Transparenz binnen eines Jahres
Laut Google Anküngigung sollen die Zertifizierungsstellen (CAs) auf Certificate Transparency verpflichtet werden. Wie heise.de unter Verweis auf den Plan des Google-Entwicklers Ryan Sleevi berichtete, soll Chrome Zertifikate, die ab Oktober 2017 ausgestellt werden und für die keine Certificate-Transparency-Logs vorliegen, als nicht mehr vertrauenswürdig einstufen. Um Probleme beim Übergang zu den neuen Regeln zu vermeiden, will Google mit dem CA/Browser Forum und allen interessierten CAs zusammenarbeiten.
Was bedeutet Certificate Transparency?
Certificate Transparency, bei der IETF als RFC 6962 geführt, ist ein Prozess, der öffentliche, kryptografisch gesicherte Logs und Monitoring-Software vereint, um regelwidrig ausgestellte SSL-Zertifikate aufzuspüren und zu blockieren. Das soll sichtbar machen, wenn CAs Zertifikate auf Domains ausstellen, die bereits von anderen CAs mit Zertifikaten versorgt werden. In den Logs verewigen die CAs alle ihre Zertifizierungsaktivitäten so, dass sich diese öffentlichen Aufzeichnungen im Nachhinein nicht mehr ändern lassen.
Google will Nutzer schützen
Mittels Certificate Transparency sollen falsche und fehlerhafte Zertifikate oder auch vorsätzlicher Missbrauch durch Dritte verhindert werden. So sollen zum Beispiel Zertifikate für die Google-Domain, die gültig sind, weil sie von einer vertrauenswürdigen CA korrekt unterschrieben wurden, aber bei den CAs nicht ordnungsgemäß in Certificate-Transparency-Logs geführt werden, ab Oktober 2017 nicht anerkannt werden. Damit will Google seine Nutzer vor Phishing- und Spionage-Angriffen schützen, bei denen sich die Angreifer legitime Zertifikate erschlichen haben.
Derzeit ist es immer noch möglich, dass Angreifer Zertifikate erschleichen und dem Opfer so eine SSL/TLS-gesicherte Verbindung vortäuschen. Das geht aber nur wenn die CA nicht genau überprüft ob die Domain tatsächlich einem Antragsteller gehört.
Weiterführende Links:
Über die Hälfte der sind Top-Domains nicht vor Spoofing gefeit
Achtung: Abzocke mit Domain-Rechnung!
Let's Encrypt bringt Gratis – SSL – Zertifikate für alle
Let’s-Encrypt stattet Word Press mit SSL-Zertifikaten aus
heise.de: Google Chrome: Zertifizierungsstellen werden zu Certificate Transparency verpflichet
