Die versteckten Risiken abgelaufener Zertifikatsperrlisten (CRL)

Digitale Zertifikate spielen eine entscheidende Rolle bei der Websicherheit und Public-Key-Infrastruktur, die eine sichere Internetkommunikation gewährleisten. Diese Zertifikate fungieren als digitale Identifikationen, die die Legitimität einer Website bestätigen. Stellen Sie sich nun vor, Sie versuchen, auf eine Website zuzugreifen, aber ohne Ihr Wissen ist das Zertifikat, das diese Website validiert, kompromittiert. Dieses Versehen öffnet Hackern eine Hintertür, um Ihre vertraulichen Daten abzufangen.

Um solche Risiken, jedes Zertifikat hat eine begrenzte Gültigkeitsdauer Während dieser Zeit gilt es als vertrauenswürdig. Allerdings können während dieser Zeit Situationen entstehen, in denen der Eigentümer oder der Zertifizierungsstelle Der Aussteller des Zertifikats kann es als nicht vertrauenswürdig einstufen. Wenn beispielsweise der private Schlüssel des Zertifikats kompromittiert wird oder der Zertifikatsinhaber die Domäne, für die das Zertifikat ausgestellt wurde, nicht mehr kontrolliert, wird das Zertifikat zu einer Belastung. 

In einem solchen Fall wird das nicht vertrauenswürdige Zertifikat widerrufen und die Zertifikatsnutzer über den Widerruf informiert. Dies geschieht durch Hinzufügen des betreffenden Zertifikats zu einer Zertifikatsperrliste (CRL)Eine CRL ist einfach eine von der Zertifizierungsstelle verwaltete Blacklist, die Zertifikate auflistet, denen nicht mehr vertraut werden sollte und die nicht mehr gültig sind. Obwohl diese CRLs das Vertrauen in die Zertifizierungsstelle aufrechterhalten, … PKI Infrastruktur kann eine abgelaufene CRL für uns versteckte Risiken und Herausforderungen mit sich bringen, die dieses Vertrauen untergraben können. 

Funktionsweise von CRL

Nur über die CRL kann die PKI feststellen, ob ein Zertifikat vor Ablauf widerrufen wurde. Zwar bietet die PKI durch die ausgestellten Zertifikate eine Liste vertrauenswürdiger Benutzer, doch ist es auch wichtig, diejenigen zu kennen, die nicht mehr vertrauenswürdig sind. Die CRL dient genau diesem Zweck, indem sie die vor Ablauf widerrufenen Zertifikate auflistet. 

Die einzelnen Schritte des CRL-Verfahrens sind wie folgt: 

• Anfrageinitiierung

  Die Organisation, der das Zertifikat ausgestellt wurde, stellt fest, dass das Zertifikat widerrufen werden muss, beispielsweise aufgrund von Kompromittierung oder Missbrauch, und sendet einen Widerrufsantrag an die ausstellende Zertifizierungsstelle. Dieser Antrag enthält in der Regel die Seriennummer des Zertifikats und den Widerrufsgrund.

• Widerrufsantragsprozess

  Anschließend überprüft die Zertifizierungsstelle die Echtheit des Widerrufsantrags, und sobald der Antrag bestätigt ist, kennzeichnet sie das Zertifikat in ihren internen Aufzeichnungen als widerrufen.

• Listenaktualisierung und -signierung

  Anschließend fügt die Zertifizierungsstelle die widerrufenen Zertifikate der Liste hinzu und aktualisiert die CRL. Die Integrität der überarbeiteten CRL wird anschließend durch Signieren mit dem privaten Schlüssel der Zertifizierungsstelle überprüft.

• CRL-Veröffentlichung

  Die signierte CRL wird veröffentlicht und der Öffentlichkeit sowie anderen Stellen, die auf die von der Zertifizierungsstelle ausgestellten Zertifikate angewiesen sind, zugänglich gemacht. Dies geschieht über verschiedene Wege, beispielsweise durch Veröffentlichung auf einem Webserver und Verteilung über … LDAP.

• CRL-Verteilung

  Browser und Server überprüfen den Status von Zertifikaten, indem sie die CRL regelmäßig vom angegebenen Speicherort herunterladen.

• CRL-Nutzung

  Wenn ein Browser oder Server nun auf ein Zertifikat stößt, überprüft er dessen Seriennummer anhand der heruntergeladenen Sperrliste (CRL). Wird das Zertifikat in der CRL gefunden, gilt es als widerrufen.

So zeigen Sie den Widerrufsstatus des Zertifikats an 

Die CRL wird von der Zertifizierungsstelle an einer bestimmten Ausgabestelle bereitgestellt und ist auch zusammen mit den Zertifikaten erhältlich. 

Wenn Sie das digitale Zertifikat heruntergeladen haben, können Sie es öffnen. Handelt es sich um ein Zertifikat einer Website, klicken Sie auf das Vorhängeschloss-Symbol neben der URL und folgen Sie den angegebenen Schritten: 

1. Klicken Sie auf die Schaltfläche "Verbindung ist sicher" und anschließend auf die Schaltfläche "Zertifikat ist gültig".
2. Gehen Sie zum Abschnitt „Details“ und scrollen Sie nach unten zu CRL-Verteilungspunkte (CDP).
3. Sie sehen eine oder mehrere URLs, die auf den Speicherort verweisen, an dem die CRLs veröffentlicht werden.
4. Kopieren Sie im Feldwert die URL und fügen Sie sie in die Suchleiste ein.
5. Der Browser lädt die CRL-Datei herunter. Sie können darauf zugreifen, um die Informationen zur Sperrliste zu überprüfen.

Risiken einer abgelaufenen CRL

Sicherheitsrisiken: Akzeptieren eines widerrufenen Zertifikats 

Ist eine Zertifikatssperrliste (CRL) veraltet oder abgelaufen, sind sich die darauf basierenden Systeme möglicherweise nicht über die jüngsten Sperrungen informiert. Dies hätte zur Folge, dass ein kompromittiertes oder ungültiges Zertifikat von den vertrauenden Systemen akzeptiert werden könnte und somit eine Sicherheitslücke entsteht, die von Hackern ausgenutzt werden kann. 

Operationelle Risiken: Service- und Compliance-Probleme 

Viele Anwendungen und Server sind so konfiguriert, dass sie vor der Zertifikatsakzeptanz immer die CRL prüfen. Wenn die CRL abgelaufen ist, lehnen diese Systeme die Zertifikate möglicherweise automatisch ab, was zu Problemen führen kann. Ausfälle und Unterbrechungen. Regulatorische Standards schreiben häufig die Verwendung einer aktuellen CRL vor. Die Nichteinhaltung der Standards kann zu finanziellen Verlusten für das Unternehmen führen. 

Vertrauens- und Umsatzrisiken

Kann ein Server den Status eines digitalen Zertifikats nicht zuverlässig überprüfen, gefährdet dies das Vertrauen in die digitale Kommunikation und führt zu Einnahmeverlusten für das Unternehmen, da sich Benutzer und Systeme nicht mehr vollständig auf die Integrität der Zertifikate verlassen können. 

Minimieren Sie die Risiken mit CertSecure Manager

CertSecure Manager bietet PKI-Gesundheit Um solche Fehler frühzeitig zu erkennen und zu überwachen, wird im Folgenden detailliert erläutert, wie CertSecure Manager bei der Behebung dieser Probleme hilft: 

CertSecure führt eine detaillierte Prüfung aller Komponenten der Zertifizierungsstelle durch und zeigt alle CDP- und AIA-Informationen sowie die verbleibenden Tage der CRL an. Wird ein Fehler festgestellt, benachrichtigt die Lösung die Administratoren automatisch.

• Detaillierte Prüfung: CertSecure überprüft alle Komponenten der Zertifizierungsstelle und bietet eine zentrale Übersicht über den Zustand der PKI.
• CDP-, AIA-Punkte: Es identifiziert die CDP- und Authority Information Access (AIA)-Punkte zur Lokalisierung der CRL.
• Verbleibende Lebensdauer der CRL: Es zeigt die verbleibende Lebensdauer bis zum Ablauf der CRL an. Dies hilft Administratoren, die Liste zu aktualisieren und das Risiko zu minimieren, sich auf veraltete CRLs zu verlassen.
• Automatische Benachrichtigungen: CertSecure bietet einen integrierten Alarmierungsmechanismus, um die Administratoren über den Ablauf der Gültigkeitsdauer zu informieren, sowie ein Incident-Management für den Fall von Fehlern im Zusammenhang mit CRLs.

Fazit

Abschließend sei gesagt, dass CRL Die Sicherheit der digitalen Kommunikation wird durch den umgehenden Widerruf kompromittierter/ungültiger Zertifikate gewährleistet. Dies ist eine effektive Lösung, um das Vertrauen und die Integrität der gesamten Webkommunikation sicherzustellen. Eine abgelaufene, offline befindliche oder falsch konfigurierte Zertifikatssperrliste (CRL) kann jedoch zu Dienstunterbrechungen und Ausfällen führen.  

Der Einsatz einer CLM-Lösung wie CertSecure ermöglicht die zentrale Überwachung digitaler Zertifikate und CRLs im gesamten Unternehmen. Dies trägt dazu bei, Ausfälle zu vermeiden, Ausfallzeiten zu reduzieren und potenziell kostspielige Fehlerbehebungsmaßnahmen einzusparen.