Google Chrome vertraut StartCom- und WoSign-Zertifikaten nicht mehr
Die noch für diesen Monat angekündigte Beta-Version von Chrome soll den von StartCom und WoSign ausgestellten Zertifikaten nicht mehr vertrauen.
Ab der Chrome-Version 61 soll der Webbrowser keine SSL-/TLS-Zertifikate mehr von den Zertifizierungsstellen (CA) StartCom und WoSign annehmen. Diesen finalen Schritt kündigte nun ein Chrome-Entwickler auf der offiziellen Mailingliste an.
Die Beta-Version von Chrome 61 soll noch diesen Monat erscheinen; die Veröffentlichung der finalen Version ist für Mitte September angekündigt. Bereits seit Chrome 56 hat Google den CAs nach und nach das Vertrauen entzogen. Der Grund dafür sind diverse Verstöße gegen Zertifikatsrichtlinien: Unter anderem gelang es einem Sicherheitsforscher, ein gültiges Zertifikat für die GitHub-Domain zu erhalten. Zudem hat WoSign laut Mozilla die Übernahme der Mitbewerber-CA StartCom nicht öffentlich bekannt gegeben.
Um das Vertrauen wiederherzustellen, vollzogen die CAs einen Wechsel in der Firmenspitze. Außerdem kündigten sie an, beide CAs in puncto Infrastruktur und Personal komplett voneinander zu trennen. Offensichtlich hat das nicht genügt.
Google ist nicht allein
Apple und Mozilla reagierten zuerst auf die Missstände und verbannten die CAs aus ihren Webbrowsern. Die Schritte von Apple & Co. muten drastisch an, doch wer sich im Geschäft mit Zertifikaten nicht an die Spielregeln hält, hat kein Vertrauen verdient. Schließlich fußt die Wahrung von Authentizität und Integrität im Internet durch Zertifikate auf Vertrauen.
Google empfiehlt allen Webseitenbetreibern, die Zertifikate von StartCom und WoSign einsetzen, diese zügig auszuwechseln. Andernfalls tauchen Warnmeldungen im Webbrowser auf, wenn man solche Seiten besucht. (des)
