Probleme bei abgelaufenem Root-Zertifikat

Verifizierung fehlgeschlagen

von Thorsten Scherf

Im Mai ist das Zertifikat der Root Certificate Authority Sectigo, ehemals Comodo, abgelaufen. Dies sollte eigentlich keine Schwierigkeiten verursachen, da bereits seit langer Zeit ein aktualisiertes Zertifikat zur Verfügung steht. Bei einigen älteren Clients kam es jedoch bei der Verifizierung der Zertifikatskette zu Problemen. Der Open-Source-Tipp schaut sich an, was schiefgelaufen ist und wie sich ähnliche Fehler in Zukunft vermeiden lassen.

Aus IT-Administrator 09/2020

Ein Internetauftritt ist für Firmen heute eine Selbstverständlichkeit, doch gilt es beim Betrieb der entsprechenden Server einiges zu beachten. Im September ... (mehr)

Auch wenn Zertifikate von Certificate Authorities (CA) zumeist eine recht lange Laufzeit haben, ist irgendwann auch diese abgelaufen und das Zertifikat wird ungültig. Bei Sectigo war es am 30. Mai diesen Jahres soweit. Der Tag fiel auf einen Samstag, was sicherlich dazu führte, nicht wenigen Administratoren das Wochenende zu verderben.

Root- und Intermediate-Zertifikatsstellen

Aber was genau ist eigentlich passiert? Es ist durchaus üblich, dass Certificate Authorities (CA) die Kontrolle über mehrere Root-Zertifikate besitzen können. Diese werden zum Validieren einer ganzen Zertifikatskette (im Englischen als Certificate Chain bezeichnet) eingesetzt. Je älter ein solches Root-Zertifikat ist, desto höher ist die Chance, dass es von älteren Clients jeder Art unterstützt wird. Im Folgenden finden Sie den Namen, den Herausgeber und den Gültigkeitszeitraum der Sectigo-Root-CA und der davon abgeleiteten Intermediate CA:

subject=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root

issuer=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root

notBefore=May 30 10:48:38 2000 GMT

notAfter=May 30 10:48:38 2020 GMT

Subject: C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority

Issuer=C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root

notBefore=May 30 10:48:38 2000 GMT

notAfter=May 30 10:48:38 2020 GMT

Im Februar 2010 veröffentlichte Sectigo ein neues Root-Zertifikat, das auch in den Trust Stores aktueller Betriebssysteme vorhanden ist. Dieses verwendet allerdings den gleichen Common Name und Public Key wie

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.