• IT-Karriere:
  • Services:

Zwischenzertifikate: Zertifikatswechsel bei Let's Encrypt steht an

Bisher war das Let's-Encrypt-Zwischenzertifikat von Identrust signiert. Das wird sich bald ändern.

Artikel von veröffentlicht am
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an.
Bei Let's Encrypt stehen ein paar Änderungen in den Zertifikatsketten an. (Bild: Let's Encrypt)

Bei der kostenlosen Zertifizierungsstelle Let's Encrypt steht ein Wechsel des Zwischenzertifikats an. Nächstes Jahr soll standardmäßig ein Zwischenzertifikat verwendet werden, das nicht mehr von der Zertifizierungsstelle Identrust signiert ist. Das alte Zwischenzertifikat läuft bald ab.

Stellenmarkt
  1. Versicherungskammer Bayern, München
  2. Stadt NÜRNBERG, Nürnberg

TLS-Zertifikate werden üblicherweise über Zertifikatsketten geprüft. Browser und andere HTTP-Clients haben eine Liste von Root-Zertifikaten vorliegen, denen sie vertrauen. Mit den zugehörigen privaten Schlüsseln dieser Zertifikate werden Zwischenzertifikate signiert. Mit den Schlüsseln der Zwischenzertifikate wiederum werden die eigentlichen Webseitenzertifikate signiert. Zertifikatsketten mit mehreren Zwischenzertifikaten sind ebenfalls möglich.

Signatur von Identrust ermöglichte erfolgreichen Start von Let's Encrypt

Für eine neue Zertifizierungsstelle ist dieses System ein Problem, denn bis das eigene Zertifikat von Browsern und Betriebssystemherstellern aufgenommen wird, dauert es seine Zeit. Daher verwendete Let's Encrypt kein eigenes Root-Zertifikat, als es im Jahr 2015 den Betrieb aufnahm, sondern ließ sich das eigene Zwischenzertifikat von einer anderen Zertifizierungsstelle namens Identrust unterschreiben. Doch dieses Zwischenzertifikat ist nur noch bis März 2021 gültig.

Die Dachorganisation von Let's Encrypt, die Internet Security Research Group, erstellte 2015 ein eigenes Root-Zertifikat und bemüht sich seitdem darum, dass dieses in die Root-Zertifikatslisten aufgenommen wird. Inzwischen unterstützen alle gängigen Web-Clients dieses Zertifikat und Let's Encrypt will künftig dieses Zertifikat und ein davon signiertes Zwischenzertifikat nutzen.

Der Wechsel wurde mehrfach verschoben und ist jetzt für den 11. Januar 2021 geplant. Standardmäßig soll dann über das ACME-Protokoll das von Let's Encrypt selbst signierte Zwischenzertifikat ausgeliefert werden. Webseitenbetreiber können allerdings, wenn ihnen Kompatibilität mit alten Clients wichtig ist, weiterhin manuell das Identrust-Zwischenzertifikat konfigurieren. Beide Zwischenzertifikate nutzen denselben öffentlichen Schlüssel, daher sind alle von Let's Encrypt ausgestellten Zertifikate mit beiden Zwischenzertifikaten nutzbar.

Mittelfristig stehen noch mehr Änderungen an. Let's Encrypt hat gerade diverse neue Zwischenzertifikate erstellt, die Umstellung darauf soll Ende des Jahres erfolgen. Die neuen Zertifikate ermöglichen es dann auch, eine gesamte Zertifikatskette mit ECDSA-Zertifikaten zu verwenden und sind generell etwas kleiner, was Datenverkehr einspart.

Auch nach dem Ablauf des Identrust-Intermediates wird es weiterhin möglich sein, ein von Identrust signiertes Zwischenzertifikat zu nutzen. Hierzu wurde ein Zwischenertifikat ausgestellt, das bis September 2021 gültig ist. Danach läuft auch das von Identrust verwendete Root-Zertifikat ab, spätestens dann muss Let's Encrypt endgültig auf eigene Root-Zertifikate setzen.

In Einzelfällen kann es zu Problemen kommen

In den meisten Fällen sollten die Änderungen automatisch passieren. Schwierigkeiten könnte es bei Setups geben, in denen das Zwischenzertifikat fest eingestellt ist. Wer nach dem März 2021 das abgelaufene Zwischenzertifikat von Identrust nutzt, könnte Probleme bekommen.

Ob Nutzer dann eine Fehlermeldung bekommen, hängt vom Client ab. Webbrowser haben verschiedene Mechanismen, um ein gültiges Zwischenzertifikat selbst zu finden: Sie laden sie es teilweise automatisch herunter oder verwenden bereits im Cache befindliche Zwischenzertifikate. Probleme machen in solch einem Fall eher Kommandozeilentools. Ein abgelaufenes Root-Zertifikat von Sectigo sorgte kürzlich bereits für ähnliche Probleme.

Nachtrag vom 18. September 2020, 16:25 Uhr

Wir hatten ursprünglich geschrieben, dass der Wechsel für Ende September geplant ist. Let's Encrypt hat kurzfristig angekündigt, diesen auf Januar 2021 zu verschieben, wir haben den Text entsprechend angepasst.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. 304€ (Bestpreis!)
  2. 274,49€ (mit Rabattcode "PFIFFIGER" - Bestpreis!)
  3. 689€ (mit Rabattcode "PRIMA10" - Bestpreis!)
  4. Apple iPad Air 10,9 Zoll Wi-Fi 64GB für 632,60€, Apple iPad Air 10,9 Zoll Cellular 64GB für 769...

PhiLosove 25. Sep 2020 / Themenstart

Mir sind da ein paar Rechtschreibfehler und doppelte Worte aufgefallen. Ich würde mich...

wupme 23. Sep 2020 / Themenstart

Es wurden doch schon bei Android 5 (oder war es 6?) mal Zertifikate per Playstore...

tomatentee 19. Sep 2020 / Themenstart

Genau. Das Schlüsselpaar hat mit dem Zertifikat erstmal nichts zu tun. Das Zertifikat...

hab (Golem.de) 18. Sep 2020 / Themenstart

Wir haben das angepasst.

Kommentieren


Folgen Sie uns
       


Zhaxoin ZX-U6780U - Fazit

Wir testen den ZX-U6780U von Zhaxoin, einen achtkernigen x86-Prozessor aus China, der im 16-nm-Verfahren gefertigt wird. Die x86-Lizenz stammt von Centaur, einer Tochter von Via Technologies.

Zhaxoin ZX-U6780U - Fazit Video aufrufen
Mobilfunk: UMTS-Versteigerungstaktik wird mit Nobelpreis ausgezeichnet
Mobilfunk
UMTS-Versteigerungstaktik wird mit Nobelpreis ausgezeichnet

Sie haben Deutschland zum Mobilfunk-Entwicklungsland gemacht und wurden heute mit dem Nobelpreis ausgezeichnet: die Auktionstheorien von Paul R. Milgrom und Robert B. Wilson.
Ein IMHO von Frank Wunderlich-Pfeiffer

  1. Coronakrise Deutsche Urlaubsregionen verzeichnen starke Mobilfunknutzung
  2. LTE Telekom benennt weitere Gewinner von "Wir jagen Funklöcher"
  3. Mobilfunk Rufnummernportierung darf maximal 7 Euro kosten

Star Trek Discovery: Harte Landung im 32. Jahrhundert
Star Trek Discovery
Harte Landung im 32. Jahrhundert

Die dritte Staffel von Star Trek: Discovery nutzt das offene Ende der Vorgängerstaffel. Sie verspricht Spannung - etwas weniger Pathos dürfte es aber sein.
Eine Rezension von Tobias Költzsch

  1. Star Trek Prodigy Captain Janeway spielt in Star-Trek-Cartoonserie mit
  2. Paramount Zukunft für Star-Trek-Filme ist ungewiss
  3. Streaming Star Trek Discovery kommt am 15. Oktober zurück

Artemis Accords: Mondverträge mit bitterem Beigeschmack
Artemis Accords
Mondverträge mit bitterem Beigeschmack

"Sicherheitszonen" zum Rohstoffabbau auf dem Mond, das Militär darf tun, was es will, Machtfragen werden nicht geklärt, der Weltraumvertrag wird gebrochen.
Von Frank Wunderlich-Pfeiffer

  1. Artemis Nasa engagiert Nokia für LTE-Netz auf dem Mond

    •  /