Führende Internetbrowser und Zertifikatsaussteller setzen vorerst auf CRLs statt OCSP für Zertifikatsauskunft

Die führenden Unternehmen im Bereich der Internetbrowser und Zertifikatsaussteller haben beschlossen, vorerst ihre Unterstützung für das Online Certificate Status Protocol (OCSP) einzustellen und sich stattdessen wieder auf regelmäßig aktualisierte Sperrlisten (Certificate Revocation List, CRL) zu konzentrieren. Dies wurde beschlossen, da die CRLs als zuverlässigere Methode gelten, obwohl sie nicht in Echtzeit aktualisiert werden.

Das OCSP-Protokoll wurde entwickelt, um den Prozess des Zertifikatwiderrufs zu vereinfachen, indem der Browser sofortige Informationen über den Status eines Zertifikats erhalten sollte. Diese Informationen wurden direkt von der zuständigen Zertifizierungsstelle abgefragt. Jedoch hat sich gezeigt, dass das OCSP-Protokoll nicht immer zuverlässig funktioniert, da die Server teilweise nicht erreichbar waren oder die Antwortzeiten zu lang waren.

Das CA/Browser Forum, bestehend aus den Herstellern von Internetbrowsern und den Certificate Authorities (CAs), hat daher beschlossen, vorerst auf OCSP zu verzichten und wieder auf CRLs zu setzen. Die CRLs werden regelmäßig von den Zertifizierungsstellen aktualisiert und von den Browsern heruntergeladen. Bei jeder neuen TLS-Verbindung wird das Zertifikat mit Hilfe der CRL auf Gültigkeit überprüft. Allerdings kann es aufgrund der nicht-aktuellen Informationen in den CRLs zu Fehlern kommen.

Um dieses Problem zu lösen, haben sich die Mitglieder des CA/Browser Forums dazu verpflichtet, die Aktualisierung der Sperrlisten schneller durchzuführen. Dadurch soll gewährleistet werden, dass die CRLs möglichst aktuell sind und widerrufene Zertifikate schnell erkannt werden können.

Die Entscheidung, vorerst auf OCSP zu verzichten und wieder auf CRLs zu setzen, soll die Sicherheit im Bereich der Zertifikatsverwaltung erhöhen. Durch die schnellere Aktualisierung der Sperrlisten wird das Risiko von ungültigen oder kompromittierten Zertifikaten reduziert und somit die Sicherheit der Internetnutzer erhöht.

Schlagwörter: OCSP + CRL + Online

Wie bewerten Sie den Schreibstil des Artikels?