SSL-Zertifikate

Einjährige Laufzeit von SSL-Zertifikaten

Bisher war es auch möglich SSL-Zertifikate mit einer längeren Laufzeit von beispielsweise zwei Jahren auszustellen.

Aufgrund einer Änderung seitens der CAB wird ab dem 1. September 2020 keinem SSL-Zertifikat mit einer Gültigkeitsdauer von mehr als 398 Tagen mehr vertraut werden.

Daher werden wir SSL-Zertifikate ab sofort nur noch mit einer Laufzeit von einem Jahr ausstellen.
Aktuell ausgestellte Zertifikate mit längerer Laufzeit bleiben selbstverständlich gültig, können jedoch nicht mehr verlängert werden.

Sollten Komplikationen bei Ihnen auftreten oder Rückfragen bestehen, stehen wir Ihnen selbstverständlich jederzeit gerne zur Verfügung.

HTTPS als Standard

Sobald die Webseite mit einem SSL-Zertifikat ausgestattet ist, sollte man dieses natürlich auch nutzen.
Wenn das eingesetzte Content Management oder Shop-System nicht die Möglichkeit bietet, alle Aufrufe auf HTTPS umzuleiten, helfen diese Zeilen in der .htaccess-Datei dabei, dass die Webseite ausschließlich verschlüsselt aufgerufen werden kann:

RewriteEngine on
RewriteCond %{HTTPS} !on
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Etwaig mit übergebene Parameter werden dabei mit übertragen.

OpenSSL-Sicherheitslücke „Heartbleed“

Die vor kurzem bekanntgewordene Sicherheitslücke bei der verschlüsselten Übertragen von Daten von und zum Web- oder Mailserver ermöglicht das Auslesen der übertragenen Daten.
Damit können Angreifer die an sich verschlüsselten Daten (wie zum Beispiel Benutzernamen, Passwörter, Konto- & Kreditkartendaten oder E-Mail-Inhalte) durch direkten Speicherzugriff im Klartext auslesen.

Da die OpenSSL-Bibliotheken zum quasi-Standard vieler Linux-Distributionen gehören, ist die Verbreitung des Bugs weltweit massiv und der anzunehmende Schaden dementsprechend immens.
Aufgrund der technischen Position der Sicherheitslücke ist es nicht möglich herauszufinden, ob die Lücke in einem Webserver bereits ausgenutzt wurde.

Ich habe den heutigen Tag damit zugebracht alle Server und Dienste auf die Sicherheitslücke zu testen und es ist mir eine Freude an dieser Stelle mitteilen zu können, dass meine Server von dem Bug nicht betroffen sind, da ich bei der Konfiguration auf den Einsatz des Heartbeat-Protokolls (daher der Name „Heartbleed“) verzichtet habe.
Es ist somit nicht nötig, bestehende SSL-Zertifikate zurückzuziehen und neu zu beantragen. Auch die Mailserverkonfigurationen können wie gewohnt beibehalten werden. Zu keinem Zeitpunkt konnten verschlüsselt übertragene Informationen von oder zu meinen Web- oder Mailservern ausgelesen werden!

Weiterführende Informationen über die Sicherheitslücke hat Anna Biselli auf Netzpolitik.org veröffentlicht. Wer es gerne etwas technischer mag, findet auf Heartbleed.com die genauen Details.