Erneutes Update bezüglich E-Mail-Anschreiben der Firma DigiCert
01. März 2018
Nach und nach verdichtet sich folgendes Bild: DigiCert wird kurzfristig (d.h. innerhalb der nächsten Stunden) alle Zertifikate widerrufen, deren privater Schlüssel durch Trustico kompromittiert wurde.
DigiCert hat in einem Mailing an die Endkunden darüber berichtet. Jeder Kunde sollte mittlerweile eine E-Mail von DigiCert mit einem Link erhalten haben, in dem die Zertifikate erneuert werden können. Wir empfehlen dringend die Zertifikate zu erneuern. Dabei sollten Sie aber darauf achten, den Certificate Signing Request (CSR) nicht online auszustellen, da dadurch wieder die Gefahr besteht, dass der private Schlüssel des Zertifikats wiederum abhandenkommt.
Sollten Sie Fragen haben oder Hilfe benötigen wenden Sie sich bitte an unseren Service Desk unter +49 40 63705-333
01. März 2018 – 08:00 Uhr
Wichtiges Update bezüglich E-Mail-Anschreiben der Firma DigiCert
Offensichtlich hat sich bei DigiCert ein Sicherheitsvorfall ereignet, der als größter anzunehmender Unfall zu beschreiben ist. DigiCert sind die privaten Schlüssel einiger ausstellender Zertifikatsauthoritäten abhandengekommen. Damit ist es denkbar, dass sich die Angreifer Zertifikate für beliebige Domänennamen ausstellen und damit vielfältige Angriffsmöglichkeiten gegen betroffene Webseiten bestehen. Inwieweit Zertifikate von nicht betroffenen CAs der DigiCert weiterhin als vertrauenswürdig betrachtet werden ist unklar. Klar ist jedoch, dass alle Zertifikate von betroffenen CAs im Augenblick wertlos sind und sofort ersetzt werden müssen. DigiCert hat uns dazu Voucher zur Verfügung gestellt, die über unseren Service Desk unter +49 40 63705-333 einlösbar sind.
Was müssen Sie nun tun?
Nehmen Sie bitte umgehend Kontakt mit uns auf, um die betroffenen Zertifikate zu ersetzen.
E-Mail: info-servicedesk@fks.de oder telefonisch unter +49 40 63705-333
28. Februar 2018
E-Mail-Anschreiben der Firma DigiCert zur Gültigkeit von SSL-Zertifikaten
Viele unserer Kunden sind im Augenblick verunsichert, da sie ein Anschreiben der Firma DigiCert zur Gültigkeit von SSL-Zertifikaten in englischer Sprache erhalten haben. Dieses Anschreiben erweckt den Eindruck, dass der private Schlüssel des SSL-Zertifikats kompromittiert worden wäre. Dem ist nach unserem aktuellen Kenntnisstand nicht so.
Was ist passiert?
Im September 2017 hat Google angekündigt, ab April 2018 keine Zertifikate mehr zu akzeptieren, die von Symantec-Zertifizierungsstellen vor dem 01.06.2016 ausgestellt wurden. Betroffen sind damit Zertifikate von Symantec und den Töchterfirmen Thawte, VeriSign, Equifax, GeoTrust und RapidSSL. Diese Zertifikate werden von Google und damit dem Browser Chrome nicht mehr akzeptiert. Dieser Ankündigung ging voraus, das Symantec unzulässigerweise wiederholt Zertifikate auf google.com ausgestellt hat und Google erklärte, damit sei das Vertrauen in die Symantec-Infrastruktur nachhaltig zerstört.
Infolgedessen hat Symantec den Geschäftsbereich, der für das Ausstellen der Zertifikate zuständig war, an der Konkurrenten DigiCert verkauft. Der unabhängige Anbieter CertCenter hat daraufhin erklärt, dass die von Symantec ausgestellten Zertifikate auch in Chrome anderen CAs gleichgestellt werden.
Warum DigiCert diese E-Mail versendet, erschließt sich uns derzeit nicht vollständig. Die Vermutung liegt nahe, dass man neue Zertifikate verkaufen möchte.
Was sollten Sie tun?
Überprüfen Sie die Funktionalität Ihres SSL-Zertifikats, indem Sie Ihre Webseite in Chrome öffnen. Im Regelfall sollten Sie keine Einschränkungen erleben. Sollten Sie dennoch Befürchtungen hinsichtlich der Gültigkeit Ihres SSL-Zertifikates haben, wenden Sie sich bitte an unseren Service Desk und wir stimmen mit Ihnen ab, wann und wie dieses Zertifikat ersetzt werden kann.
E-Mail: info-servicedesk@fks.de oder telefonisch unter +49 40 63705-333