Mastodawn

Ostern. Admins finden ein paar bald nicht mehr funktionierende Zertifikate 🐣🤷‍♀️ https://www.heise.de/news/Fieses-Osterei-D-Trust-verlangt-Zertifikatstausch-bis-Ostermontag-11245930.html

Admins müssen D-Trust-Zertifikate tauschen – bis Ostermontag

Die Bundesdruckerei-Tochter D-Trust beschert Administatoren kurzfristige Ostereinsätze: Ihre TLS-Zertifikate müssen bis Ostermontag 17 Uhr getauscht sein.

heise online

Show thread

Bianca Kastl

Falls mich wer fragt, ob das ein Sicherheitsproblem ist: Ja, aber nicht wegen ein paar non konformen Zertifikaten, sondern wegen der Kommunikations-Timeline drum herum.

Wenn du ein Betriebskontinuitäts-Problem züchten willst, dann machst du folgendes:

Problem wohl seit Mitte März kennen

17:42 am Donnerstag vor einem Feiertag Problem ankündigen. Fix aber nur ankündigen.

18:xx Fix kommunizieren - dann erst ist überhaupt handeln möglich

Zertifikate an Ostermontag (Feiertag) zurückziehen

Show thread

Bianca Kastl 1d ago

Ach so: Impact sind quasi alle TLS Zertifikate von der D-Trust seit März 2025 (!). Also sehr viele D-Trust bis fast alle mit D-Trust TLS Zertifikaten.

“D-Trust has concluded that all TLS certificates issued on or after March 15, 2025 are non-compliant with the TLS Baseline Requirements. D-Trust will revoke all affected certificates within the next five days and will report on the progress of the revocation.”

https://bugzilla.mozilla.org/show_bug.cgi?id=2029013 (ht https://chaos.social/@HeNeArXn/116351206281632251)

2029013 - D-Trust: Missing Pre-Signing Linting for TLS Issuance

ASSIGNED (enrico.entschew) in CA Program - CA Certificate Compliance. Last updated 2026-04-04.

Show thread

enachtpfoetchen6s0 1d ago

@bkastl heißt ich als nicht admin bekomme morgen abend auf seiten einen Banner angezeigt das was nicht geht und dienstag früh sollte alles wieder laufen?

Show thread

Bianca Kastl 1d ago

@nachtpfoetchen falsch verstanden. Ja. Als User sagt dein Browser dir: Webseite xy ist unsicher. Dann sind admins erst mal busy, dann kommst du später wieder und es sieht normal aus

Show thread

enachtpfoetchen6s0 1d ago

@bkastl oki! Danke für das update:3

Show thread

jk 1d ago

@bkastl ja, das ist schon ein klein bissel unglücklich, wenn bei d-trust das nicht so kleingedruckte datum überlesen wurde 🙃 https://cabforum.org/working-groups/server/baseline-requirements/requirements/#4312-linting-of-to-be-signed-certificate-content

Show thread

Sven 1d ago

@bkastl Devils advocate theorie: Mitte März haben sie das erste Problem entdeckt. Im Laufe der Diskussion dazu kommt auf warum ihr Prozess das nicht vorher gemerkt hat. Sie starten Review dazu, das kommt ~2 Wochen später (Mittwoch) zurück mit "Unser Prozess war falsch". Im Prinzip triggert genau die Erkenntnis eine fixe 5 Tage deadline.
Hätte jemand sagen können "tun wir mal so als hätten wir das ersten nächsten dienstag gesehen"? Ja. Ist das was wir wollen das CAs tun? very slippery slope

Show thread

Sven 1d ago

@bkastl (das ich mal in Diskussionen die Bundesdruckerei verteidige hätte ich auch nicht erwartet :D)

Show thread

Bianca Kastl 1d ago

@HeNeArXn konsequentes Handeln als CA ist gut. Allerdings heißt das auch: wenn schon vorher was sich belegbar andeutete und irgendwas später kommuniziert wurde, dann ist die nicht konsequente Kommunikation zu Beginn bereits das Problem.

Show thread

TheTomas 1d ago

@bkastl Insgesamt Indizen für

a) fehlende technische Expertise (das mit 200 Tagen ist ja seit längerem bekannt)

b) falsche Prozesse, die das nicht abdecken

c) fehlende Aufsicht/ Review/ Governance, die das nicht aufdecken

d) schlechte Kommunikation

Und die Beteiligten wollen alle zertifiziert und auditiert sein. Ich würde sagen, da wird nicht gelebt, was man sich selbst und anderen versprochen hat. Ob es ein Postmortem oder Lessons Learned geben wird? Ich bezweifle es.

Show thread

wrdlbrmpft 1d ago

@bkastl in meinem Dunstkreis: Amtsgerichte, Kammergericht, LaGeSo – Reaktion bisher: Null