• IT-Karriere:
  • Services:

Zwischenzertifikate: Zertifikatswechsel bei Let's Encrypt steht an

Bisher war das Let's-Encrypt-Zwischenzertifikat von Identrust signiert. Das wird sich bald ändern.

Artikel von veröffentlicht am
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an.
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an. (Bild: Let's Encrypt)

Bei der kostenlosen Zertifizierungsstelle Let's Encrypt steht ein Wechsel des Zwischenzertifikats an. Nächstes Jahr soll standardmäßig ein Zwischenzertifikat verwendet werden, das nicht mehr von der Zertifizierungsstelle Identrust signiert ist. Das alte Zwischenzertifikat läuft bald ab.

Stellenmarkt
  1. ATP Autoteile GmbH, Pressath
  2. Hays AG, Stuttgart

TLS-Zertifikate werden üblicherweise über Zertifikatsketten geprüft. Browser und andere HTTP-Clients haben eine Liste von Root-Zertifikaten vorliegen, denen sie vertrauen. Mit den zugehörigen privaten Schlüsseln dieser Zertifikate werden Zwischenzertifikate signiert. Mit den Schlüsseln der Zwischenzertifikate wiederum werden die eigentlichen Webseitenzertifikate signiert. Zertifikatsketten mit mehreren Zwischenzertifikaten sind ebenfalls möglich.

Signatur von Identrust ermöglichte erfolgreichen Start von Let's Encrypt

Für eine neue Zertifizierungsstelle ist dieses System ein Problem, denn bis das eigene Zertifikat von Browsern und Betriebssystemherstellern aufgenommen wird, dauert es seine Zeit. Daher verwendete Let's Encrypt kein eigenes Root-Zertifikat, als es im Jahr 2015 den Betrieb aufnahm, sondern ließ sich das eigene Zwischenzertifikat von einer anderen Zertifizierungsstelle namens Identrust unterschreiben. Doch dieses Zwischenzertifikat ist nur noch bis März 2021 gültig.

Die Dachorganisation von Let's Encrypt, die Internet Security Research Group, erstellte 2015 ein eigenes Root-Zertifikat und bemüht sich seitdem darum, dass dieses in die Root-Zertifikatslisten aufgenommen wird. Inzwischen unterstützen alle gängigen Web-Clients dieses Zertifikat und Let's Encrypt will künftig dieses Zertifikat und ein davon signiertes Zwischenzertifikat nutzen.

Der Wechsel wurde mehrfach verschoben und ist jetzt für den 11. Januar 2021 geplant. Standardmäßig soll dann über das ACME-Protokoll das von Let's Encrypt selbst signierte Zwischenzertifikat ausgeliefert werden. Webseitenbetreiber können allerdings, wenn ihnen Kompatibilität mit alten Clients wichtig ist, weiterhin manuell das Identrust-Zwischenzertifikat konfigurieren. Beide Zwischenzertifikate nutzen denselben öffentlichen Schlüssel, daher sind alle von Let's Encrypt ausgestellten Zertifikate mit beiden Zwischenzertifikaten nutzbar.

Mittelfristig stehen noch mehr Änderungen an. Let's Encrypt hat gerade diverse neue Zwischenzertifikate erstellt, die Umstellung darauf soll Ende des Jahres erfolgen. Die neuen Zertifikate ermöglichen es dann auch, eine gesamte Zertifikatskette mit ECDSA-Zertifikaten zu verwenden und sind generell etwas kleiner, was Datenverkehr einspart.

Auch nach dem Ablauf des Identrust-Intermediates wird es weiterhin möglich sein, ein von Identrust signiertes Zwischenzertifikat zu nutzen. Hierzu wurde ein Zwischenertifikat ausgestellt, das bis September 2021 gültig ist. Danach läuft auch das von Identrust verwendete Root-Zertifikat ab, spätestens dann muss Let's Encrypt endgültig auf eigene Root-Zertifikate setzen.

In Einzelfällen kann es zu Problemen kommen

In den meisten Fällen sollten die Änderungen automatisch passieren. Schwierigkeiten könnte es bei Setups geben, in denen das Zwischenzertifikat fest eingestellt ist. Wer nach dem März 2021 das abgelaufene Zwischenzertifikat von Identrust nutzt, könnte Probleme bekommen.

Ob Nutzer dann eine Fehlermeldung bekommen, hängt vom Client ab. Webbrowser haben verschiedene Mechanismen, um ein gültiges Zwischenzertifikat selbst zu finden: Sie laden sie es teilweise automatisch herunter oder verwenden bereits im Cache befindliche Zwischenzertifikate. Probleme machen in solch einem Fall eher Kommandozeilentools. Ein abgelaufenes Root-Zertifikat von Sectigo sorgte kürzlich bereits für ähnliche Probleme.

Nachtrag vom 18. September 2020, 16:25 Uhr

Wir hatten ursprünglich geschrieben, dass der Wechsel für Ende September geplant ist. Let's Encrypt hat kurzfristig angekündigt, diesen auf Januar 2021 zu verschieben, wir haben den Text entsprechend angepasst.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. 1.779€ (Bestpreis!)
  2. (u. a. Nintendo Switch Lite inkl. Super Mario 3D All-Stars für 236,09€, Google Chromecast für...
  3. 39,97€
  4. 424€ (mit Rabattcode "YDENUEDR6CZQWFQM" - Bestpreis!)

PhiLosove 25. Sep 2020 / Themenstart

Mir sind da ein paar Rechtschreibfehler und doppelte Worte aufgefallen. Ich würde mich...

wupme 23. Sep 2020 / Themenstart

Es wurden doch schon bei Android 5 (oder war es 6?) mal Zertifikate per Playstore...

tomatentee 19. Sep 2020 / Themenstart

Genau. Das Schlüsselpaar hat mit dem Zertifikat erstmal nichts zu tun. Das Zertifikat...

hab (Golem.de) 18. Sep 2020 / Themenstart

Wir haben das angepasst.

Kommentieren


Folgen Sie uns
       


Surface Book 3 - Test

Das Surface Book ist einmal mehr ein exzellentes Notebook, das viele Nischen bedient. Allerdings hätten wir uns nach fünf Jahren ein wenig mehr Neues gewünscht.

Surface Book 3 - Test Video aufrufen
Differential Privacy: Es bleibt undurchsichtig
Differential Privacy
Es bleibt undurchsichtig

Mit Differential Privacy soll die Privatsphäre von Menschen geschützt werden, obwohl jede Menge persönlicher Daten verarbeitet werden. Häufig sagen Unternehmen aber nicht, wie genau sie das machen.
Von Anna Biselli

  1. Strafverfolgung Google rückt IP-Adressen von Suchanfragen heraus
  2. Datenschutz Millionenbußgeld gegen H&M wegen Ausspähung in Callcenter
  3. Personenkennziffer Bundestagsgutachten zweifelt an Verfassungsmäßigkeit

Watch SE im Test: Apples gelungene Smartwatch-Alternative
Watch SE im Test
Apples gelungene Smartwatch-Alternative

Mit der Watch SE bietet Apple erstmals parallel zum Topmodell eine zweite, günstigere Smartwatch an. Die Watch SE eignet sich unter anderem für Nutzer, die auf die Blutsauerstoffmessung verzichten können.
Ein Test von Tobias Költzsch

  1. Apple WatchOS 7.0.3 behebt Reboot-Probleme der Apple Watch 3
  2. Series 6 im Test Die Apple Watch zwischen Sport, Schlaf und Sättigung
  3. Apple empfiehlt Neuinstallation Probleme mit WatchOS 7 und Apple Watch lösbar

Mafia Definitive Edition im Test: Ein Remake, das wir nicht ablehnen können
Mafia Definitive Edition im Test
Ein Remake, das wir nicht ablehnen können

Familie ist für immer - nur welche soll es sein? In Mafia Definitive Edition finden wir die Antwort erneut heraus, anders und doch grandios.
Ein Test von Marc Sauter

  1. Mafia Definitive Edition angespielt Don Salieri wäre stolz
  2. Mafia Definitive Edition Ballerei beim Ausflug aufs Land
  3. Definitive Edition Das erste Mafia wird von Grund auf neu erstellt

    •  /