**Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH**

[schrotthaufen@mastodon.social]

@isf @bsi An der Antwort wäre ich auch interessiert. Nicht zuletzt weil Montag ein Feiertag ist.

[plaste@chaos.social]

@bsi Danke für den Hinweis und schön zu sehen das ihr euer D-Trust Zertifikat gestern zeitnah erneuert habt.
Die ausstellende CA ist leider nicht in allen Root Stores vorhanden / von allen Root Store Programmen als vertrauenswürdig anerkannt.

Bspw. erscheinen für Nutzende von Apple Geräten eure Webseiten nun als nicht mehr vertrauenswürdig.

Ist das so gewollt?

[adipoeserpursch@troet.cafe]

@plaste @bsi ‍‍‍‍

[adorfer@chaos.social]

@satmd @bsi Das Weglassen dieser Information seitens des BSI sagt mir: Mehr Details zu dem Vorfall könnten die Bevölkerung beunruhigen.

[f30@chaos.social]

@satmd @bsi Das da offenbar: https://bugzilla.mozilla.org/show_bug.cgi?id=2029013

[maqy@fedifreu.de]

@bsi
Vielleicht war die Idee beim #Faxgerät zu bleiben doch adäquater für den deutschen Staat als dieses neuländische Internet?
Oder hat das was mit den Beschlüssen innerhalb des CA/Browser-Forums zu tun? Unverständlich das nicht mal ein Hinweis auf die Gründe genannt wird, ganz auf Regierungslinie da beim @bsi?

[andreas_dus@linke.social]

@isf @bsi

+1 für diese Frage. Das klingt alles sehr seltsam.

[isf@muenchen.social]

@bsi
Halten wir fest:
Sicher ist im Moment nur, dass die betroffenen Zertifikate von D-Trust NICHT sicher sind!

[ki@chaos.social]

@bsi
D-Trust GmbH klingt so kartoffelig, dass es wehtut

[noblefeu@federation.network]

@bsi@social.bund.de

Nicht, kein Cyberangriff, diese Aussage lässt vieles zu was genau so ungeschickt sein könnte.

Also "Butter bei de Fische“.

[miller@ruhr.social]

@isf @bsi https://heise.de/-11245930
Kurzfassung: Sie haben Dinge anders interpretiert, als es üblich ist. Deutsche Behörde eben..

[isf@muenchen.social]

@miller @bsi
Also entweder ist die Sicherheit der betroffenen Zertifikate sehr wohl tangiert, oder diese Blitzaktion mit all ihren absehbar gravierenden Folgen ist nicht gerechtfertigt. Sollte Letzteres zutreffen, dürfte über Schadenersatz noch zu reden sein.
Sollte Ersteres zutreffen, so verbreitet D-Trust auf der eigenen Website eine gefährliche Desinformation.
Beides ist nicht akzeptabel.
Bin bisher kein D-Trust-Kunde, und möglicherweise werde ich es auch nicht...

[byggvir@nrw.social]

@bsi

Das klingt nach einem sehr schweren Sicherheitsvorfall. Dass das nicht der Fall ist, ist unglaubwürdig. Zwei Tage alte Zertifikate macht man nicht aus Jux und Dollerei über Osterfeiertage ungültig.

Auf jeden Fall sollte man sich nach so einer Oster-Aktion einen anderen Anbieter für Zertifikate suchen.

[f30@chaos.social]

@isf @miller @bsi Es ist eine Compliance-Maßnahme.
Für öffentliche CAs in Browsern gelten heutzutage strenge Regeln, deren strikte Einhaltung erwartet wird. Dazu gehört das Zurückrufen fehlerhaft ausgestellter Zertifikate.
Andererseits werden User durch die jetzigen Auswirkungen mal wieder erzogen, Zertifikatsfehler wegzuklicken. Und Admins müssen über Ostern eilig Zertifikate tauschen.
Ob das unterm Strich nicht der größere Schaden für die Sicherheit ist? ‍️

[f30@chaos.social]

@plaste @bsi Es scheint mir suboptimal konfiguriert zu sein, Details hier: https://chaos.social/@F30/116348001721376200

[i@toot.pouyan.net]

@bsi@social.bund.de ist D-Trust nicht ein bundeseigenes Unternehmen?

[sco_tty@mastodon.social]

@bsi oh no, dann #hugops für alle die jetzt über die Feiertage D-Trust Zertifikate tauschen müssen, oder am Dienstag sehr viele Anrufe bekommen

[plaste@chaos.social]

@F30 @bsi Kommt auf die Perspektive an. Die AIA des finalen Zertifikates der Issuing CA verweist auf die nicht Cross- Signed Root CA.

IMHO braucht es hier, zumindest temporär eine Trust Chain mit verweisen auf die Cross- Signed CA. Das OS / der Browser folgen stumpf der Kette und kennen die Cross-Signed CA nicht.

Dazu kommt das nicht jeder Client die AIA Informationen nutzt.

[f30@chaos.social]

@plaste @bsi Genau, und auch die Clients mit AIA Fetching sollten es nur als letztes Mittel verwenden.
Das Cross-signed Root mit als Intermediate in der Kette auszuliefern, müsste eigentlich in jedem Fall funktionieren.

[benchmark@wien.rocks]

@byggvir @bsi Im Bericht zum Vorfall steht ja: "D-Trust identified that 19 TLS precertificates were issued with a validity period exceeding the maximum allowed validity of 200 days as defined in the TLS Baseline Requirements. The affected precertificates were issued with a validity period greater than permitted under Section 6.3.2. All affected certificates have been revoked after the issue was identified"

D-Trust hat zwar die 19 zu lang ausgestellten Zertifikate widerrufen und es gibt kein Risiko für die Bevölkerung. Insofern brauchen sie keine weiteren Erklärungen zu liefern.

Sie haben aber eine Verpflichtung als Zertifikatsaustellende Stelle (CA) verletzt und befürchten jetzt, aus den Wurzelspeichern (root stores) zu fliegen, was ihnen die Geschäftsgrundlage entziehen könnte. Dieses Risiko ist es wert, in vorauseilendem Gehorsam zu zeigen, dass D-Trust das Vertrauen der Internet-Gemeinde verdient. Das ist nur meine Interpretation und meine Vermutung, bitte nicht für bare Münze nehmen. Ich halte die Vorgangsweise für richtig. Es wäre ein unvergleichlich größeres Debakel, wenn D-Trust als CA rausfliegt.

Es wäre interessant herauszufinden, wer ihnen die manipulierten/präparierten Anträge (signing request) untergejubelt hat.