CAs stellen Support für TLS Client Authentifizierungs-Zertifikate ein

[JanJäschke]

Hallo zusammen,

der ein oder andere hat es vlt. schon mit bekommen: CAs stellen derzeit die Ausstellung von TLS Zertifikaten mit der Schlüsselverwendung "TLS CLient Auth" ein.
Wir haben dazu eben einen Blogbeitrag veröffentlicht:

Ende der TLS-Client-Authentifizierungszertifikate | NoSpamProxy

Ab sofort dürfen CAs in TLS-Zertifikaten nicht mehr gleichzeitig beide Extended Key Usages (EKU) id-kp-clientAuth und id-kp-serverAuth verwenden. Wer betroffen ist und was Sie jetzt tun sollten.

www.nospamproxy.de

Dieser Thread soll zum einen dazu dienen diese Information zu streuen und für Rückfragen da sein.

Beste Grüße,
Jan

 

[mabu]

Hallo Jan.

Schön, dass es diesen Beitrag hier gibt. Den ich auch gleich mal für Rückfragen zum Blogeintrag nutze.

Muss zugeben, dass ich nicht sicher bin, ob es irgendwie für uns von Relevanz ist - liegt hoffentlich an der heute nicht wirklich guten Tagesform bei mir. Verzeiht daher die möglicherweise technisch nicht absolut korrekte Beschreibung in der Frage, die nun folgt.

NSP ist On-Prem. Keine Nutzung von O365.

Es gibt für den NSP ein TLS-Zertifikat, welches für das Portal und auch auf den Konnektoren genutzt wird.

Bei diesen ist das im Blogeintrag beschriebene Szenario ja nicht zutreffend, oder? Wir benutzen das Zertifikat ja nicht direkt für die Authentifizierung.

Bin gerade nicht sicher, ob ich hier ein ToDo für uns übersehe. Glaube es aber nicht.

Danke vorab für die Antwort.

 

[Sören]

Glaube es aber nicht

Es betrifft lediglich Client Auth. Kein impact bei dir.

 

[M.Wichmann]

Hallo Jan,

ich habe nun bei dem ersten Kunden ein neues Sectigo Zertifikat angefordert und habe natürlich nur ein TLS Server-Authentifizierungszertifikat bekommen.
Dies kann ich beim ausgehenden Sendeconnector nicht auswählen, gibt es eine Möglichkeit das zu ändern?
Die Umgebung ist rein OnPrem. Es wird nur Protection genutzt.

Vielen Dank im Voraus.
M.Wichmann

 

[JanJäschke]

@M.Wichmann
Ich kann es leider grade nicht gegenprüfen, aber per PowerShell kannst du die aktuelle Konfiguration des Konnektors holen, in einer Variablen speichern, dann solltest du dein neues Zertifikat hitnerlegen können, glaube es ist nur der Thumbprint und kannst dann mittels Set das Objekt wieder schreiben
Die NCC filtert derzeit auf die TLS Client Auth Attribute.