Let's Encrypt muss Millionen Zertifikate für ungültig erklären

Let's Encrypt hat mit dem Rückruf mehrerer Millionen Krypto-Zertifikate auf einen Bug in einem Prüfsystem reagiert. Das bedeutet, dass zahl­rei­che Webseiten ab heute keine anerkannte Verschlüsselung bieten, bis die Betreiber sich ein neues Zertifikat besorgt haben. Der Fehler trat in der Certificate Authority Authorization (CAA) auf, über die wichtige Informationen für die Rahmenbedingungen der Ausstellung von Zertifikaten hinterlegt werden. Die Validierung der angegebenen Domain muss hier binnen acht Stunden stattfinden, eine falsche Konfiguration bei Let's Encrypt hatte hingegen einen Wert von 30 Tagen erhalten. Das konnte dazu führen, dass die Prüfung nicht ordentlich durchgeführt wurde.

Der Fehler wurde von Let's Encrypt selbst erkannt und behoben. Die Folge ist allerdings, dass die Vergabestelle einen Teil der ausgegebenen Zertifikate als ungültig kennzeichnen musste. Betroffen waren nach Angaben der Organisation 2,6 Prozent der an Nutzer vergebenen Kennungen. Aufgrund der enormen Popularität, der sich der Service erfreut, machte das in Summe dann aber immerhin drei Millionen Zertifikate aus.

Enormer Erfolg

Let's Encrypt wurde im Herbst 2015 von mehreren Organisationen unter anderem als Reaktion auf die Snowden-Veröffentlichungen gegründet. Das Ziel bestand darin, eine möglichst weitgehende Verschlüsselung von Web-Verbindungen zu etablieren. Bis dahin gab es im Grunde nur die kommerziellen Vergabestellen und kodiert wurden lediglich Verbindungen, auf denen die Übertragung sensibler Informationen zu erwarten war. Vor allem die zahlreichen Betreiber kleinerer Webseiten, die selbst keinen geschäftlichen Hintergrund hatten, waren nicht bereit oder imstande, dafür Geld zu zahlen.

Daher begann Let's Encrypt mit der Vergabe kostenloser Zertifikate. In der Folge begannen immer mehr Anbieter ihre Seiten auf HTTPS umzustellen. Kürzlich feierte die Organisation dann den ersten großen Meilenstein: Nach viereinhalb Jahren hatte man im Februar die Milliarden-Marke überschritten und heute sind unverschlüsselt angebotene Webseiten in der Minderheit.

Siehe auch: Zertifikat-Ablaufdatum vergessen: Microsoft Teams stundenlang offline