Wie erhalte ich ein Zertifikat mit CRL-Erweiterung?

Seit 2019 werden unsere SSL-Zertifikate ohne CRL-Erweiterung ausgestellt. Stattdessen wird OCSP (=Online Certificate Status Protocol) verwendet, um den Status eines Zertifikats zu überprüfen. Was genau CRL und OCSP ist und wie Sie dennoch ein Zertifikat mit CRL-Erweiterung erhalten, können Sie nachfolgend erfahren.

Was ist CRL?

CRL (=Certificate Revocation List) ist eine Liste mit SSL-/TLS-Zertifikatsseriennummern, die vor Ablauf der Gültigkeit widerrufen oder gesperrt wurden und von Browsern nicht mehr als vertrauenswürdig angesehen werden sollten. Wieso ein Zertifikat nicht mehr als vertrauenswürdig eingestuft werden sollte, kann unterschiedliche Gründe haben:

• der PrivateKey wurde gestohlen oder andersweitig kompromittiert
• die Zertifizierungsstelle (CA) dem Anforderer misstraut
• das Zertifikat wurde falsch ausgestellt

Wenn ein Browser eine Anfrage an eine sichere Webseite sendet, dann erhält die zuständige Zertifizierungsstelle die Anfrage und sendet eine Antwort mit der Liste aller gesperrten Zertifikate an den Browser zurück. Im Anschluss prüft der Browser anhand der Seriennummer, ob das Zertifikat der aufgerufenen Webseite in der CRL vorhanden ist. Über die CRL-Extentions in einem SSL-Zertifikat erfährt der Browser, welche Zertifizierungsstelle für die Anfrage zuständig ist.

Das Problem ist, dass CRLs sehr fehleranfällig sind, da diese Listen regelmäßig aktualisiert werden müssen. Dies erzeugt bei den Zertifizierungsstellen einen hohen Wartungsaufwand und erzeugt ein Zeitfenster, in dem ein widerrufenes SSL-/TLS-Zertifikat noch als vertrauenswürdig angezeigt wird. Darüberhinaus sind CRLs auch ineffizient, da sie je nach Länge der Liste nur sehr langsam überprüft werden können. CRL wurde mittlerweile durch OCSP ersetzt.

Was ist OCSP?

Das Protokoll wird, wie auch CRL, zur Überprüfung der Vertrauenswürdigkeit eines SSL-/TLS-Zertifikats verwendet. Das ursprüngliche OCSP war mit erheblichen Problemen behaftet, weswegen sich der neue Ansatz "OCSP Stapling" etabliert hat und von den Zertifizierungsstellen und Browsern zur Überprüfung der SSL-/TLS-Zertifikate verwendet wird. 

Zur Überprüfung der Zertifikate stellen die Zertifizierungsstellen spezielle Server, sogenannte OCSP-Responder, zur Verfügung, die auf OCSP-Anfragen wartet. Aber anstatt für jede Zertifikatsüberprüfungsanfrage eine Anfrage an den Server zu senden, ermöglicht "OCSP Stapling" dem Webserver den OCSP-Responder in regelmäßigen Abständen direkt zu kontaktieren und dessen Antwort zwischenzuspeichern. Je nach OCSP-Antwort wird dann entweder die Webseite im Browser angezeigt oder es erscheint eine Fehlermeldung, dass das Zertifikt der Webseite ungültig ist. Folgende Antworten gibt ein OCSP-Responder aus:

• good: Es liegt keine Sperre des Zertifikats vor.
• revoked: Das Zertifikat ist ungültig oder gesperrt worden.
• unknown: Der Status des Zertifikats ist dem Herausgeber unbekannt.

Der große Vorteil von OCSP Stapling ist, dass die Überprüfung eines SSL-/TLS-Zertifikats in Echtzeit erfolgen kann und somit die Ladezeiten einer Webseite erheblich reduziert werden. Des Weiteren werden keine Browser-Informationen der Nutzer an die Zertifizierungsstelle gesendet, da die Überprüfung durch den Webserver erfolgt.

Wie kann ich mein Zertifikat mit CRL-Extension erhalten?

OCSP-Stapling wird von allen wichtigen Browsern und Zertifizierungsstellen unterstützt, jedoch kann es insbesondere bei älterer Software vorkommen, dass Sie noch auf die CRL-Extension angewiesen sind. In diesem Fall muss das Zertifikat nachträglich angepasst werden. 

Um Ihr Zertifikat mit CRL-Extension zu erhalten, gehen Sie folgendermaßen vor:

Alternative Möglichkeit

Als Alternative können Sie die Listen auch manuell beziehen. Hierzu können Sie die Informationen von folgenden Server anfordern:

• OCSP: ocsp.usertrust.com TCP/80
• CRL: crl.usertrust.com TCP/80