Jetzt zieht die Zertifizierungsstelle (CA) Let’s Encrypt doch nicht alle drei Millionen Zertifikate zurück, die von dem Fehler bei der Ausstellung betroffen sind. Man fürchtete offenbar zu viele Probleme bei den Betreibern der betroffenen Internetseiten und entschloss sich deshalb, erst einmal nur einen Teil der betroffenen Zertifikate zurückziehen.
Let’s Encrypt hatte erst vor wenigen Tagen herausgefunden, dass bei etwa drei Millionen Zertifikaten ein Fehler beim Prüfen des CAA-Records gemacht wurde. Nach den Regeln des CA/Browser-Forums müssten diese Zertifikate eigentlich innerhalb von fünf Tagen zurückgezogen werden.
Es wurden 1,7 Mio Zertifikate wurden zurückgezogen
Nach dem schon zitierten Forenbeitrag des Let’s-Encrypt-Mitarbeiters Josh Ash wurden statt 3 Millionen in der vergangenen Nacht nur 1,7 Millionen Zertifikate zurückgezogen.
Ein Check von Golem zeigte, dass bei allen Websites, die ihre Zertifikate schon ausgetauscht haben, die alten Zertifikate jetzt zurückgezogen wurden, während bei Websites, die noch betroffene Zertifikate nutzen, diese auch weiterhin gültig sind.
Es gibt aber auch einen Sonderfall: Bei 445 Zertifikaten wurde inzwischen ein CAA-Record gesetzt, der die Ausstellung eines Zertifikats durch Let’s Encrypt eindeutig verbietet. Hier gibt es auch keine Ausnahmen – diese Zertifikate wurden sämtlich zurückgezogen.
Ob die zunächst „verschonten“ Let’s Encrypt-Zertifikate jetzt bis zu ihrem Laufzeitende gültig bleiben oder doch noch nach einiger Zeit zurückgezogen werden, ist nicht wirklich klar. Also gilt immer noch, dass Nutzer von Let’s Encrypt-Zertifikaten auf ihren Websites, prüfen sollten, ob sie davon betroffen sind und im Zweifelsfall die Neuausstellung ihrer Zertifikate einleiten.
