CAs und Browser
Zukunft der CAs nach Misstrauensvotum durch Google & Co.
Spannungen zwischen CAs und Browser-Hersteller
Im vergangenen Jahr haben die Forscher von Google entdeckt, dass die Zertifizierungsstellen (CA) von Symantec tausende Transport Layer Security (TLS)-Zertifikaten falsch ausgestellt haben. Als Folge verkündeten die Chrome-Forscher , den Zertifikaten von Symantec ihr Vertrauen zu entziehen.
Laut Walter Goulet, Produktmanager für Cloud-Produkte bei Venafi, wird die dadurch ausgelöste Spannung zwischen Browserfirmen und CAs 2018 zunehmen.
„Die Sorgen der Browserfirmen bezüglich der Zertifizierungspraktiken der CAs sind nicht neu. Ihre Bedenken treiben sie nun zum Handeln an, und dies wird 2018 mit weiteren Veränderungen in der Branche einhergehen. Es ist sehr wahrscheinlich, dass sich die Spannung zwischen CAs und Browserherstellern weiter verschärfen werden, wodurch der Druck auf die Geschäftsmodelle der CA-Branche steigt.“
Goulet glaubt, dass die gegenseitige Abhängigkeit zwischen Browsern und CAs durch drei große Marktveränderungen beeinflusst wird:
Browserhersteller werden bei der Überwachung von CAs eine aktivere Rolle spielen
Im vergangenen Monat führte der Security Forscher Ian Carroll ein Experiment durch, das zeigte, wie Kriminelle legal Extended Validation (EV)-Zertifikate für bösartige Websites erhalten. Unter Berufung auf den Bericht von Carroll verweisen viele Browserentwickler darauf, dass die CA-Ausgabe eine zusätzliche Aufsicht erfordert. In der Folge und mit der Entscheidung von Google, das Vertrauen in Symantec-Zertifikate einzustellen, sollten CAs mit einer stärkeren Prüfung durch die Browserentwickler rechnen.
Web-Browser werden die Sicherheitswarnungen von Zertifikaten weniger stark hervorheben oder ganz entfernen
Browser könnten von jeder Art der Warnung bezüglich Zertifikaten Abstand nehmen, weil Untersuchungen gezeigt haben, dass diese Warnungen selten das Nutzerverhalten beeinflussen. Die meisten Benutzer verstehen beispielsweise nichts von EV-Zertifikaten und lesen im Allgemeinen keine Sicherheitsdetails, sodass Chrome vor kurzem ein Update veröffentlicht hat, wodurch Benutzer keine Zertifikatsdetails mehr angezeigt werden, wenn sie nicht auf die Entwicklertools zurückgreifen.
CA-Geschäftsmodelle müssen sich weiterentwickeln
Da Browserhersteller eine aktivere Rolle dabei spielen werden, welchen CAs sie vertrauen, und weil sie die Benutzererfahrung in Verbindung mit schwachen, falsch ausgestellten oder anfälligen Zertifikaten verändern werden, werden sich auch die Geschäftsmodelle der CAs weiterentwickeln. Neben der Automatisierung und Optimierung bei der Ausstellung von EV-Zertifikaten, um mit Let’s Encrypt konkurrieren zu können, ist es wahrscheinlich, dass CAs noch mehr in die Automatisierung investieren und neue Produktangebote entwickeln werden, um sich von ihren Wettbewerbern zu unterscheiden.
„Ich erwarte nicht, dass sich die Beziehung zwischen CAs und Browsern über Nacht ändert, aber wir werden im Lauf des Jahres radikale Veränderungen erleben. Der Zwischenfall mit Google und Symantec war erst der Anfang größerer Umwälzungen, die letztendlich die Sicherheit und den Datenschutz im Internet von uns allen beeinflussen werden“, ergänzt Goulet.
