Probleme bei abgelaufenem Root-Zertifikat

Verifizierung fehlgeschlagen

Im Mai ist das Zertifikat der Root Certificate Authority Sectigo, ehemals Comodo, abgelaufen. Dies sollte eigentlich keine Schwierigkeiten verursachen, da bereits seit langer Zeit ein aktualisiertes Zertifikat zur Verfügung steht. Bei einigen älteren Clients kam es jedoch bei der Verifizierung der Zertifikatskette zu Problemen. Der Open-Source-Tipp schaut sich an, was schiefgelaufen ist und wie sich ähnliche Fehler in Zukunft vermeiden lassen.
Ein Internetauftritt ist für Firmen heute eine Selbstverständlichkeit, doch gilt es beim Betrieb der entsprechenden Server einiges zu beachten. Im September ... (mehr)

Auch wenn Zertifikate von Certificate Authorities (CA) zumeist eine recht lange Laufzeit haben, ist irgendwann auch diese abgelaufen und das Zertifikat wird ungültig. Bei Sectigo war es am 30. Mai diesen Jahres soweit. Der Tag fiel auf einen Samstag, was sicherlich dazu führte, nicht wenigen Administratoren das Wochenende zu verderben.

Root- und Intermediate-Zertifikatsstellen

Aber was genau ist eigentlich passiert? Es ist durchaus üblich, dass Certificate Authorities (CA) die Kontrolle über mehrere Root-Zertifikate besitzen können. Diese werden zum Validieren einer ganzen Zertifikatskette (im Englischen als Certificate Chain bezeichnet) eingesetzt. Je älter ein solches Root-Zertifikat ist, desto höher ist die Chance, dass es von älteren Clients jeder Art unterstützt wird. Im Folgenden finden Sie den Namen, den Herausgeber und den Gültigkeitszeitraum der Sectigo-Root-CA und der davon abgeleiteten Intermediate CA:

subject=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
issuer=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
notBefore=May 30 10:48:38 2000 GMT
notAfter=May 30 10:48:38 2020 GMT
 
Subject: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
Issuer=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
notBefore=May 30 10:48:38 2000 GMT
notAfter=May 30 10:48:38 2020 GMT

Im Februar 2010 veröffentlichte Sectigo ein neues Root-Zertifikat, das auch in den Trust Stores aktueller Betriebssysteme vorhanden ist. Dieses verwendet allerdings den gleichen Common Name und Public Key wie

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.

comments powered by Disqus

Artikel der Woche

Eigene Registry für Docker-Images

Wer selber Docker-Images herstellt, braucht auch eine eigene Registry. Diese gibt es ebenfalls als Docker-Image, aber nur mit eingeschränkter Funktionalität. Mit einem Auth-Server wird daraus ein brauchbares Repository für Images. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Konfigurationsmanagement

Ich konfiguriere meine Server

  • von Hand
  • mit eigenen Skripts
  • mit Puppet
  • mit Ansible
  • mit Saltstack
  • mit Chef
  • mit CFengine
  • mit dem Nix-System
  • mit Containern
  • mit anderer Konfigurationsmanagement-Software

Ausgabe /2020