Alte Android-Geräte und Let’s Encrypt Zertifikate: Bald keine sichere Verbindung mehr?

Besitzer von Smartphones mit alten Android Versionen könnten bald auf dem Trockenen sitzen. Denn ab dem kommenden Jahr gibt es seitens der Zertifizierungsstelle Let’s Encrypt einige Umstellungen. Die Folge: Nutzer von Android 7.1.1. abwärts könnten Probleme mit der Verbindung zu sicheren Websites bekommen.

Update (Vielen Dank für das Feedback an unsere Kunden)

Aufgrund der großen Anzahl an Rückmeldungen von Let’s Encrypt Nutzern hat sich Let’s Encrypt dazu entschlossen, die alte ISRG Root X1 Zertifikatskette weiterhin als Standard zu verwenden. Für Nutzer ändert sich daher erstmal weiterhin nichts.

Die neue Kette (ohne ISRG Root X1) kann optional im ACME-Klienten angefordert werden (um z.B. zu testen, wie sich Android-Geräte verhalten). Bis zum Auslaufen der ISRG Root X1 (Anfang 2024) oder einer späteren Umstellung durch Let’s Encrypt besteht erstmal kein Handlungszwang.

Ältere Android Versionen sind ein großes Problem

Wird ein neues Android entwickelt, arbeitet es sicherer, stabiler und bringt zahlreiche neue Funktionen mit. Doch nicht jeder Smartphone-Nutzer kommt in den Genuss einer derartig modernen Android Version. Denn nicht die Android-Entwickler und der Herausgeber Google selbst entscheiden, welches Smartphone auf dem Markt das neueste Android erhält. Es sind die Smartphone Hersteller selbst.

Und genau das dürfte ab dem kommenden Jahr 2021 ein großes Problem werden. Genauer gesagt ist damit der Zugriff von Smartphones mit älteren Android Versionen auf sichere Websites gemeint. Denn dabei könnte der Zugriff verweigert werden.

Ab 2021 stellt Let’s Encrypt den Support für ältere Smartphones ein

Wird im Internet ein neues Internetprojekt, also eine Website ins Leben gerufen, wird sie mittlerweile standardmäßig mit einem SSL-Zertifikat versehen. Das ist erforderlich, damit Server und Nutzergerät eine verschlüsselte Verbindung aufbauen und alle Daten sicher übertragen werden.

Damit Websitebesitzer ihre Webseite verschlüsseln können, bietet unter anderem die bekannte Zertifizierungsstelle Let’s Encrypt ihren Dienst an. Sie gehört weltweit zu den führendsten Anbietern, mittlerweile verwenden rund 50 Prozent aller weltweit betriebenen Websites Zertifikate von Let’s Encrypt.

Damals beantragte Let’s Encrypt bei seiner Gründung ein eigenes Stammzertifikat namens „ISRG Root X1“. Es wurde zeitgleich auf sämtlichen Betriebssystemen und Browsern auf der Welt ausgerollt. Zusätzlich wurden die Zertifikate von Let’s Encrypt auch vom „DST Root X3“- Root von Identrust unterstützt, das eben auch auf den besagten mobilen Endgeräten mit Android Verwendung findet.

Ab dem 1. September 2021 wird Let’s Encrypt nun die Partnerschaft mit Identrust auslaufen lassen, um auf eigenen Beinen zu stehen. Aktuell gibt es noch keine genauen Pläne für eine mögliche Zwischenlösung. Dementsprechend weiß auch niemand, wie es weitergehen soll.

Die gravierende Folge der zu beendenden Kooperation: Alle Geräte, deren Betriebssysteme und Browser mit dem alten Standard arbeiten, könnten große Probleme bekommen. Denn dann funktionieren sämtliche Websites, Dienste und Anwendungen nicht mehr, da vom System kein sicheres Zertifikat mehr erkannt wird.

Betroffen sind Geräte mit Android 7.1.1 Nougat und älter

Werden ältere Android Versionen aus der Zertifikat-Gruppe ausgeschlossen, trauen die Root-Zertifikate den Verbindungen nicht mehr. Folglich werden sie ausgesperrt und Nutzer können keine Websites mehr aufrufen oder Apps verwenden, die mit dieser Gruppe arbeiten.

Speziell bezieht sich das Problem auf alle Geräte, die mit Android 7.1.1 Nougat arbeiten und älter. Schätzungen zufolge könnte davon über ein Drittel aller Android-Geräte betroffen sein. Weltweit gibt es viele Nutzer, die ältere Android Geräte verwenden. Sie werden bereits seit 2016 nicht mehr supported und haben dementsprechend auch keine Android-Updates mehr gesehen.

Ältere Android Geräte könnten Fehlermeldungen ausgeben

Trennt sich Let’s Encrypt im kommenden Jahr von Identrust, kann das wie bereits beschrieben unangenehme Folgen haben. Genauer gesagt ist es dann der Fall, dass beim Öffnen einer verschlüsselten Website eine Fehlermeldung ausgegeben wird. Denn Internetbrowser und Android-Gerät sehen das verbundene Zertifikat als unbekannt und greifen deshalb nicht auf den Inhalt der Website zu. Doch damit ist das Problem wie gesagt vorerst nur bis zum September überbrückt. Was danach kommt, sorgt nach wie vor für Kopfzerbrechen.

Was kann ich als Webseitenbetreiber für meine Kunden machen?

Prüfe zuerst mit einem Analysetool wie viele Kunden noch die veraltete Androidversion nutzen. Wenn es eine größere Anzahl Besucher betrifft kannst Du dem Problem aus dem Weg zu gehen, indem Du auf ein kostenpflichtiges SSL Zertifikat umsteigst, da hier die Unterstützung weiterhin gegeben ist.

Tipp für ältere Android Versionen: Der Firefox-Browser kann helfen

Kommt es zu Problemen, haben sich Experten bereits auf die Suche nach passenden Lösungen gemacht. Und sie wurden fündig! So haben Besitzer älterer Android-Geräte die Möglichkeit, den Browser zu wechseln. Genauer gesagt sollte man sich hier den Mozilla Firefox herunterladen, der ebenfalls für Android im Store erhältlich ist.

Der Vorteil von Firefox: Der mobile Internetbrowser arbeitet nicht mit den Stammzertifikaten von Android. Vielmehr greift er auf einen eigenen Speicher zu, auf dem die Zertifikate liegen. Dementsprechend sollte es zu keinerlei Problemen kommen. Möchtest Du Dir den Mozilla Firefox herunterladen, hast Du ab Android Version 5.0 gute Karten. Denn ab dieser Version ist der Browser kompatibel und lässt sich reibungslos installieren.

Allerdings ist der Umstieg auf den genannten Browser nicht die vollständige Lösung des Problems. Denn hiermit lassen sich lediglich Websites öffnen. Alle anderen Funktionen und Dienste in Android, die sich außerhalb vom Browser abspielen, werden nach wie vor nicht funktionieren.

Ab Anfang 2021 dürften also einige Android Nutzer vor großen Problemen stehen. Und selbst wenn sie mit Mozilla Firefox überbrücken können, dürften alle anderen Anwendungen und Dienste nach wie vor Probleme machen und bei der Verbindung zum Internet streiken. Bleibt abzuwarten, wie Let’s Encrypt und Smartphone-Hersteller nun agieren, um einen möglichen Lösungsansatz zu finden.

Denn Fakt ist, dass etwa ein Drittel aller weltweit installierten Android-Version betroffen sind. Genauer gesagt ist hier von etwa einer halben Milliarde Nutzer die Rede.

Quelle: https://letsencrypt.org/2020/11/06/own-two-feet.html
https://www.heise.de/news/Let-s-Encrypt-Noch-keine-umfassende-Loesung-fuer-alte-Android-Geraete-in-Sicht-4958108.html