Zwischenzertifikate: Zertifikatswechsel bei Let's Encrypt steht an

Bisher war das Let's-Encrypt-Zwischenzertifikat von Identrust signiert. Das wird sich bald ändern.

Artikel von veröffentlicht am
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an.
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an. (Bild: Let's Encrypt)

Bei der kostenlosen Zertifizierungsstelle Let's Encrypt steht ein Wechsel des Zwischenzertifikats an. Nächstes Jahr soll standardmäßig ein Zwischenzertifikat verwendet werden, das nicht mehr von der Zertifizierungsstelle Identrust signiert ist. Das alte Zwischenzertifikat läuft bald ab.

Stellenmarkt
  1. Development Worker (m/f/d) for Digital Transformation
    GIZ Deutsche Gesellschaft für Internationale Zusammenarbeit GmbH, Nairobi (Kenia)
  2. IT-Supporter User Helpdesk (m/w/d)
    experts, Raum Ulm
Detailsuche

TLS-Zertifikate werden üblicherweise über Zertifikatsketten geprüft. Browser und andere HTTP-Clients haben eine Liste von Root-Zertifikaten vorliegen, denen sie vertrauen. Mit den zugehörigen privaten Schlüsseln dieser Zertifikate werden Zwischenzertifikate signiert. Mit den Schlüsseln der Zwischenzertifikate wiederum werden die eigentlichen Webseitenzertifikate signiert. Zertifikatsketten mit mehreren Zwischenzertifikaten sind ebenfalls möglich.

Signatur von Identrust ermöglichte erfolgreichen Start von Let's Encrypt

Für eine neue Zertifizierungsstelle ist dieses System ein Problem, denn bis das eigene Zertifikat von Browsern und Betriebssystemherstellern aufgenommen wird, dauert es seine Zeit. Daher verwendete Let's Encrypt kein eigenes Root-Zertifikat, als es im Jahr 2015 den Betrieb aufnahm, sondern ließ sich das eigene Zwischenzertifikat von einer anderen Zertifizierungsstelle namens Identrust unterschreiben. Doch dieses Zwischenzertifikat ist nur noch bis März 2021 gültig.

Die Dachorganisation von Let's Encrypt, die Internet Security Research Group, erstellte 2015 ein eigenes Root-Zertifikat und bemüht sich seitdem darum, dass dieses in die Root-Zertifikatslisten aufgenommen wird. Inzwischen unterstützen alle gängigen Web-Clients dieses Zertifikat und Let's Encrypt will künftig dieses Zertifikat und ein davon signiertes Zwischenzertifikat nutzen.

Golem Akademie
  1. Informationssicherheit in der Automobilindustrie nach VDA-ISA und TISAX® mit Zertifikat: Zwei-Tage-Workshop
    22.–23. März 2022, Virtuell
  2. PowerShell Praxisworkshop: virtueller Vier-Tage-Workshop
    21.–24. Februar 2022, virtuell
Weitere IT-Trainings

Der Wechsel wurde mehrfach verschoben und ist jetzt für den 11. Januar 2021 geplant. Standardmäßig soll dann über das ACME-Protokoll das von Let's Encrypt selbst signierte Zwischenzertifikat ausgeliefert werden. Webseitenbetreiber können allerdings, wenn ihnen Kompatibilität mit alten Clients wichtig ist, weiterhin manuell das Identrust-Zwischenzertifikat konfigurieren. Beide Zwischenzertifikate nutzen denselben öffentlichen Schlüssel, daher sind alle von Let's Encrypt ausgestellten Zertifikate mit beiden Zwischenzertifikaten nutzbar.

Mittelfristig stehen noch mehr Änderungen an. Let's Encrypt hat gerade diverse neue Zwischenzertifikate erstellt, die Umstellung darauf soll Ende des Jahres erfolgen. Die neuen Zertifikate ermöglichen es dann auch, eine gesamte Zertifikatskette mit ECDSA-Zertifikaten zu verwenden und sind generell etwas kleiner, was Datenverkehr einspart.

Auch nach dem Ablauf des Identrust-Intermediates wird es weiterhin möglich sein, ein von Identrust signiertes Zwischenzertifikat zu nutzen. Hierzu wurde ein Zwischenertifikat ausgestellt, das bis September 2021 gültig ist. Danach läuft auch das von Identrust verwendete Root-Zertifikat ab, spätestens dann muss Let's Encrypt endgültig auf eigene Root-Zertifikate setzen.

In Einzelfällen kann es zu Problemen kommen

In den meisten Fällen sollten die Änderungen automatisch passieren. Schwierigkeiten könnte es bei Setups geben, in denen das Zwischenzertifikat fest eingestellt ist. Wer nach dem März 2021 das abgelaufene Zwischenzertifikat von Identrust nutzt, könnte Probleme bekommen.

Ob Nutzer dann eine Fehlermeldung bekommen, hängt vom Client ab. Webbrowser haben verschiedene Mechanismen, um ein gültiges Zwischenzertifikat selbst zu finden: Sie laden sie es teilweise automatisch herunter oder verwenden bereits im Cache befindliche Zwischenzertifikate. Probleme machen in solch einem Fall eher Kommandozeilentools. Ein abgelaufenes Root-Zertifikat von Sectigo sorgte kürzlich bereits für ähnliche Probleme.

Nachtrag vom 18. September 2020, 16:25 Uhr

Wir hatten ursprünglich geschrieben, dass der Wechsel für Ende September geplant ist. Let's Encrypt hat kurzfristig angekündigt, diesen auf Januar 2021 zu verschieben, wir haben den Text entsprechend angepasst.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


PhiLosove 25. Sep 2020

Mir sind da ein paar Rechtschreibfehler und doppelte Worte aufgefallen. Ich würde mich...

wupme 23. Sep 2020

Es wurden doch schon bei Android 5 (oder war es 6?) mal Zertifikate per Playstore...

tomatentee 19. Sep 2020

Genau. Das Schlüsselpaar hat mit dem Zertifikat erstmal nichts zu tun. Das Zertifikat...

hab (Golem.de) 18. Sep 2020

Wir haben das angepasst.



Aktuell auf der Startseite von Golem.de
Musterfeststellungsklage
Parship kann eine Kündigungswelle erwarten

Die Verbraucherzentrale ruft zur Kündigung bei Parship und zur Teilnahme an einer Musterfeststellungsklage auf. Doch laut Betreiber PE Digital ist das aussichtslos.

Musterfeststellungsklage: Parship kann eine Kündigungswelle erwarten
Artikel
  1. Open Source: Antworten Sie innerhalb von 24 Stunden
    Open Source
    "Antworten Sie innerhalb von 24 Stunden"

    Die E-Mail eines großen Konzerns an den Entwickler von Curl zeigt wohl eher aus Versehen, wie problematisch das Verhältnis vieler Firmen zu Open-Source-Software ist.

  2. Raumfahrt: US-Weltraumstreitkräfte starten zwei Spionagesatelliten
    Raumfahrt
    US-Weltraumstreitkräfte starten zwei Spionagesatelliten

    Was können denn andere Satelliten im geostationären Orbit? Fliegen wir hin und schauen nach.

  3. Elektro-Pick-up: Neuer Tesla-Cybertruck-Prototyp gefilmt
    Elektro-Pick-up
    Neuer Tesla-Cybertruck-Prototyp gefilmt

    In einem Video wird ein neuer Cybertruck-Prototyp von Tesla im Detail gezeigt. Es stammt vermutlich aus der Gigafactory in Texas.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3070 Ti 8GB 1.039€ • RX 6900XT 16 GB für 1.495€ • Acer Curved Gaming-Monitor 27" 259€ • RX 6800XT 16GB 1.229€ • Corsair 16GB DDR4-4000 111,21€ • 10% auf Gaming bei Ebay (u. a. Gigabyte 34" Curved UWQHD 144Hz 429,30€) • Razer Gaming-Stuhl 179,99€ [Werbung]
    •  /