Die bekannte kostenlose Zertifizierungsstelle Let’s Encrypt wechselt in Kürze ihr Zwischenzertifikats. Im nächstes Jahr soll standardmäßig ein Zwischenzertifikat genutzt werden, das nicht mehr von der Zertifizierungsstelle Identrust signiert ist, denn dieses alte Zwischenzertifikat läuft bald ab.
Normalerweise werden TLS-Zertifikate über Zertifikatsketten geprüft. Die Browser und anderen HTTP-Clients führen eine Liste von Root-Zertifikaten, denen sie vertrauen.
Die zugehörigen privaten Schlüssel dieser Zertifikate werden zur Signierung von Zwischenzertifikaten benutzt. Mit den Schlüsseln der signierten Zwischenzertifikate werden dann die eigentlichen Webseitenzertifikate signiert. Es sind dabei auch längere Zertifikatsketten mit mehreren Zwischenzertifikaten möglich.
Die Identrust-Signatur ermöglichte den Start von Let’s Encrypt
Eine neue Zertifizierungsstelle braucht eine lange Zeit, bis das eigene Zertifikat von allen wichtigen Browsern und Betriebssystemherstellern aufgenommen wird.
Deshalb verwendete Let’s Encrypt kein eigenes Root-Zertifikat, als es vor 5 Jahren in Betrieb ging, sondern ließ sich das eigene Zwischenzertifikat von der Zertifizierungsstelle Identrust signieren. Und jetzt ist dieses Zwischenzertifikat nur noch bis März 2021 gültig.
Die Mutter von Let’s Encrypt, die Internet Security Research Group, erstellte aber schon 2015 ein eigenes Root-Zertifikat und bemüht sich seither darum, dass dieses in die Root-Zertifikatslisten aufgenommen wird.
Inzwischen unterstützen alle gängigen Web-Clients das eigene Root-Zertifikat Zertifikat von Let’s Encrypt, weshal in Zukunft dieses Zertifikat und ein davon signiertes Zwischenzertifikat genutzt werden soll.
