Let's Encrypt: Auslaufendes Root-Zertifikat kann Probleme verursachen

In einigen Tagen läuft ein Root-Zertifikat aus, auf dessen Basis der Dienst Let's Encrypt längere Zeit arbeitete. Nutzer werden hier damit rechnen müssen, dass die Kommunikation verschiedener Geräte und Dienste dadurch gestört wird. Krypto-Zertifikate basieren auf eine Vertrauenskette und gehen letztlich auf einige wenige Root-Zertifikate zurück. Das bedeutet aber auch, dass alle ungültig werden und als nicht mehr vertrauenswürdig einzustufen sind, wenn das Root-Zertifikat seine Gültigkeit verliert. Dies geschieht nun am 30. September, wenn das "IdentTrust DST Root CA X3", auf dem längere Zeit alle Let's Encrypt-Zertifikate beruhten, ausläuft.

Die Organisation gibt bereits seit einiger Zeit Zertifikate aus, die auf einem neueren Root basieren. Entsprechend ist anzunehmen, dass in den meisten Fällen schlicht nichts von der Sache zu bemerken sein wird. Insbesondere wenn Nutzer mit halbwegs aktuellen Browsern auf Webseiten zugreifen, die regelmäßig gepflegt werden, dürften die alten Zertifikate keine Rolle mehr spielen.

Anders sieht das aber beispielsweise bei der Internet-Kommunikation zwischen Geräten aus, die schon länger keine Updates mehr erhalten haben. Darauf wies der Sicherheitsforscher Scott Helme hin. Hier kann es entweder zu Warnungen kommen, dass die Verbindung nicht vertrauenswürdig ist. Und auch komplette Aussetzer sind möglich.

Helme verwies hier auf die Situation, als im Mai ein Root-Zertifikat AddTrusts auslief. Damals kam es unter anderem zu Ausfällen bei Red Hat und bei Roku. Der Sicherheitsforscher geht davon aus, dass es im Falle von Let's Encrypt zu wesentlich mehr Problemen kommen wird, da wirklich sehr viele Anbieter von Diensten im Netz auf die Zertifikate dieses Anbieters zurückgegriffen haben.

Konkret betreffen wird es beispielsweise Nutzer, die noch immer Windows XP oder ein MacOS von vor 2016 verwenden. Neuere Betriebssysteme dürfen wohl mittlerweile irgendwann mal ein Update bekommen haben. Abseits des PCs können aber durchaus noch viele Embedded-Systeme zu finden sein, die nicht mit halbwegs neuen Zertifikaten ausgestattet sind.

Siehe auch: