FAQ Zum
Vertrauensentzug bei Entrust-Zertifikaten

In der Ankündigung von Google wurde die Entscheidung wie folgt begründet:

"Mehrere bekannt gewordene Sicherheitsvorfälle in den letzten Jahren lassen auf ein problematisches Verhaltensmuster bei Entrust hindeuten, das auf eine Missachtung der oben genannten Erwartungen schließen lässt und das Vertrauen in die Kompetenz, Zuverlässigkeit und Integrität des Unternehmens als öffentliche Zertifizierungsstelle untergräbt."

und

"Zertifizierungsstellen (CAs) ermöglichen verschlüsselte Verbindungen zwischen Browsern und Websites und spielen damit eine zentrale Rolle für das Vertrauen im Internet. Mit dieser enormen Verantwortung geht die Erwartung einher, dass sie angemessene, konsensbasierte Sicherheits- und Compliance-Standards einhalten, einschließlich derjenigen, die in den grundlegenden Anforderungen des CA/Browser Forum für TLS-Verschlüsselung definiert sind.

In den letzten sechs Jahren haben wir ein Verhalten beobachtet, das sich in mehreren Compliance-Versäumnissen, nicht umgesetzten Verbesserungen und einem Mangel an greifbaren und messbaren Fortschritten bei der Reaktion auf bekannt gewordene Vorfälle manifestiert. Wenn wir die Summe dieser Faktoren gegen das inhärente Risiko abwägen, das jede öffentliche Zertifizierungsstelle für das Internet-Ökosystem darstellt, kommen wir zu dem Schluss, dass das bisherige Vertrauen von Google Chrome in Entrust nicht mehr gerechtfertigt ist."

Ab der stabilen Version von Google Chrome vom 11. November, die früher oder später von allen Chrome-Nutzern installiert wird, werden öffentliche TLS-Zertifikate, die unter einem Root-Zertifikat von Entrust ausgestellt wurden und einen Signed Certificate Timestamp (SCT) nach dem 11. November 2024 aufweisen, von Chrome als nicht vertrauenswürdig eingestuft.

Alle TLS-Zertifikate von Entrust mit einem SCT bis einschließlich 11. November 2024 gelten bis zum Ende ihrer Laufzeit als vertrauenswürdig. Wenn diese Zertifikate jedoch geändert, neu verschlüsselt oder erneuert werden, wird ihnen das Vertrauen entzogen. 

Apple hat in einem Support-Dokument aus dem Jahr 2024 bestimmte Zertifizierungsstellen und Root-Zertifikate aufgeführt, denen ab den dort genannten Stichtagen bei Neuausstellungen das Vertrauen entzogen wird. Nach dieser Liste werden viele Root-Zertifikate von Entrust ab dem 15. November 2024 als nicht vertrauenswürdig eingestuft. Betroffen sind unter anderem Zertifikate für TLS, S/MIME, Zeitstempel und BIMI (Brand Indicator for Message Identification). 

Bitte beachten Sie, dass diese Zertifikate trotzdem in der Apple-Liste der vertrauenswürdigen Root-Zertifikate aufgeführt sind, da Zertifikate, die vor dem 15. November 2024 unter diesen Roots ausgestellt wurden, weiterhin als vertrauenswürdig gelten. Apple verfolgt einen anderen Ansatz und misstraut nur Zertifikaten, die nach diesem Stichtag ausgestellt wurden. 

Apple macht keine Angaben zu den betroffenen Produkten. Da jedoch alle Systeme den Apple-eigenen Root Store verwenden müssen, ist davon auszugehen, dass alle PKI-Clients betroffen sind, also Safari, Apple Mail und andere Anwendungen, die unter iOS oder iPadOS laufen.

Mozilla hat bekannt gegeben, dass Zertifikate, die ab dem 1. Dezember 2024 unter dem Root-Zertifikat von Entrust ausgestellt werden, als nicht vertrauenswürdig eingestuft werden. Alle TLS-Zertifikate von Entrust mit einem SCT bis einschließlich 30. November 2024 gelten bis zum Ende ihrer Laufzeit als vertrauenswürdig. Wenn diese Zertifikate jedoch ab dem 1. Dezember geändert, neu verschlüsselt oder erneuert werden, wird ihnen von Firefox das Vertrauen entzogen. 

Microsoft hat bisher keine Maßnahmen angekündigt.

Wir empfehlen, so bald wie möglich mit der strategischen Planung zu beginnen und die vorhandenen Zertifikate zu inventarisieren. Es kann sein, dass Sie aufgrund des Vertrauensverlustes bereits jetzt Störungen verzeichnen. Sie sollten die Restlaufzeiten aller Zertifikate ermitteln, die Risikoprofile der damit verbundenen Dienste bewerten und die Umstellung im Detail planen. Kontaktieren Sie uns noch heute, um die Migration in die Wege zu leiten.

Es gibt viele Programme, die Ihre Infrastruktur nach Zertifikaten durchsuchen können. Als Entrust-Kunde finden Sie in Ihrer Konsole entsprechende Tools, die dazu in der Lage sind.

DigiCert Kunden können ihre Umgebung mit DigiCert^® Trust Lifecycle Manager (TLM) und DigiCert CertCentral^® durchsuchen und Entrust-Zertifikate identifizieren, die ersetzt werden müssen. Kontaktieren Sie uns, wenn Sie Hilfe bei dieser Suche benötigen.

Wenn Sie sich einen Moment Zeit nehmen, können Sie Ihre neuen Zertifikate schnell und einfach ausstellen lassen. Die Validierung Ihrer Domain dauert nur wenige Sekunden, die anschließende Validierung Ihrer Organisation nur wenige Minuten. In den meisten Fällen nimmt die Ausstellung neuer Zertifikate nur wenig Zeit in Anspruch.

Die Organisationsvalidierung (OV) ist zwei Jahre gültig. Nachdem Ihr Unternehmen von DigiCert validiert wurde, müssen Sie nur noch die Domainvalidierung (DV) durchführen. Danach können alle weiteren Zertifikatsanträge noch schneller bearbeitet werden.

Nein, DigiCert muss die Validierung selbst durchführen, bevor Ihre Entrust-Zertifikate mit Organisationsvalidierung (OV) oder erweiterter Validierung (EV) ersetzt werden können.

Ja, bei einem Zertifikat mit Domainvalidierung wird nur die Domain überprüft, was nur wenige Sekunden dauert. Sie müssen nur einige einfache und schnelle Schritte ausführen.

Die Zertifizierungsstelle DigiCert (CA) zeichnet sich als führender Anbieter von Digital-Trust-Lösungen durch drei Prinzipien aus.

Erstens arbeiten wir sehr sorgfältig und nutzen genau definierte Prozesse und Tools wie PKILint, die speziell zur Risikominderung entwickelt wurden.

Zweitens reagieren wir schnell, transparent und Hand in Hand mit dem CA/Browser Forum auf Probleme und versuchen, diese umgehend zu lösen.

Drittens sind wir Mitglied in verschiedenen Normungsgremien, was bedeutet, dass wir Normen nicht nur einhalten, sondern auch im Sinne unserer Branche mitgestalten.

Wir sind der Ansicht, dass dieser Vorfall zu keinem Zeitpunkt einen Vertrauensentzug gerechtfertigt hätte, da wir das Problem sofort nach Bekanntwerden gemeldet und gemeinsam mit unseren Kunden und den größten Browserherstellern dafür gesorgt haben, dass die betroffenen Zertifikate innerhalb der vorgeschriebenen Fristen ersetzt wurden.

Bei der Bekanntgabe des Entrust-Vertrauensentzugs formulierte Google: „Wenn Probleme auftreten, erwarten wir von jeder Zertifizierungsstelle, dass sie sich zu angemessenen und nachweisbaren Änderungen verpflichtet, die im Sinne einer kontinuierlichen Verbesserung umgesetzt werden.“ Diese Änderungen wurden von DigiCert gezielt und zeitnah durchgeführt. Dabei haben wir eng mit der Chrome-Gruppe und anderen Browserherstellern zusammengearbeitet, um den Fehler mit möglichst geringen Auswirkungen für unsere Kunden zu beheben.

Das CA/B Forum entscheidet nicht über die Aufrechterhaltung oder den Entzug des Vertrauens in einzelne Zertifizierungsstellen. Diese Entscheidungen werden von den Anbietern zertifikatsbasierter Anwendungen getroffen, also vor allem von großen Browserherstellern wie Google Chrome.

Diese Themen werden im CA-Programm des Bugzilla-Forums diskutiert. Das Forum ist öffentlich zugänglich. Die Aussagen der einzelnen Teilnehmer sind jedoch mit Vorsicht zu interpretieren, da es oft länger dauert, bis sich aus unterschiedlichen Meinungen ein Konsens herausbildet.

Betroffen sind lediglich TLS-Zertifikate, die ab dem 12. November 2024 unter Root-Zertifikaten von Entrust ausgestellt wurden.

Apple hat angekündigt, den Root-Zertifikaten von Entrust für TLS, S/MIME, Zeitstempel und BIMI (Brand Indicator for Message Identification, auch bekannt als Verified-Mark-Zertifikate) das Vertrauen zu entziehen. Die Ankündigung enthält eine Liste der betroffenen Root-Zertifikate und Funktionen.  

Wenn Sie auch andere Entrust-Produkte ersetzen möchten, bietet DigiCert Lösungen für das Management von S/MIME, Code- und Dokumentensignaturen, Common Mark, Verified Mark und anderen PKI-Zertifikaten.

Der DigiCert Trust Lifecycle Manager wurde für große Enterprise PKIs entwickelt und ist mit Ihrer bestehenden Architektur kompatibel. Mit dem Trust Lifecycle Manager können Sie Ihre Umgebung nach TLS/SSL-Zertifikaten von DigiCert, Entrust und anderen Ausstellern durchsuchen. Wir bieten Automatisierungslösungen für öffentliche und private PKIs. Der Trust Lifecycle Manager beinhaltet auch eine sichere Workforce-Management-Plattform, mit der Sie sehr einfach rollenbasierte Zugriffskontrollen implementieren können.

DigiCert bietet finanzielle Anreize für bestimmte Kunden, die von diesem Ereignis betroffen sind. Bitte kontaktieren Sie uns für weitere Informationen.

Wenn Ihre Systeme betroffen sind, erhalten Nutzer der aktuellen Versionen von Chrome, Safari und Firefox Fehlermeldungen beim Besuch Ihrer Websites.  Wenn Sie sich nicht sicher sind, welche Zertifikate von welchen Ausstellern installiert sind, sollten Sie eine Bestandsaufnahme Ihrer kryptografischen Assets durchführen. DigiCert kann Sie dabei unterstützen. Kontaktieren Sie uns für einen maßgeschneiderten Migrationsplan oder für weitere Unterstützung bei der Nutzung unseres neuen Entrust Discovery Connector.

TLS-Zertifikate von Entrust, die vor dem 12. November ausgestellt wurden, stellen kein unmittelbares Problem dar. Sie sollten jedoch rechtzeitig vor dem Ablaufdatum durch Zertifikate einer vertrauenswürdigen Zertifizierungsstelle wie DigiCert ersetzt werden.

In den Ankündigungen von Chrome und Firefox werden lediglich die TLS-Zertifikate von Entrust als nicht vertrauenswürdig eingestuft. Aber in der Meldung von Apple bezieht sich der Vertrauensentzug für die Root-Zertifikate von Entrust auf TLS, S/MIME, Zeitstempel und BIMI (Brand Indicator for Message Identification). Die Ankündigung von Apple enthält eine Liste der betroffenen Root-Zertifikate und Funktionen.

Nur Google und Mozilla haben bekanntgegeben, dass sie den Zertifikaten von Entrust nicht mehr vertrauen werden.

Die Entscheidungen der Root-Programme von Google und Mozilla betreffen öffentliche TLS-Zertifikate, die unter Root-Zertifikaten von Entrust ausgestellt wurden und einen Signed Certificate Timestamp (SCT) nach dem 11. November 2024 aufweisen. Andere öffentliche Entrust-Zertifikate wie Code Signing- oder S/MIME-Zertifikate sind derzeit nicht betroffen. 

Diese Frage sollten Sie mit Ihrer Rechtsberatung klären.

Wählen Sie einen Anbieter, der Erfahrung mit Systemmigrationen hat, die aufgrund eines Vertrauensentzugs durchgeführt werden müssen. Der erste Schritt ist in der Regel eine Bestandsaufnahme aller kryptografischen Assets. Danach kann entschieden werden, was sofort umgesetzt werden muss und welche weiteren Änderungen und Verbesserungen in Zukunft sinnvoll sind.

Ja. Wenn Sie ab dem 12. November ein bestehendes TLS-Zertifikat von Entrust ändern, neu verschlüsseln oder erneuern, wird das daraus resultierende (neue) Zertifikat als nicht vertrauenswürdig eingestuft. 

DigiCert bietet preisgekrönten Support, globale Präsenz und maßgeschneiderte Lösungen, die die Ausstellung und Verwaltung von Zertifikaten sowie das Risikomanagement während des gesamten Lebenszyklus erleichtern. DigiCert ist vor allem für seine Kundenorientierung und seinen partnerschaftlichen Ansatz bekannt. Die Zertifizierungsstelle Let‘s Encrypt erfüllt zwar einen wichtigen Zweck, bietet aber nur bestimmte Zertifikate, keine Managementkonsole, keinen technischen Live-Support und keine nützlichen Zusatzdienste wie das Management des gesamten Zertifikatslebenszyklus an. Ihre DigiCert Zertifikate können Sie mit CertCentral verwalten, die Verwaltung von Zertifikaten anderer Aussteller übernimmt unsere Lösung Trust Lifecycle Manager.

Ja, aber es gibt mindestens einen bekannten Workaround. Hier ein Auszug aus der Ankündigung von Chrome:

Ab Chrome 127 können Einschränkungen im Chrome Root Store wie die in diesem Blogpost beschriebene Ablehnung von Entrust-Zertifikaten umgangen werden. Dazu muss das Zertifikat der entsprechenden Stammzertifizierungsstelle als vertrauenswürdiges Stammzertifikat auf demselben lokalen System installiert werden, auf dem Chrome ausgeführt wird (z. B. als vertrauenswürdiges Stammzertifikat im Microsoft Certificate Store).

Chrome für Android verwendet den Chrome Root Store und ist daher vom Vertrauensentzug betroffen. Chrome für iOS muss wie alle iOS-Apps den Apple Root Store verwenden und ist daher nicht zwangsläufig betroffen. Allerdings hat Chrome bereits in der Vergangenheit Root-Zertifikate über Einträge im Programmcode blockiert. Der Vertrauensentzug gilt ab dem 12. November und für diesen Tag wurde auch die nächste Version von Chrome angekündigt. Daher ist davon auszugehen, dass der Code dieser Version ebenfalls Root-Sperren enthält.

Sollte Entrust in Zukunft das Vertrauen von Apple entzogen werden, wird dies Auswirkungen auf alle iOS- und MacOS-Geräte haben.

Richtig. Diese Änderungen betreffen derzeit nur die Web PKI. Staatliche Zertifizierungsstellen sind nicht direkt betroffen.

Ja, der DigiCert Trust Lifecycle Manager kann die Zertifikate in Ihrem Entrust-Konto inventarisieren und bietet eine einfache Möglichkeit, neue Zertifikate bei DigiCert zu beantragen. Darüber hinaus kann die Installation und Erneuerung von Zertifikaten für viele Dienste und Systeme automatisiert werden.