Server-Zertifikate: Let's Encrypt bietet erstes Zertifikat an

Die Internet Security Research Group ist als neue Zertifizierungsstelle aktiv geworden. Im Rahmen des Programms Let's Encrypt ist das erste Zertifikat freigegeben worden. Das Projekt zielt auf kostenlose, automatisch eingerichtete und aktualisierte Zertifikate. Die Entwicklung findet unter dem Schirm der Linux Foundation statt.

Als Ausgangspunkt stellten sich die Entwickler die Frage, warum überhaupt noch Inhalte unverschlüsselt übertragen werden, wo doch vom Server über den Browser bis zum Endgerät alle beteiligten Stellen mit Transport Layer Security (TLS) umgehen können. Aus diesen Überlegungen ist in den vergangenen zehn Monaten eine neue Zertifizierungsstelle (CA) entstanden, die nun offiziell ihre Arbeit aufgenommen hat.

Das erste Zertifikat lässt sich nun in den Browser integrieren und testen, wie das Projekt auf seiner Webpräsenz bekannt gegeben hat. Da es noch keine Cross-Signatur gibt, muss derzeit das Root-Zertifikat der ISRG noch per Hand im Browser hinterlegt werden. Anträge zum Cross-Signing sind bereits an die großen Browser-Hersteller Mozilla, Google, Microsoft und Apple gestellt worden, sodass nach Aussagen von ISRG Executive Director Josh Aas in etwa einem Monat die neue CA automatisch in die Trust-Listen der Browser aufgenommen werden könnte. Die Ersteller der kleineren Browser wie Opera, Vivaldi oder Qupzilla werden vermutlich zeitnah nachziehen. Das erste jetzt freigegebene Intermediate Certificate wird von der CA IdenTrust gegengezeichnet.

In den nächsten Monaten der Beta-Phase sollen Fehler im Ablauf korrigiert und weitere Zertifikate freigegeben werden. Wer bereits jetzt mit einer Domain am Beta-Programm teilnehmen möchte, kann dieses Vorhaben über ein Web-Formular beantragen. Als kleiner Vorabtest kann die Webseite Helloworld.LetsEncrypt auf HTTPS umgestellt werden. In Firefox muss dazu nur ein Link angeklickt werden.

Das Projekt wird unter anderem von Akamai, Cisco, der Electronic Frontier Foundation und Mozilla unterstützt. Das Projekt, das sich völliger Offenheit verschrieben hat, will im ersten Halbjahr 2016 einen zweiten Transparenzbericht über seine Arbeit vorlegen. Der erste Bericht enthält noch keine Zahlen, sondern berichtet nur kurz über die Offenheitsbestrebungen des Projekts. Die technischen Hintergründe der Zertifikate erläutert eine gesonderte Webseite.