Let’s Encrypt zieht Millionen Zertifikate zurück!
- "Geschrieben von Matthias Pufke"
Aufgrund eines Fehlers bei der Autorisierung muss Let‘s Encrypt mehr als drei Millionen seiner SSL-/TLS-Zertifikate zurückziehen.
Die Allianz "Let's Encrypt", die erst im Jahr 2015 an den Start ging, hat sich seitdem zu einem Platzhirsch im Bereich von TLS- und SSL-Zertifikaten entwickelt. Man geht aktuell von 116 Millionen aktiven (!) Zertifikaten aus - was einem Marktanteil von mehr als 50 Prozent entspricht. Nun gibt es allerdings ein Problem, aufgrund dessen gut eineinhalb Millionen Zertifikate zurückgezogen werden müssen.
Es gibt aber auch eine gute Nachricht: Kunden, die Ihre Website bei uns gehostet haben, sind definitiv nicht von dem Problem betroffen. Wer sein Zertifikat prüfen lassen möchte, kann das hier tun.
Was bedeutet das?
Browser könnten beim Aufruf entsprechender Websites Warnhinweise abgeben und die Seite als unsicher, bzw. als nicht vertrauenswürdig einstufen. Welche möglichen weiteren Auswirkungen konkret auf betroffene Website-Betreiber zukommen, ist bis jetzt nicht im Detail klar.
Den Grund für das „Revocation“ genannte Problem hat Let‘s Encrypt am Samstag bekannt gegeben: Es handelt sich um einen Fehler bei der Prüfung der CAA-Records - dabei können Domaininhaber festlegen, welche Zertifizierungsstellen berechtigt sind, Zertifikate auszustellen. Diesen Hinweis dürfen diese maximal acht Stunden vor der Zertifikatsausstellung checken. Let‘s Encrypt führt den Check aber zeitgleich mit der Domainvalidierung durch, welche für 30 Tage gilt - in diesen bestimmten Fällen hätte Let's Encrypt den CAA-Check ein zweites Mal durchführen müssen, was aber wohl nicht geschehen ist.
