Einleitung
In den letzten Jahren HTTPS Die Akzeptanz hat rapide zugenommen (Google bietet eine Transparenzbericht das zeigt diesen Fortschritt visueller). HTTPS verwendet SSL /TLS Zertifikate zum Schutz von Daten und ist einer der wichtigsten Browser-Sicherheitsmechanismen gegen Cyber-Bedrohungen. Die Webindustrie ermutigt (oder verlangt) jetzt HTTPS als Ersatz für unsicheres HTTP.
Diese zusätzliche Sicherheit hat jedoch zwangsläufig die betriebliche Komplexität sowohl für Browserbenutzer als auch für Webserveradministratoren erhöht. HTTPS hängt von Komponenten ab, die möglicherweise ausfallen und unklare Fehlermeldungen erzeugen können.
Darüber hinaus bedeuten Sicherheitswarnungen nicht unbedingt, dass der Server oder Browser angegriffen wird. Abgelaufene, widerrufene oder falsch konfigurierte Zertifikate können ebenfalls ähnliche Meldungen erzeugen. Aus diesem Grund können viele Benutzer verwirrt (oder verärgert) sein und HTTPS-Fehler ignorieren, obwohl das Nichtbeachten von Sicherheitsfehlermeldungen sehr gefährlich sein kann. (Tatsächlich erschweren Browser-Anbieter die Umgehung von Sicherheitswarnungen zunehmend.)
Administratoren sind zusätzlich besorgt darüber, dass die konsistente Anzeige von Sicherheitswarnungen für Besucher auf ihren Websites sich negativ auf die Reputation der Website auswirken kann. Es ist unbedingt erforderlich, dass Site-Administratoren alle zugrunde liegenden Probleme schnell untersuchen und beheben.
Um dies zu unterstützen, werden wir einige der häufigsten HTTPS-Fehlerwarnungen untersuchen, erklären, was sie bedeuten, und vorschlagen, wie Administratoren sie beheben können.
"Nicht vertrauenswürdig für diese Website"
SSL /TLS Zertifikate werden in der Regel von Drittanbietern ausgestellt Zertifizierungsstellenoder Zertifizierungsstellen. Zertifizierungsstellen (wie z SSL.com) jedes von ihnen ausgestellte Zertifikat kryptografisch signieren. Auf diese Weise können Browser bestätigen, dass das Zertifikat für eine bestimmte Website von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde (eine, die bereits zu den Zertifikatspeichern des Browsers hinzugefügt wurde).
Der Fehler "Nicht vertrauenswürdig" bedeutet, dass ein Webserver ein Zertifikat vorgelegt hat, das mit einer digitalen Signatur signiert ist, die der Browser nicht erkennt. Ein Browser zeigt diese Fehlermeldung in zwei Fällen an:
- Der Server verwendet einen nicht vertrauenswürdigen selbstsigniert Zertifikat oder
- Die Zertifikatinstallation auf dem Server ist fehlgeschlagen, sodass der Browser die Authentizität nicht korrekt überprüfen kann.
Selbstsignierte Zertifikate sind wie normale Zertifikate, werden jedoch lokal von Webserveradministratoren anstelle von vertrauenswürdigen Zertifizierungsstellen erstellt. Solche Zertifikate können für interne URLs, statische Seiten oder Websites mit geringem Datenverkehr verwendet werden.
Da selbstsignierte Zertifikate nicht mit einer vertrauenswürdigen Zertifizierungsstelle verknüpft sind, vertrauen Browser ihnen nicht automatisch. Ein Benutzer muss eine Sicherheitswarnung manuell umgehen (normalerweise indem er den Browser anweist, dem selbstsignierten Zertifikat zu „vertrauen“), bevor er die Site besuchen kann. Das Verfahren ist von Browser zu Browser unterschiedlich. Wenn Sie nicht genau wissen, wer das nicht vertrauenswürdige Zertifikat ausgestellt hat (und warum), empfehlen wir, solche Warnungen nicht zu umgehen
Der zweite Fall tritt auf, wenn eine Installation fehlschlägt (oder falsch durchgeführt wird). Häufig werden bei der Installation Zwischenzertifikate, auch Zertifikatkette genannt, weggelassen. Dadurch wird die Vertrauenskette von der Zertifizierungsstelle zum Website-Zertifikat unterbrochen, sodass Browser das Zertifikat nicht als vertrauenswürdig erkennen und diesen Fehler den Besuchern präsentieren.
Berücksichtigen Sie beim Empfang des Fehlers "Nicht vertrauenswürdig" die besuchte Seite. Es ist sehr unwahrscheinlich, dass auf einer stark frequentierten Seite oder auf einer Seite mit vertraulichen Benutzerinformationen (wie Kreditkarten, Rechnungsadressen usw.) ein selbstsigniertes Zertifikat verwendet wird.
Dies kann eine von zwei Möglichkeiten sein: Der Server (oder die Verbindung) wurde entführt (und Angreifer haben das ursprüngliche Zertifikat durch ein eigenes ersetzt) oder der Administrator hat versucht, das Serverzertifikat zu aktualisieren, und ist dabei irgendwo fehlgeschlagen.
Wir empfehlen Benutzern, keine Websites zu verwenden, auf denen dieser Fehler angezeigt wird, bis das zugrunde liegende Problem behoben ist.
So beheben Sie einen "Nicht vertrauenswürdigen" Fehler
Es wird nicht empfohlen, selbstsignierte Zertifikate für externe oder mit dem Internet verbundene Seiten wie Anmeldeseiten oder Kunden-Check-out zu verwenden. Tatsächlich erfordern die meisten Standards und Zertifizierungsdokumente, wie z. B. PCI-DSS, die Verwendung ordnungsgemäß signierter Zertifikate einer akkreditierten Zertifizierungsstelle für solche sensiblen Vorgänge.
Wenn Sie ein Zertifikat von einer Zertifizierungsstelle gekauft haben und dieser Fehler weiterhin auftritt, sollten Sie sicherstellen, dass bei der Installation keine Fehler aufgetreten sind und dass Sie die Schritte korrekt ausgeführt haben. Wenn dies nicht hilft, sollten Sie sich an die ausstellende Zertifizierungsstelle wenden, um weitere Unterstützung zu erhalten.
"Ihre Verbindung ist nicht sicher"
Einige Browser geben möglicherweise an, dass die Verbindung "nicht privat" statt "nicht sicher" ist, aber alle beziehen sich auf dasselbe Problem: Das Serverzertifikat kann nicht überprüft werden. Hier beendet der Browser die Verbindung zur Website und zeigt stattdessen diese Fehlermeldung an. Zertifikate können nicht validiert werden, wenn sie entweder widerrufen werden oder abgelaufen sind.
Digitale Zertifikate können aus vielen Gründen widerrufen werden, und vertrauenswürdige Zertifizierungsstellen verwalten Dienste, um ihre widerrufenen Zertifikate öffentlich anzuzeigen. (Diese beinhalten Sperrliste für Zertifikates (CRLs) und Online-Zertifikatstatusprotokoll (OCSP) Responder.) Browser konsultieren diese Dienste, bevor sie einem Zertifikat vertrauen. Benutzer, die auf widerrufene Zertifikate stoßen, sollten die Verwendung der Website vermeiden, da dies bedeutet, dass ihre Verbindung möglicherweise gefährdet ist.
SSL-Zertifikate verfallen natürlich auch nach einiger Zeit und müssen erneuert werden. Auf diese Weise wird sichergestellt, dass alle Anmeldeinformationen regelmäßig überprüft werden. Dies bietet eine angemessene Sicherheit dafür, dass das Zertifikat einen Server abdeckt, der von einem legitimen Eigentümer und nicht von einem böswilligen Angreifer kontrolliert wird.
So beheben Sie den Fehler "Nicht sicher"
Wir empfehlen, dass Sie Ihre Zertifikate vor Ablauf erneuern, um diesen Fehler zu vermeiden. SSL.com Kunden können unseren integrierten Ablaufwarnungsdienst verwenden, um vor dem bevorstehenden Ablauf des Zertifikats zu warnen.
"Gemischter Inhalt"
Eine Warnung zu gemischten Inhalten bezieht sich auf Komponenten von HTTPS-Websites, die über HTTP abgerufen werden. Häufige Beispiele sind Remote-Images, Skripte oder andere Elemente, die unsicher übertragen werden (auch wenn sie sich auf demselben Server befinden).
Angreifer können ungesicherte HTTP-Verbindungen ausnutzen, um den Browser (oder sogar den Computer) eines Besuchers zu gefährden. Trotz des offensichtlichen Risikos verwenden viele Websites immer noch HTTP, um Remote-Komponenten abzurufen. Um Benutzer vor Verbindungen mit gemischten Inhalten zu warnen, zeigen Browser einen negativen Sicherheitsindikator an.
Benutzer sollten alle derartigen Verbindungen nach Möglichkeit vermeiden, aber leider haben zahlreiche legitime Websites dieses Problem noch nicht gelöst. Aus diesem Grund empfehlen wir Vorsicht und Urteilsvermögen, wenn Sie Websites besuchen, auf denen die Warnung mit gemischten Inhalten angezeigt wird.
So beheben Sie eine Warnung "Gemischter Inhalt":
Administratoren sollten den Quellcode ihrer Website nach URLs durchsuchen, die mit beginnen http://. Ersetzen Sie alle HTTP-URLs durch HTTPS, um zu verhindern, dass Browser die Warnung zu gemischten Inhalten anzeigen (dh sie sollten mit beginnen https://) URLs, die auf dieselbe Ressource verweisen. Die folgenden Schnipsel zeigen ein Beispiel:
Sollte sich ändern zu:
Wenn der Remote-Server bereits HTTPS unterstützt, können Sie einfach die URLs in Ihrem Quellcode ändern. Wenn Sie jedoch keine Kontrolle über den Remote-Server haben, müssen Sie entweder mit dem Drittanbieter verhandeln, der den Server kontrolliert, oder einen anderen Dienst mit HTTPS-Unterstützung suchen, um diese Warnung zu beseitigen.
"Namensinkongruenz"
Browser zeigen diese Fehlermeldung an, wenn ein Server ein digitales Zertifikat für einen anderen Domänennamen vorlegt. Dies kann auftreten, weil die Zertifikatdomäne fehlerhaft war (z. B. angefordertes Zertifikat) domain.org statt domain.com) während des Kaufs des Zertifikats durch Fehlkonfiguration (Vorlage eines anderen Zertifikats anstelle des erwarteten) oder weil das Zertifikat nicht mehrere auf der Website verwendete Domänen oder Unterdomänen abdeckt.
So beheben Sie den Fehler "Name Mismatch"
Wenn die Domain nicht richtig geschrieben ist, sollten Sie sich an die ausstellende Zertifizierungsstelle wenden, um mögliche Lösungen zu finden.
Eine Fehlkonfiguration kann behoben werden, indem die Site aktualisiert wird, um das richtige Zertifikat zu verwenden.
Wenn Sie eine Website verwalten, die mehrere Domänen (oder Unterdomänen) enthält, sollten Sie die Verwendung von a in Betracht ziehen SAN-Zertifikat (Subject Alternative Name) anstelle mehrerer Einzelzertifikate. Ein einzelnes SAN-Zertifikat kann Hunderte verschiedener Domänen und sogar Platzhalterdomänen (z *.ssl.com) zusätzlich zu sein viel einfacher zu verwalten und zu warten als mehrere Zertifikate (ganz zu schweigen davon, dass es für Ihr Taschenbuch möglicherweise einfacher ist).
Zusammenfassung
Man kann sich HTTPS als Black Box vorstellen, aber es ist tatsächlich eine Sammlung miteinander verbundener Komponenten, die harmonisch zusammenarbeiten müssen, damit es effektiv ist. Die von uns beschriebenen Warnmeldungen sind ein nerviger, aber wichtiger Bestandteil des Internets. Wir hoffen, dass ein grundlegendes Verständnis dieser Nachrichten dazu beitragen kann, die Sicherheit der Benutzer zu gewährleisten und die Administratoren effizienter zu machen.
Vielen Dank, dass Sie sich für SSL.com entschieden haben! Bei Fragen wenden Sie sich bitte per E-Mail an Support@SSL.com, Anruf 1-877-SSL-SECUREoder klicken Sie einfach auf den Chat-Link unten rechts auf dieser Seite.
