Gültigkeit der SSL-Zertifikate werden verkürzt

Bereits im März hatte Apple die Kürzung der Gültigkeit der SSL-Zertifikate auf der Spring Face-to-Face Veranstaltung angekündigt. Google meldete sich dann Ende Juni auch zu der Angelegenheit und sagte das Sie die Änderungen auch an Ihren eigenen Programmen vornehmen.

Nun ist es entschieden ab den 01.09.2020 werden SSL Zertifikate mit einer Laufzeit über 13 Monate als unsicher deklariert werden.

Was bedeutet die kürzere Gültigkeit für SSL-Zertifikate für Dich als Webseitenbetreiber?

Diese Webseite ist nicht sicher – eine Meldung, dass man als Benutzer nicht gerne oben in der Browserleiste lesen möchte. Ab den nächsten Monat kann dieses bei dem Internetbrowser Safari bei der ein oder anderen Webseite vorkommen.

In Kraft tritt die neue Regelung erst am 01.09.2020. Wenn Du bis dahin ein Zertifikat gekauft hast mit zweijähriger Gültigkeit ist dieser bis zum Laufzeitende noch gültig.

Laut der Aussage von dem Zertifikatsanbieter Digicert wird der Internetbrowser Safari auf allen Apple-Geräten zukünftig alle Webseiten als unsicher markieren deren Zertifikat länger als 13 Monate gültig ist. Ausgenommen sind Zweijahres Zertifikate die vor dem 01.09.2020 ausgestellt wurden sind.

Durch diese strenge Maßnahme erhofft sich Apple das die Anzahl von Fake-Seiten vermindert werden. Andererseits profitieren auch die Website-Betreiber, indem sie mit gültigen SSL-Zertifikaten ihren Kunden Vertrauen in ihre Website und ihre Marke vermitteln können. Das sorgt für mehr Traffic und am Ende auch für mehr Gewinn.

Hier sind einmal alle Sicherheitsanforderungen der SSL-Zertifikate für iOS 13 und macOS 10.15:

• RSA Schlüsselgrößen muss größer oder gleich 2048 Bit sein
• Signaturalgorithmus mit Hash aus der SHA-2-FamilieSHA-1-signierte Zertifikate sind für TLS nicht mehr vertrauenswürdig.
• TLS-Serverzertifikate müssen DNS-Namen des Servers in der SAN-Erweiterung des Zertifikats angeben. DNS-Namen im CommonName eines Zertifikats sind nicht mehr vertrauenswürdig.

Werden die Anforderungen nicht eingehalten, laden möglicherweise Websites in Safari nicht und werden als unsicher gekennzeichnet. Alle Zertifikate die bei do.de angeboten werden entsprechen diesen Anforderungen.

Warum ist es sinnvoll die Gültigkeitsdauer für SSL-Zertifikate zu reduzieren?

• Zertifikate sind auf dem neusten Stand. Eine lange Laufzeit erschwert das zeitnahe einspielen von Updates. Eine lange Dauer bringt Risiken mit sich. Zum Beispiel die komplette Umstellung der Hashfunktion hat drei Jahre gedauert.
• Sicherer für die Besucher der Webseite, da die Validierungszeiträume kürzer sind. Denn je länger ein Zertifikat ausgestellt wird umso höher ist das Risiko das die zur Validierung verwendeteten Informationen nicht mehr vertrauenswürdig sind.

Früher, also bis zu dem Jahr 2015 konnte man sich sogar Zertifikate mit einer Laufzeit von fünf Jahren ausstellen lassen. Im Frühjahr 2018 wurden die fünf Jahre auf zwei reduziert und jetzt 2019 wurde der Zeitraum von einem Jahr vorgeschlagen und wird im nächsten Monat durchgesetzt.

Was ist ein SSL-Zertifikat?

Ein SSL-Zertifikat verschlüsselt die Datenübertragung Deiner Webseite. SSL steht für Secure Sockets Layer. Dabei handelt es sich um ein Verschlüsselungsprotokoll und dient als verbindlicher Identitätsnachweis. Vor allem bei sensiblen Daten wie Adresse, Namen, Bankverbindung ist dies notwendig.

Du erkennst ein Zertifikat daran, indem Du oben links in Deine Browserzeile schaust. Dort befindet sich ein Schloss Icon. Eigentlich arbeiten die Zertifikate gar nicht mehr mit dem veralteten Protokol SSL sondern setzten auf das neuere TLS. TLS steht für Transport Layer Security. Dennoch wird umgangssprachlich immernoch von SSL-Zertifikaten gesprochen.

Möchtest Du ein bestimmtes Zertifikat benutzen, muss es immer auf dem Server hinterlegt werden. Zudem bist Du verpflichtet laut DSGVO alle personenbezogenen Daten zu schützen. Wenn Du Daten unverschlüsselt überträgst, riskierst Du eine Abmahnung.

Fazit

Zu erwarten ist, dass andere Browser es Apple gleichtun werden und mitziehen. Vor allem Google, da der Konzern schon im letzten Jahr die Änderungen vorgeschlagen hat. Dort wurde es nicht umgesetzt, da es hieß der Verwaltungsaufwand wäre zu groß für Organisationen die SSL Zertifikate verwenden.

Wahrscheinlich wird die Gültigkeitsdauer für SSL-Zertifikate weiter abnehmen und die Vereinfachung der Zertifikatsverwaltung wird immer bedeutender werden.