Kostenlose SSL-Zertifikate: Die drei häufigsten Fragen

Ab 3. Dezember ist es endlich soweit: Let’s Encrypt geht an den Start. Seit wir die Zusammenarbeit mit der kostenlosen Zertifizierungsstelle angekündigt haben, erreichen uns viele Anfragen zum Thema. Die drei häufigsten Fragen zu Let’s Encrypt beantworten wir im heutigen Blogpost.

Kostenlose SSL-Zertifikate sind bald der neue Standard.

Let’s Encrypt-Zertifikate sind nur 90 Tage lang gültig. Muss ich ständig mein Zertifikat verlängern lassen?

Let’s Encrypt nennt selbst zwei Gründe für den 90-Tage-Turnus.

1.
Ihr Let’s Encrypt-Zertifikat wird von uns völlig automatisch verlängert. Die kurze Laufzeit von SSL-Zertifikaten fördert diese Automatisierung. Es ist an der Zeit, dass Verschlüsselung vereinfacht und automatisiert wird. Nur so kann die Verbreitung von verschlüsselter Kommunikation vorangetrieben werden.
2.
Wird ein Zertifikat missbraucht oder ein privater Schlüssel entwendet, ist dies dank der kurzen Laufzeit der Zertifikate maximal 90 Tage möglich. Zwar bestehen Mechanismen, um im Ernstfall Zertifikate für ungültig zu erklären. Diese sind aber in den meisten Anwendungen schlecht integriert, weshalb diese sogenannte «Certificate-Revocation» in Fachkreisen kritisch beäugt wird.

Können jetzt auch Kriminelle ihre Phishing-Sites verschlüsseln? Bringen SSL-Zertifikate dann noch Vorteile?

Let’s Encrypt hat ausführlich zum Thema Stellung genommen und erklärt, was die Zertifizierungsstelle gegen Missbrauch von SSL-Zertifikaten unternimmt.

Zertifizierungsstellen eignen sich grundsätzlich schlecht, um im Kampf gegen Phishing und Malware eine führende Rolle einzunehmen. Die grosse Anzahl an verschiedenen Zertifizierungsstellen führt dazu, dass sich Kriminelle immer das schwächste Glied in einem solchen Verbund aussuchen. Let’s Encrypt gehört dank Transparenz und Offenheit bestimmt nicht zu den bevorzugten Zielen böswilliger Angreifer, die im Versteckten operieren. Nichtsdestotrotz hat Let’s Encrypt Prüfmechanismen eingebaut, die unter anderem auf die Google Safe Browsing API zurückgreifen. Den Browserherstellern kommt in dieser Frage eine ganz zentrale Rolle zu. Positiv, dass mit Mozilla einer der grössten Browserhersteller zu den treibenden Kräften hinter Let’s Encrypt gehört.

Von der Verschlüsselung von Kommunikation einmal abgesehen, bringen SSL-Zertifikate auch Geschwindigkeitsvorteile. HTTP/2, die neue, schnelle Version des Verbindungsprotokolls für Websites, wird von Browsern nämlich nur über verschlüsselte Verbindungen genutzt. Dass Google die Verschlüsselung von Websites als positiven Faktor in sein Suchresultate einfliessen lässt, ist ebenfalls nicht zu verachten.

Sind kostenpflichtige SSL-Zertifikate sicherer?

In technischer Hinsicht unterscheiden sich kostenlose Zertifikate wie jene von Let’s Encrypt und Zertifikate, die viele hundert Franken pro Jahr kosten, in keinster Weise. Die Kommunikation zwischen Website und Browser ist mit beiden Zertifikaten genau gleich sicher verschlüsselt.

SSL-Zertifikate werden jedoch in drei Klassen unterteilt, die sich in gewissen Merkmalen unterscheiden:

• Domain-Validated-Zertifikate (DV)
• Organisation-Validated-Zertifikate (OV)
• Extended-Validated-Zertifikate (EV)

Let’s Encrypt stellt DV-Zertifikate aus, bei denen geprüft wird, ob der Zertifikate-Antragssteller die Kontrolle über die zu sichernde Domain beweisen kann. Dieser Vorgang lässt sich vollständig automatisieren, trotzdem waren DV-Zertifikate bis anhin (mit Ausnahmen) kostenpflichtig und in den meisten Fällen überteuert. Ein DV-Zertifikat beweist dem Website-Besucher, dass er sich auf der Website befindet, die er besuchen wollte. Dazu ist im Zertifikat die Domain hinterlegt, zu der die Kommunikation verschlüsselt wird. Browser signalisieren die so verschlüsselte Verbindung mit einem Schloss-Symbol.

Bei der Ausstellung von OV- und EV-Zertifikaten prüft die Zertifizierungsstelle zusätzliche Informationen über den Zertifikatbesitzer, zum Beispiel ob dieser im Handelsregister eingetragen oder die angegebene Telefonnummer erreichbar ist. OV-Zertifikate enthalten denn auch nicht nur die gesicherte Domain sondern weitere Informationen zur Organisation, der das Zertifikat gehört. EV-Zertifikate werden in Browsern zusätzlich mit visuellen Merkmalen wie einem grünen Balken dargestellt.

Bonusfrage: Wäre nicht «TLS-Zertifikate» der korrekte Begriff?

Doch, denn die Bezeichnung SSL ist eigentlich hoffnungslos veraltet. Das SSL-Protokoll (Secure Sockets Layer) wurde bereits 1999 durch TLS (Transport Layer Security) abgelöst. Konsequenterweise müssten wir also von TLS-Verschlüsselung und TLS-Zertifikaten sprechen.

Das Thema wird bei uns im Team heiss diskutiert. Wir haben uns vorerst darauf geeinigt, weiterhin den Begriff SSL-Zertifikate zu verwenden. Dieser Begriff ist etabliert und für die meisten Leute verständlicher, wie die vergangenen 16 Jahre bewiesen haben.

Wenn Sie mit uns in Kontakt stehen, dürfen Sie SSL-Zertifikate ungeniert TLS-Zertifikate nennen. Dem entsprechenden Mitarbeiter wird das mit Bestimmtheit ein Lächeln ins Gesicht zaubern ;)