Hi zusammen,

habe gerade noch diesen Älteren Artikel auf Heise gefunden: https://www.heise.de/security/meldung/Auch-Google-vertraut-StartCom-und-WoSign-Zertifikaten-nicht-mehr-3453514.html

Für star-citizens.de ist ein StartCom Zertifikat hinterlegt und es wurde vor dem 21. Oktober 2016 erstellt. Vielleicht hatten wir noch die besagte Schonfrist und jetzt greift Google durch.

Könnte zumindest passen.

Viele Grüße

Marko

hab auch chrome, ist reproduzierbar

mfg

Also ich nutze auch Chrome bei mir wird alles ganz normal angezeigt.

Edit: allerdings gab es eine neue Chrome version und müsste den Browser erstmal neu starten, na damit warte ich wohl noch etwas

Es könnte an der Version von Chrome liegen. Bei mir läuft aktuell Version 60.0.3112.90 (Offizieller Build) (64-Bit). Laut Google sollte diese Version am 25.07.2017 ausgeliefert worden sein.

Anfang des Jahres gab es bereits die ersten Probleme mit den Zertifikaten von WoSign und StartCom https://productforums.google.com/forum/#!topic/chrome/k5XA8tBfImk.

Falls es wirklich daran liegen sollte, finde ich das Vorgehen seitens Google echt mies. Ich habe nirgends eine Info gefunden, ab wann sie die Zertifikate letztendlich nicht mehr akzeptieren.

Ja, es liegt an der aktuellen Google Chrome-Version. Meiner hatte gestern auch aktualisiert.

Wiso ist das Vorgehen seitens Google mies? Mozilla und Apple haben die Zertifikate auch als nicht vertrauenswürdig

eingestuft und entsprechend gehandelt. Wenn das Zertifikat nicht mehr vertrauenswürdig ist, dann handelt Google absolut richtig.

Geplant war wohl laut deinem Link schon Januar. Im Gegenteil, es hat sogar viel zu lange gedauert. Ich habe zwar keinen Firefox

drauf, aber dem Link nach dürfte das StartCom-Zertifikat auch dort nicht mehr laufen. MS Edge meckert nicht rum, also geht Microsoft

scheinbar lascher damit um. Ich denke aber, dass Microsoft in absehbarer Zeit nachziehen wird.

https://www.heise.de/security/meldung/Zertifikats-Schmu-bei-WoSign-und-StartCom-Mozilla-macht-Ernst-3361574.html
https://www.golem.de/news/zertifikate-auch-google-wirft-wosign-und-startcom-raus-1611-124162.html

Wozu brauch ich noch eine sichere Verbindung, wenn das Zertifikat dahinter nicht vertrauenswürdig ist? Da wird einem

Sicherheit vorgegaukelt, wo keine ist. Also kann man gleich drauf verzichten. Wenn der Browser mir anzeigt, das ich

eine sichere Verbindung habe, dann vertraue ich dem Browser. Also handeln Google, Mozilla und Apple absolut richtig.

Eventueller Datenmissbrauch fällt erstmal nicht auf den Zertifikat-Lieferanten zurück, sondern auf den Browser-Hersteller.

Was wirklich das Problem ist oder wer tatsächlich der Verursacher war, interessiert den 0815-User nicht. Da heisst es dann

nur Chrome, Firefox oder ein anderer Browser sind unsicher.

Ich zitiere mal Wikipedia (Quelle):

Zitat

 

Anfang 2016 ist es zu Unregelmäßigkeiten in der Zertifikatsvergabe bei WoSign, dem Mutterunternehmen von StartCom, gekommen. Zum einen wurden Zertifikate zurückdatiert ausgestellt, um eine Beschränkung von SHA1-Zertifikaten zu umgehen. Zum anderen haben StartCom und die Zertifizierungsstelle WoSign es versäumt, ihre Verbundenheit offen zu legen.

Im September 2016 hat Mozilla, der Hersteller des Internetbrowsers Firefox, Konsequenzen gegen die Zertifizierungsstelle angekündigt, da diese gegen die Richtlinien verstoßen hat. Als Konsequenz hat Mozilla am 24. Oktober 2016 angekündigt, mit dem kommenden Firefox Release 51 Zertifikaten der Zertifizierungsstelle das Vertrauen zu entziehen, die nach dem 21. Oktober 2016 ihre Gültigkeit erlangten. Google kündigte den gleichen Schritt für Google Chrome ab Version 56 an, Apple vertraut Zertifikaten von StartCom, die ab dem 1. Dezember 2016 ausgestellt wurden, ebenfalls nicht mehr. Ab Google Chrome 57 werden die meisten StartSSL-Zertifikate nicht mehr als vertrauenswürdig anerkannt, auch wenn diese vor dem 21. Oktober 2016 ausgestellt worden sind.

 

Klar ist das jetzt in der aktuellen Situation nicht schön, unbequem und ärgerlich. Aber lange genug war ja Zeit, seitens

star-citizens.de vorausschauend darauf zu reagieren.

Hi AnyA,

Du hast natürlich recht.

Mir ging es mit meiner Aussage eher darum, dass ich keine Info darüber gefunden habe, ab wann genau die - bislang noch geduldeten - Zertifikate als nicht vertrauenswürdig eingestuft werden. Für das hier genutzte Zertifikat gab es eine Sonderregelung (vor 21. Oktober 2016 erstellt). Deshalb ist nicht am 01.01.2017 bereits das Vertrauen entzogen worden. 

Das Vorgehen von Google, Mozilla und Microsoft ist natürlich legitim. Die Zertifizierungsstellen WoSign und StartCom haben offensichtlich bei der Einhaltung üblicher Sicherheitsstandards versagt.

Microsoft entzieht auch das Vertrauen: http://winfuture.de/news,99028.html 

Ohh, star-citizens.de hat ein neues Zertifikat. Saubere Arbeit, danke .

Die Sicherheitsmeldung ist damit weg und es wird wieder alles als sicher angezeigt.