Wenn Ihr privater Schlüssel kompromittiert wurde, können Sie dies nun schnell melden und erhalten, sofern Sie dies wünschen, automatisch einen Widerruf – dank dem DigiCert-Tool zum Melden von Zertifikatsproblemen.

Eine der Hauptaufgaben einer Zertifizierungsstelle ist es, auf gemeldete Zertifikatsprobleme zu reagieren und Zertifikate zu widerrufen. Nur so lässt sich die Vertrauenswürdigkeit im Internet wahren.

Im Rahmen unseres Engagements, das Internet sicherer zu machen, die Integrität unserer Zertifikate zu gewährleisten und unsere Prozesse kontinuierlich zu verbessern, hat DigiCert kürzlich ein Tool zum Melden von Zertifikatsproblemen veröffentlicht. Über dieses Tool, das der Öffentlichkeit frei zur Verfügung steht, lassen sich manipulierte private Schlüssel melden.

Funktionsweise

Wer bisher einen kompromittierten Schlüssel melden wollte, musste sich an das Supportteam von DigiCert wenden. Mit dem neuen Prozess können wir schneller reagieren und handeln. Das Meldetool akzeptiert Nachweise problematischer privater Schlüssel und prüft systematisch, ob der vorgelegte Nachweis ausreichend ist. Wenn dies der Fall ist, plant das System den Widerruf der betroffenen Zertifikate.

Jeder kann ein Problem melden, vom Sicherheitsforscher über Kunden bis hin zur allgemeinen Öffentlichkeit. Das neue Tool steht unter problemreport.digicert.com zur Verfügung.

So verwenden Sie das Tool zur Meldung von Zertifikatsproblemen

Hinweis: Wenn Sie Inhaber des betroffenen Zertifikats sind, sollten Sie es über Ihr CertCentral-Konto widerrufen und erneut ausstellen.

Gehen Sie wie folgt vor, um einen kompromittierten privaten Schlüssel zu melden:

1. Öffnen Sie problemreport.digicert.com.
2. Wählen Sie entweder die Option „Use this form“ (Dieses Formular verwenden) oder „Use API to report“ (Über API melden) aus.
3. Legen Sie einen Nachweis über den kompromittierten private Schlüssel vor.
   1. Sie müssen entweder eine CSR mit dem Common Name für
      „Proof of Key Compromise for DigiCert” (Nachweis einer Schlüsselkompromittierung für DigiCert) oder den betroffenen privaten Schlüssel bereitstellen.
4. Geben Sie außerdem Ihre E-Mail-Adresse an, damit wir Sie bezüglich Ihrer Meldung kontaktieren können.

Wenn Sie andere Probleme mit Zertifikaten, wie den Missbrauch eines Zertifikats, Betrug oder unangemessenes Verhalten, melden möchten, senden Sie bitte eine E-Mail an revoke@digicert.com und machen Sie genaue Angaben zum Problem und zum Zertifikat.

Nachdem Sie Ihre Meldung abgesendet haben, wird DigiCert dem Problem innerhalb von 24 Stunden nachgehen und im Einklang mit den Mindestanforderungen (Baseline Requirements) des CA/B Forum sowie branchenüblichen Standards geeignete Maßnahmen festlegen, zum Beispiel einen Widerruf.

Mehr dazu

Weitere Informationen zum Widerrufen von Zertifikaten und dem von DigiCert angewandten Prozess finden Sie in unserem Blogbeitrag „Leitfaden zum Widerrufen von TLS-Zertifikaten“.