate signiert. Zertifikatsketten mit mehreren Zwischenzertifikaten sind ebenfalls möglich.

Signatur von Identrust ermöglichte erfolgreichen Start von Let's Encrypt

Für eine neue Zertifizierungsstelle ist dieses System ein Problem, denn bis das eigene Zertifikat von Browsern und Betriebssystemherstellern aufgenommen wird, dauert es seine Zeit. Daher verwendete Let's Encrypt kein eigenes Root-Zertifikat, als es im Jahr 2015 den Betrieb aufnahm, sondern ließ sich das eigene Zwischenzertifikat von einer anderen Zertifizierungsstelle namens Identrust unterschreiben. Doch dieses Zwischenzertifikat ist nur noch bis März 2021 gültig.

Die Dachorganisation von Let's Encrypt, die Internet Security Research Group, erstellte 2015 ein eigenes Root-Zertifikat und bemüht sich seitdem darum, dass dieses in die Root-Zertifikatslisten aufgenommen wird. Inzwischen unterstützen alle gängigen Web-Clients dieses Zertifikat und Let's Encrypt will künftig dieses Zertifikat und ein davon signiertes Zwischenzertifikat nutzen.

Golem Akademie
  1. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Der Wechsel wurde mehrfach verschoben und ist jetzt für den 11. Januar 2021 geplant. Standardmäßig soll dann über das ACME-Protokoll das von Let's Encrypt selbst signierte Zwischenzertifikat ausgeliefert werden. Webseitenbetreiber können allerdings, wenn ihnen Kompatibilität mit alten Clients wichtig ist, weiterhin manuell das Identrust-Zwischenzertifikat konfigurieren. Beide Zwischenzertifikate nutzen denselben öffentlichen Schlüssel, daher sind alle von Let's Encrypt ausgestellten Zertifikate mit beiden Zwischenzertifikaten nutzbar.

Mittelfristig stehen noch mehr Änderungen an. Let's Encrypt hat gerade diverse neue Zwischenzertifikate erstellt, die Umstellung darauf soll Ende des Jahres erfolgen. Die neuen Zertifikate ermöglichen es dann auch, eine gesamte Zertifikatskette mit ECDSA-Zertifikaten zu verwenden und sind generell etwas kleiner, was Datenverkehr einspart.

Auch nach dem Ablauf des Identrust-Intermediates wird es weiterhin möglich sein, ein von Identrust signiertes Zwischenzertifikat zu nutzen. Hierzu wurde ein Zwischenertifikat ausgestellt, das bis September 2021 gültig ist. Danach läuft auch das von Identrust verwendete Root-Zertifikat ab, spätestens dann muss Let's Encrypt endgültig auf eigene Root-Zertifikate setzen.

In Einzelfällen kann es zu Problemen kommen

In den meisten Fällen sollten die Änderungen automatisch passieren. Schwierigkeiten könnte es bei Setups geben, in denen das Zwischenzertifikat fest eingestellt ist. Wer nach dem März 2021 das abgelaufene Zwischenzertifikat von Identrust nutzt, könnte Probleme bekommen.

Ob Nutzer dann eine Fehlermeldung bekommen, hängt vom Client ab. Webbrowser haben verschiedene Mechanismen, um ein gültiges Zwischenzertifikat selbst zu finden: Sie laden sie es teilweise automatisch herunter oder verwenden bereits im Cache befindliche Zwischenzertifikate. Probleme machen in solch einem Fall eher Kommandozeilentools. Ein abgelaufenes Root-Zertifikat von Sectigo sorgte kürzlich bereits für ähnliche Probleme.

Nachtrag vom 18. September 2020, 16:25 Uhr

Wir hatten ursprünglich geschrieben, dass der Wechsel für Ende September geplant ist. Let's Encrypt hat kurzfristig angekündigt, diesen auf Januar 2021 zu verschieben, wir haben den Text entsprechend angepasst.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 52,99€
  2. (u. a. Samsung GQ65Q700T 65 Zoll 8K für 1.199€, LG OLED65BX9LB 65 Zoll OLED für 1.555€)
  3. (u. a. AMD Ryzen 5 5600X für 294€ + 6,99€ Versand und Biostar B550M-Silver für 109,90€ + 6...
  4. 229,90€ + 5,99€ Versand bei Vorkasse (Vergleichspreis 261,01€ inkl. Versand)

PhiLosove 25. Sep 2020

Mir sind da ein paar Rechtschreibfehler und doppelte Worte aufgefallen. Ich würde mich...

wupme 23. Sep 2020

Es wurden doch schon bei Android 5 (oder war es 6?) mal Zertifikate per Playstore...

tomatentee 19. Sep 2020

Genau. Das Schlüsselpaar hat mit dem Zertifikat erstmal nichts zu tun. Das Zertifikat...

hab (Golem.de) 18. Sep 2020

Wir haben das angepasst.


Folgen Sie uns
       


Xiaomi MiTV Q1 im Test

Für das Streamen von Serien oder den Filmeabend zu Hause reicht der preiswerte Fernseher locker aus.

Xiaomi MiTV Q1 im Test Video aufrufen
Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme

      •  /