Die versteckten Risiken abgelaufener Zertifikatsperrlisten (CRL)

Digitale Zertifikate spielen eine entscheidende Rolle für die Websicherheit und die Public-Key-Infrastruktur (PKI) und gewährleisten eine sichere Internetkommunikation. Diese Zertifikate fungieren wie digitale Ausweise, die die Legitimität einer Website bestätigen. Stellen Sie sich nun vor, Sie versuchen, auf eine Website zuzugreifen, doch ohne Ihr Wissen ist das Zertifikat dieser Website kompromittiert. Diese Unachtsamkeit öffnet Hackern eine Hintertür, um Ihre sensiblen Daten abzufangen.

Um solchen Risiken zu begegnen , hat jedes Zertifikat eine begrenzte Gültigkeitsdauer, während der es als vertrauenswürdig gilt. Innerhalb dieser Frist können jedoch Situationen eintreten, in denen der Inhaber oder die ausstellende Zertifizierungsstelle das Zertifikat als nicht vertrauenswürdig einstuft. Dies ist beispielsweise der Fall, wenn der private Schlüssel des Zertifikats kompromittiert wird oder der Inhaber die Domain, für die das Zertifikat ausgestellt wurde, nicht mehr kontrolliert. In diesen Fällen stellt das Zertifikat ein Haftungsrisiko dar.

In einem solchen Fall wird das nicht vertrauenswürdige Zertifikat widerrufen und die Zertifikatsinhaber darüber informiert. Dies geschieht durch Hinzufügen des betreffenden Zertifikats zu einer Zertifikatssperrliste (CRL) . Eine CRL ist eine von der Zertifizierungsstelle verwaltete Sperrliste, die Zertifikate auflistet, denen nicht mehr vertraut werden sollte und die nicht mehr gültig sind. Obwohl diese CRLs das Vertrauen in die PKI -Infrastruktur aufrechterhalten, kann eine abgelaufene CRL versteckte Risiken und Herausforderungen mit sich bringen, die dieses Vertrauen untergraben können.

Funktionsweise von CRL

Nur über die CRL kann die PKI feststellen, ob ein Zertifikat vor Ablauf widerrufen wurde. Zwar bietet die PKI durch die ausgestellten Zertifikate eine Liste vertrauenswürdiger Benutzer, doch ist es auch wichtig, diejenigen zu kennen, die nicht mehr vertrauenswürdig sind. Die CRL dient genau diesem Zweck, indem sie die vor Ablauf widerrufenen Zertifikate auflistet. 

Die einzelnen Schritte des CRL-Verfahrens sind wie folgt: 

• Anfrageinitiierung

  Die Organisation, der das Zertifikat ausgestellt wurde, stellt fest, dass das Zertifikat widerrufen werden muss, beispielsweise aufgrund von Kompromittierung oder Missbrauch, und sendet einen Widerrufsantrag an die ausstellende Zertifizierungsstelle. Dieser Antrag enthält in der Regel die Seriennummer des Zertifikats und den Widerrufsgrund.

• Widerrufsantragsprozess

  Anschließend überprüft die Zertifizierungsstelle die Echtheit des Widerrufsantrags, und sobald der Antrag bestätigt ist, kennzeichnet sie das Zertifikat in ihren internen Aufzeichnungen als widerrufen.

• Listenaktualisierung und -signierung

  Anschließend fügt die Zertifizierungsstelle die widerrufenen Zertifikate der Liste hinzu und aktualisiert die CRL. Die Integrität der überarbeiteten CRL wird anschließend durch Signieren mit dem privaten Schlüssel der Zertifizierungsstelle überprüft.

• CRL-Veröffentlichung

  Die signierte CRL wird veröffentlicht und der Öffentlichkeit sowie anderen Stellen, die auf die von der Zertifizierungsstelle ausgestellten Zertifikate angewiesen sind, zugänglich gemacht. Dies geschieht über verschiedene Methoden, wie z. B. die Veröffentlichung auf einem Webserver und die Verteilung über LDAP.

• CRL-Verteilung

  Browser und Server überprüfen den Status von Zertifikaten, indem sie die CRL regelmäßig vom angegebenen Speicherort herunterladen.

• CRL-Nutzung

  Wenn ein Browser oder Server nun auf ein Zertifikat stößt, überprüft er dessen Seriennummer anhand der heruntergeladenen Sperrliste (CRL). Wird das Zertifikat in der CRL gefunden, gilt es als widerrufen.

So zeigen Sie den Widerrufsstatus des Zertifikats an 

Die CRL wird von der Zertifizierungsstelle an einer bestimmten Ausgabestelle bereitgestellt und ist auch zusammen mit den Zertifikaten erhältlich. 

Wenn Sie das digitale Zertifikat heruntergeladen haben, können Sie es öffnen. Handelt es sich um ein Zertifikat einer Website, klicken Sie auf das Vorhängeschloss-Symbol neben der URL und folgen Sie den angegebenen Schritten: 

1. Klicken Sie auf die Schaltfläche "Verbindung ist sicher" und anschließend auf die Schaltfläche "Zertifikat ist gültig".
2. Gehen Sie zum Abschnitt „Details“ und scrollen Sie nach unten zu CRL-Verteilungspunkte (CDP).
3. Sie sehen eine oder mehrere URLs, die auf den Speicherort verweisen, an dem die CRLs veröffentlicht werden.
4. Kopieren Sie im Feldwert die URL und fügen Sie sie in die Suchleiste ein.
5. Der Browser lädt die CRL-Datei herunter. Sie können darauf zugreifen, um die Informationen zur Sperrliste zu überprüfen.

Risiken einer abgelaufenen CRL

Sicherheitsrisiken: Akzeptieren eines widerrufenen Zertifikats 

Ist eine Zertifikatssperrliste (CRL) veraltet oder abgelaufen, sind sich die darauf basierenden Systeme möglicherweise nicht über die jüngsten Sperrungen informiert. Dies hätte zur Folge, dass ein kompromittiertes oder ungültiges Zertifikat von den vertrauenden Systemen akzeptiert werden könnte und somit eine Sicherheitslücke entsteht, die von Hackern ausgenutzt werden kann. 

Operationelle Risiken: Service- und Compliance-Probleme 

Viele Anwendungen und Server sind so konfiguriert, dass sie vor der Zertifikatsakzeptanz stets die Zertifikatssperrliste (CRL) prüfen. Ist die CRL abgelaufen, lehnen diese Systeme die Zertifikate möglicherweise automatisch ab, was zu Ausfällen und Unterbrechungen führen kann. Regulatorische Standards schreiben häufig die Verwendung einer aktuellen CRL vor. Die Nichteinhaltung dieser Standards kann zu finanziellen Verlusten für das Unternehmen führen.

Vertrauens- und Umsatzrisiken

Kann ein Server den Status eines digitalen Zertifikats nicht zuverlässig überprüfen, gefährdet dies das Vertrauen in die digitale Kommunikation und führt zu Einnahmeverlusten für das Unternehmen, da sich Benutzer und Systeme nicht mehr vollständig auf die Integrität der Zertifikate verlassen können. 

Minimieren Sie die Risiken mit CertSecure Manager

CertSecure Manager bietet eine PKI- Integritätsansicht zur Vorerkennung und Überwachung solcher Fehler. Im Folgenden wird detailliert erläutert, wie CertSecure Manager bei der Behebung dieser Probleme hilft:

CertSecure führt eine detaillierte Prüfung aller Komponenten der Zertifizierungsstelle durch und zeigt alle CDP- und AIA-Informationen sowie die verbleibenden Tage der CRL an. Wird ein Fehler festgestellt, benachrichtigt die Lösung die Administratoren automatisch.

• Detaillierte Prüfung: CertSecure überprüft alle Komponenten der Zertifizierungsstelle und bietet eine zentrale Übersicht über den Zustand der PKI.
• CDP-, AIA-Punkte: Es identifiziert die CDP- und Authority Information Access (AIA)-Punkte zur Lokalisierung der CRL.
• Verbleibende Lebensdauer der CRL: Es zeigt die verbleibende Lebensdauer bis zum Ablauf der CRL an. Dies hilft Administratoren, die Liste zu aktualisieren und das Risiko zu minimieren, sich auf veraltete CRLs zu verlassen.
• Automatische Benachrichtigungen: CertSecure bietet einen integrierten Alarmierungsmechanismus, um die Administratoren über den Ablauf der Gültigkeitsdauer zu informieren, sowie ein Incident-Management für den Fall von Fehlern im Zusammenhang mit CRLs.

Fazit

Zusammenfassend lässt sich sagen, dass eine Zertifikatssperrliste (CRL) die Sicherheit der digitalen Kommunikation gewährleistet, indem sie kompromittierte oder ungültige Zertifikate umgehend widerruft. Sie ist eine effektive Lösung, um das Vertrauen und die Integrität der gesamten Webkommunikation sicherzustellen. Eine abgelaufene, offline befindliche oder falsch konfigurierte CRL kann jedoch zu Dienstunterbrechungen und Ausfällen führen.

Der Einsatz einer CLM-Lösung wie CertSecure ermöglicht die zentrale Überwachung digitaler Zertifikate und CRLs im gesamten Unternehmen. Dies trägt dazu bei, Ausfälle zu vermeiden, Ausfallzeiten zu reduzieren und potenziell kostspielige Fehlerbehebungsmaßnahmen einzusparen.