Am 30.09.2021 ist das DST-Root-CA-X3-Zertifikat abgelaufen, sodass viele Geräte im Internet Probleme mit der Verbindung mit Diensten und Zertifikaten haben, die diese Root-CA verwenden, einschließlich derjenigen, die Let’s Encrypt-Zertifikate verwenden.
Einige dieser problematischen Geräte sind Samsung Galaxy-Telefone, iPhones, VDI Zero- und Thin-Clients und sogar Sophos UTM-Firewalls.
Betroffene werden also beim Surfen zu Websites, die die kostenlosen Let’s Encrypt-Zertifikate verwenden, eine Reihe von Problemen feststellen, da zb. der Web Protection Web Filtering-Dienst der Sophos UTM-Firewall das Zertifikat als abgelaufen meldet und den Zugriff auf die Websites, die es verwenden, nicht erlaubt .
Bitte unterstützt meine Arbeit
Das Problem
Let’s Encrypt hat ursprünglich das Zertifikat „DST Root CA X3“ verwendet, um Let’s Encrypt-Zertifikate auszustellen. Im Laufe der Zeit und zunehmender Nutzung des Dienstes verwenden sie jedoch „ISRG Root X1“ und „ISRG Root X2“ als Root-CAs und „Let’s Encrypt R3“ als Zwischenzertifikat.
Ältere Geräte verwenden möglicherweise die ältere Root-CA, die heute (30. September 2021) abgelaufen ist. Weitere Informationen findet ihr unter https://letsencrypt.org/docs/dst-root-ca-x3-expiration-september-2021/
Die Reparatur
Um dieses Problem zu beheben, müsst ihr eurem Computer oder Gerät die 2 neuen Root-CAs hinzufügen.
Root-CA-Zertifikate (PEM-Format):
- ISRG Root X1 (Oder ISRG Root X1 DER Format )
- ISRG Root X2 (Oder ISRG Root X2 DER-Format )
Zwischenzeugnis (PEM-Format):
Ihr könnt sie herunterladen, indem ihr auf die obigen Links klicken oder zu https://letsencrypt.org/certificates/ geht, um weitere Informationen zu erhalten und herunterzuladen, wenn ihr den obigen Links nicht vertraut.
Nachdem Ihr diese Root CAs und die Intermediate CA heruntergeladen und zu eurem Computer oder Gerät hinzugefügt habt, solltet ihr über die vollständige Zertifikatskette verfügen, um die Let’s Encrypt-Zertifikate zu validieren. Die Let’s Encrypt-Zertifikate, die auf von euch besuchten Websites verwendet werden und die ihr möglicherweise auf euren Servern bereitgestellt habt, sollten jetzt problemlos funktionieren.
Wenn weiterhin Probleme auftreten, könnt ihr versuchen, das Zertifikat „DST Root CA X3“ von euren vorhandenen Root-CAs zu löschen. Außerdem müsst ihr möglicherweise jede Software und/oder Browser schließen und erneut öffnen, damit sie mit dem neuen Zertifikat funktioniert.
WINDOWS
GUI Lösung
Ihr müsst die neuen Root Zertifikate die ihr oben runterladen könnt in den Zertifikatsstore einspielen.
CommandLine Lösung
Natürlich könnt ihr das Ganze auch über die CMD einspielen. Öffnet die CMD (Eingabeaufforderung) als Admin.
Ladet euch jeweils das der Zertifikat runter
führt folgenden Befehl aus:
certutil -ent -addstore Root isrgrootx1.derAchtet dabei darauf zuerst mit der CMD in den Ordner zu navigieren in welchem das der Zertifikat liegt oder gebt den gesamten Pfad ein.
Das Selbe macht ihr noch mit dem 2. Zertifikat X2 (ebenfals im DER Format runterladen)
So stellt ihr sicher, dass falls ein Zertifikat nicht mehr funktioniert, ihr zumindest noch ein 2. für den Notfall habt auf das zurückgegriffen werden kann.
certutil -ent -addstore Root isrg-root-x2.derAchtet auch hier wieder darauf zuerst mit der CMD in den Ordner zu navigieren in welchem das der Zertifikat liegt oder gebt den gesamten Pfad ein damit es gefunden wird.
MAC OS
Bei Mac OS müsst ihr die Zertifikate in den Schlüsselbund einfügen und dann noch sagen, dass sie Vertrauenswürdig sind, da sie sonst zwar importiert sind, aber mit einem roten x angezeigt werden.
Die Zertifikate können entweder bei Anmeldung oder System importiert werden.
GUI Lösung
Um das zu bearbeiten, müsst ihr den Schlüsselbund entsperren um Änderungen machen zu können.
CommandLine Lösung
Führt folgenden Befehl im Terminal aus
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain <certificate>Auch hier das Zertifikat mit Pfad angeben statt <certificate>
Mit diesem Befehl könnt ihr die DER Zertifikate direkt in den System-Zertifikatsspeicher importieren.
HTTPS Scanning/Filtering Firewall Fix (Sophos UTM als Beispiel)
Wenn ihr über eine Firewall verfügt, die HTTPs-Datenverkehr scannt, müsst ihr die oben genannten Zertifikate zur Liste der HTTPS-Zertifizierungsstellen hinzufügen.
Um dies beispielsweise auf der Sophos UTM Firewall zu beheben, befolgt die folgenden Anweisungen:
- Ladet die 3 Zertifikate oben herunter.
- Meldet euch bei eurer Sophos UTM an
- Navigiert zu „Web Protection“, „Filtering Options“ und „HTTPS CAs“.
- Deaktiviert das alte Zertifikat „Digital Signature Trust Co. DST Root CA X3“ in der Liste.
- Navigiert mithilfe von „Lokale Zertifizierungsstelle hochladen“ zu einem der 3 Zertifikate, wählt es aus und klickt dann auf „Hochladen“.
- Wiederholt Schritt 5 für jedes der 3 oben aufgeführten Zertifikate.
- Das Problem wurde behoben! Ihr solltet nun alle 3 Zertifikate in der Liste „Lokale Verifizierungs-CAs“ sehen.
Die Schritte sollten für andere Firewalls ähnlich sein, die HTTPS-Scannen und -Filtern bereitstellen.
8 comments