Gültigkeit von TLS Zertifikaten wird verkürzt

Was ist geschehen?

Neue Gültigkeitsdauer

Motivation

1. OCSP (Online Certificate Status Protocol)
2. CRL (Certificate Revocation List)

IACBOX

1. IACBOX Standard Domain: (hotspot.internet-for-guests.com)
2. Standard Domain von White-Label-Partnern: Das zugehörige Zertifikat wird automatisch beim Registrieren mit dem Partner-Theme installiert und bisher jährlich aktualisiert.
3. Benutzerdefinierte Domain: Eine beliebige, eigene Domain, die vom Administrator selbst registriert wird und auch das TLS-Zertifikat selbst beschafft und installiert wird.

Update

Schauen wir uns nun an, wie die drei Fälle künftig behandelt werden:

1. IACBOX Standard Domain: Hier ändert sich bei der Art des Updates nichts – das Zertifikat der Standard-Domain (künftig mehrere Domains – s.u.) wird automatisch über das Online-Update aktualisiert.
2. Standard Domain von White-Label Partnern: Um einen möglichst reibungslosen Ablauf garantieren zu können, bieten wir White-Label-Partnern an, dass wir die kurzlebigen Zertifikate automatisch aktualisieren und über unsere Update-Server verteilen. Dazu muss ein Partner lediglich einen speziellen `CNAME`-DNS-Eintrag machen, damit wir berechtigt sind, das Zertifikat für diese Domains zu aktualisieren.
3. Benutzerdefinierte Domain:
   • 3.1 Sollte das Zertifikat auf der IACBOX selbst aktualisiert werden, so ist das nur über die ACME-DNS-Challenge möglich. Die IACBOX wird noch im Laufe der v24 einen ACME-Client erhalten, der dies ermöglichen wird.
   • 3.2 Wenn das Zertifikat extern erneuert wird, weil es z. B. ein Wildcard-Zertifikat ist, das auch auf anderen Systemen verwendet wird, dann kann man künftig ein Zertifikat auch über die Batch-API installieren. Damit lassen sich mithilfe einfacher Skripte die Zertifikate nach ihrer Aktualisierung auf die IACBOX kopieren und installieren.

Wie funktioniert die automatische Zertifikats-Verlängerung?

Die Let’s-Encrypt-Initiative war ein Vorreiter der automatisierten Zertifikats-Verlängerung. Sie hat normale, domainvalidierte Zertifikate für alle kostenfrei verfügbar gemacht. Diese Zertifikate gelten derzeit für 90 Tage. Für das automatisierte Ausstellen des Zertifikats und seine Verlängerung wurde das ACME-Protokoll erfunden. ACME steht für Automatic Certificate Management Environment und ist ein Protokoll, das es ermöglicht, Zertifikate automatisch zu erstellen, zu verwalten und zu aktualisieren. Es gibt von anderen CAs auch proprietäre Automatisierungsmethoden. ACME ist jedoch ein offener Standard, der von verschiedenen CAs unterstützt wird.

Damit man eine Domain validieren kann, muss man beweisen, dass man diese Domain besitzt und die Kontrolle über diesen Server bzw. diese Domain hat. Ursprünglich hat ACME nur die sogenannte HTTP-Challenge (= Beweis) unterstützt. Diese Challenge funktioniert so, dass man eine spezielle Datei auf den Server legt, die der CA-Server dann abfragt. Wenn die Datei existiert und den korrekten Inhalt hat, wird das Zertifikat ausgestellt.

Für Server wie die IACBOX, die meist ohne öffentliche IP-Adresse hinter einer Firewall am Netz hängen, funktioniert das aber nicht oder zumindest nicht ohne Port-Forwardings. Deshalb wurde später die DNS-Challenge eingeführt. Diese Challenge funktioniert so, dass ein spezieller DNS-Eintrag angelegt wird, den der CA-Server dann abruft. Wenn der Eintrag existiert und der Wert übereinstimmt, wird das Zertifikat ausgestellt.

Dazu muss der verwendete DNS-Provider jedoch eine API zur Verfügung stellen über welche man DNS Einträge erstellen und löschen kann.

Zusätzliche neue Standard Domains

An dieser Stelle dürfen wir noch eine Neuerung bekannt geben – es wird bald kostenlos zwei neue Standard Domains geben die auf jeder IACBOX ausgewählt werden können. Diese neuen Domains sind kürzer, was vor allem bei Anmelde-Links in Emails und SMS hilft. Weiters wird die IACBOX auch an vielen Standorten eingesetzt an denen die WLAN Benutzer nicht als „Gäste“ bezeichnet werden können (z.B. in Krankenhäusern). Diese neuen Domains bieten hier einen allgemeineren Namen und durch ein Wildcard Zertifikat auch die Möglichkeit selbst die Sub-Domain zu bestimmen.

• *.iacbox.surf
• *.login.surf

Die bisherige Standard-Domain hotspot.internet-for-guests.com wird aber mittelfristig noch erhalten bleiben. Das Zertifikat für diese Domain wird jedoch 2026 auch auf ein kurzlebiges Zertifikat umgestellt.