Gelöst SwissSign - neue CA-Zertifikate ab 26.08.2024

[mabu]

Hallo.

Wir haben am 10.07. eine Mail von SwissSign erhalten. Mit diesem Inhalt:

Neue CA-Zertifikate für die Ausstellung von E-Mail-Zertifikaten

Mit diesem Schreiben möchten wir Sie über eine bevorstehende Änderung unsererE-Mail-Zertifikate informieren. Für unsere CertificationAuthorities (CAs) wurden neue Zertifikate zur Ausstellung von E-Mail- bzw. S/MIME-Zertifikaten erstellt. Diese werden per Kalenderwoche 35 (ab 26. August)aktiviert und müssen ab dann verwendet werden.

Es handelt sich dabei um zwei neue CA-Zertifikate, welche Sie bereitsjetzt unter den folgenden Links herunterladen können:

	▪	«SwissSign RSA SMIME MV ICA 2024 – 1» zur Ausstellung von E-Mail ID Silver bzw. «Mailbox Validated»-Zertifikaten (MV)
	▪	«SwissSign RSA SMIME SV ICA 2024 – 1» zur Ausstellung von E-Mail ID Gold (normal, mit Authentisierung und RSA-PSS) bzw. «Sponsor Validated»-Zertifikaten (SV)

Wichtig: Alle bestehenden CA- und Endbenutzer-Zertifikate bleiben gültig. Die Änderung betrifft nur Zertifikate,welche nach dem 26. August ausgestellt werden.

Was müssen Sie als Kunde tun?
Sofern Ihr System – zum Beispiel Ihr Certificate Lifecycle Management (CLM)oder E-Mail Gateway – die CA-Zertifikate vorgängig kennen muss, müssen Sie diese vor dem 26. August 2024 importieren. Die Zertifikate können Sie über die oben aufgeführten Links herunterladen. Für weitere Informationen zum Importbeachten Sie bitte das Manual Ihres Herstellers.

Wir sind bestrebt, weitere Auswirkungen auf unsere Kunden so gering wiemöglich zu halten. Wenn Sie das REST RA API für den automatisierten Bezug von E-Mail-Zertifikaten nutzen, möchten wir Sie jedoch bitten, unsere nächste Kommunikation zum Thema zu beachten. Gegebenenfalls werden Sie trotzdem nocheinzelne Parameter anpassen müssen.

Warum wurden neue CA-Zertifikate ausgestellt?
Das für die Ausstellung von E-Mail-Zertifikaten massgebende Regularium, die«Baseline Requirements for the Issuance and Management of Publicly-Trusted S/MIME Certificates» (SMIME BR) des CA/Browser Forums, wurde bezüglich des genauen Formats von CA-Zertifikaten aktualisiert. Unsere bestehenden CA-Zertifikate entsprechen nicht diesem neuen Format. Deshalb müssen diese neu erstellt und gegebenenfalls in Ihr System importiert werden.

Wir danken Ihnen für Ihre Kenntnisnahme und stehen Ihnen bei weiteren Fragenselbstverständlich unter +41848 77 66 55 oder helpdesk@swisssign.com zur Verfügung

Der Satz "Wenn Sie das REST RA API für den automatisierten Bezug von E-Mail-Zertifikaten nutzen, möchten wir Sie jedoch bitten, unsere nächste Kommunikation zum Thema zu beachten." --> bisher kam aber keine weitere Info.

Ist dazu schon mehr bekannt?

Schönes Wochenende schon mal

 

[JanJäschke]

Hallo Martin,

mir ist da leider bisher auch noch nichts weiter bekannt.
Ich würde dir empfehlen die CAs einfach zu importieren damit du am Ende auf der Sicheren Seite bist, zumal du für die Validierung von extern sie am ende vermeintlich eh brauchen wirst


LG
Jan

 

[Tim321]

Die Mail vom 10.07. hatten wir auch, ich hab die neuen Zertifikate einfach importiert - neue Infos kamen bislang keine ¯\_(ツ)_/¯

 

[mabu]

Ich muss hier noch mal nachfragen, da ich nicht sicher bin, ob das alles so korrekt ist.

SwissSign teilte mit, dass ab dem 26.08.24 die in der Info genannte Änderung aktiviert wird. Die beiden bereitgestellten Zertifikate hatte ich vor meinem Post hier auch bereits importiert.

Nun wurden zuletzt am 30.08. bei uns im NSP automatisch Zertifikate neu bei SwissSign angefordert - also über "Schlüsselanforderung".

Und in beiden dieser Zertifikate sehe ich überhaupt keinen Unterschied im Zertifizierungspfad. Sieht bei uns so aus:


Was mich hier wundert, dass SwissSign in der Info ja diese Bezeichnungen angibt:


Ich hätte daher "erwartet", dass die neuen Zertifikate auch "SwissSign RSA SMIME MV ICA 2024 - 1" als Aussteller oder zumindest irgendwie in der Kette auftauchend anzeigen würden.

Ist das weiterhin so okay? Gibt es doch was, was wir im NSP anpassen müssen?

Finde ich irgendwie etwas eigenartig. Aber vielleicht ist es ja so auch weiterhin okay.

 

[JanJäschke]

Hallo Martin,

dazu haben wir als Partner grade eine vorab E-Mail bekommen:
Das Thema wurde auf den 09.09.2024 verschoben
Also derzeit ist noch alles auf der alten CA.

Mailing an die Endkunden soll noch kommen.


Gruß
Jan

 

[mabu]

Oh man. Das war Möglichkeit 2 - "die Verschiebung" - ohne Kundeninfo

Dann schauen wir mal