Mit Chrome 66 ab April bald 10% weniger sichere Webseiten

Es wird ernst: Mit Chrome 66 entzieht Google gut hunderttausend der wichtigsten Domains, die SSL einsetzen, sein Vertrauen. Mit dem geplanten Erscheinen am 17. April wird der Nutzer beim Aufruf einer Webseite, die noch ein Symantec-Zertifikat einsetzt, das vor dem 1. Juni 2016 ausgestellt wurden, gewarnt, dass die Verbindung nicht sicher sei.

Wir hatten bereits im Oktober im Artikel “Keine SSL-Zertifikate mehr von Symantec” dieses Thema angesprochen.

Spätestens im Oktober wird Google noch einen Schritt weiter gehen. Mit Erscheinen von Chrome 70 werden alle Verbindungen mit Symantec-Zertifikaten als nicht vertrauenswürdig eingestuft.

Damit werden dann rund 10% der wichtigsten SSL-Seiten als nicht mehr vertrauenswürdig für Chrome 66 gelten. Ein Mitarbeiter von Airbnb hatte im Februar die laut Alexa-Ranking 1 Mio. meistbesuchten Seiten im Netz nach Symantec-Zertifikaten durchsucht und fand rund 11.500 Domains, die im April Fehler produzieren werden. Über 90.000 weitere Domain werden spätestens mit dem Update im Oktober Warnmeldungen auslösen. In der veröffentlichten Liste finden sich prominente Vertreter wie das Bundesfinanzministerium, Spiegel Online, die Uni Hildesheim, wetter.de, die Webseiten von Baywa, Tesla uvm.

Kein SSL ist auch keine Lösung

Auf SSL komplett zu verzichten ist sicher die schlechteste Lösung, die man im Hinblick auf kommende Updates bei Browserherstellern wählen kann. Denn spätestens mit Chrome 68 werden ALLE Webseiten, die unverschlüsselt Daten übertragen, ebenfalls deutlich als unsicher gekennzeichnet. Diese Kennzeichnung wird aktuell bereits vergeben, sofern eine Webseite Passwörter oder persönliche Daten anfordert. Auch Firefox wird mit der in Kürze erscheinenden Version 60 im privaten Modus alle über HTTP aufgerufenen Webseiten als unsicher markieren.

Dank “Let’s Encrypt” steht seit wenigen Jahren eine kostenlose Alternative für teure SSL-Zertifikate zur Verfügung. Let’s Encrypt wird unter anderem von Mozilla, Google und der Electronic Frontier Foundation als Sponsoren getragen.

Chrome 66 mit Let’s Encrypt begegnen

Als unser Kunde erhalten Sie für alle Ihre Domains ein kostenloses SSL-Zertifikat von Let’s Encrypt. Dieses wird automatisch verlängert und gibt Ihnen ein hervorragendes Rating bei SSL Labs aufgrund von aktuellen Techniken auf dem Server wie SHA-256-Signierung, Forward Secrecy, TLS 1.2, Downgrade-Attack-Prevention etc. Details unter:
https://spacehost.de/ssl-zertifikate

Besitzen Sie bereits ein Zertifikat, so können Sie aber auch kostenfrei bei uns auf dem Server einbinden. Ebenfalls bieten wir die Möglichkeit, sollten Sie ein Zertifkat mit z.B. erweiterten Validierung (“EV”) benötigen, Ihnen auf Anfrage weitere zahlreiche Typen von bekannten Anbietern wie Comodo, Entrust, THAWTE u.a. anzubieten. Fragen Sie uns einfach danach.

Bereiten Sie sich auf die kommenden Updates der Browserhersteller, beginnend mit Chrome 66 und Firefox 60 vor.