SSL-Zertifikat nach Domain CLOSE | Verfahren ?



R

Rukola

New Member
Hallo !

Ich stelle mir gerade die Frage was passiert bei folgendem Szenario...

Ich lösche eine Domain (CLOSE) bei der ich ein SSL-Zertifikat besitze, dass noch über ein Jahr gültig ist. Nun müsste ich doch eigentlich die Zertifizierungsstelle darüber informieren ?

Das Problem wäre nur, dass wenn das Zertifikat dann zurückgezogen wird, auch erhebliche Bearbeitungskosten entstehen. Also würde es sich bezahlt machen den Mund zu halten.

Es wäre aber auch nicht richtig, wenn ich nun der Neuregistrierer eine Domain wäre und noch ein anderes Zertifikat dieser Domain im Umlauf ist.
 
Ok, danke für die Antwort. Dann werde ich den günstigeren Weg gehen und einfach die Domains noch um 1 Jahr halten und dann auf CLOSE setzen.
 
Öhm. Was soll denn passieren wenn das Zert noch 1 Jahr läuft? Solange der neue Inhaber der Domain deinen SSL Key bzw./und das Zert nicht hat, kann er damit doch gar nix anfangen.
 
derWachert said:
Öhm. Was soll denn passieren wenn das Zert noch 1 Jahr läuft? Solange der neue Inhaber der Domain deinen SSL Key bzw./und das Zert nicht hat, kann er damit doch gar nix anfangen.
Click to expand...

Das Problem liegt hier ja anders. Ich habe ein gültiges Zertifikat für eine Domain die mir nicht gehört.
 
Im Grunde könnte man damit ja auch Missbrauch treiben. Ich glaube da ist sowieso eine kleine Sicherheitslücke im Zertifizierungssystem, denn ich denke mal nicht, dass die Zertifizierungsstellen nach der Erteilung noch einmal via Whois eine Besitzerprüfung vornehmen. Es gibt ja keine zentrale Datenbank wo man gleich mit einem Wisch schauen kann, ob ein Zertifikat irgendwo ausgestellt wurde !?

Eigentlich müsste man bevor oder nach einer Domainregistrierung generell überprüfen, ob nicht irgendwo noch ein Zertifikat läuft. Ich glaube viele melden das nach einem CLOSE eben nicht der Zertifizierungsstelle.

Ich selber werde da etwas aufpassen, weil ich sonst auch gegen die AGB verstoße und mir dann gekündigt würde. Das Zertifikat zurückrufen kostet mich 25 $ ... dann lasse ich die Domain lieber noch 1 Jahr laufen. Eine Kündigung wäre noch schlimmer, da ich so günstig sicher an keine Class-2 Wildcardzertifikate komme.
 
Nochmal: was bringt dir das?

Solange du nicht den "Inhalt" der Domain bearbeiten kannst bzw. die DNS Einstellungen der Domain, bringt dir das Zertifikat exakt NULL.

Du könntest für diese Domain in fremden DNS Servern was rumfuschen etc... aber auch da: was bringts?

Natürlich ist das nicht optimal, aber ein "echtes" Problem seitens der Zertifizierung besteht erstmal nicht solange Zert+Key nicht "public" werden.

In der Regel ist es aber am einfachsten sich direkt an die Zertifizierungsstelle zu wenden, also Thawte oder Symantec, nach entsprechender Verifizierung von dir als Inhaber des Zerts, sperren die es meist sogar für lau ;)
 
Wenn man mit so einem (illegalen) Zertifikat nichts anfangen könnte, warum sperren dann grosse Unternehmen regelmässig derartige Zertifikate?

Schonmal an Malware gedacht? Oder S/MIME? Oder Codesigning? Oder, oder, oder...
 
Das Problem besteht - wie bereits erläutert wurde - nicht auf Seite des alten Besitzers, sondern auf Seite des neuen Domain-Inhabers.

Der neue Domain-Inhaber muss aktuell grundsätzlich damit rechnen, dass es zu seiner Domain noch alte (funktionstüchtige) Zertifikate im Umlauf gibt. Eine "gebrauchte" Domain zu erwerben hat aber ohnehin noch andere Nachteile - zahlreiche "WebMasterTools" bei Suchmaschinen etc... werden ja oft schlicht dadurch erstmalig "autorisiert", indem man eine Email an die im Whois hinterlegte Adresse empfangen können muss, oder alternativ ein File mit definiertem Inhalt im WebSpace für eine Prüfung hinterlegen muss. Auch diese Prüfungen finden in der Regel nur einmalig statt.

Fazit somit: Gebrauchte Domain registrieren ist mit Risiken verbunden, der Vorbesitzer kann immer noch ein paar Strippen in der Hand haben, die man auch so einfach nicht loswird.
 
Bei jedem halbwegs seriösen "WebmasterTool" oder ähnlichem Dingsbums ist es absolut kein Problem eine Reauthentifizierung mit aktualisierten Daten durchzuführen. Wäre auch das eigene Todesurteil für derartige Dienste, wenn es nicht ginge.

Genau deshalb ist Domain-Hijacking ja auch so einfach, eben weil es ein ansonsten daily Business ist.

Es ist hier auch keine technische, sondern eine rechtliche Frage und die lässt sich ganz einfach mit dem Vertragsrecht und/oder der Sorgfaltspflicht des vorigen Domain-Inhabers beantworten.

Liest hier eigentlich jemand mal die Verträge die er/sie abschliesst?
 
Joe User said:
Bei jedem halbwegs seriösen "WebmasterTool" oder ähnlichem Dingsbums ist es absolut kein Problem eine Reauthentifizierung mit aktualisierten Daten durchzuführen.
Click to expand...

Das ist nicht der Punkt.
Natürlich kann sich der neue Domain-Owner z.B. einfach neu die Domain ins Google-Webmastertool reinholen. Aber damit fliegt - soweit ich das beobachtet habe - der alte Owner nicht automatisch raus.

Der Punkt ist also, man wird die Zugriffe die der Vorgänger-Domain-Inhaber hatte nicht gänzlich los, zumal man ja gar nicht weiß was es da draußen alles so gibt.
 
gunnarh said:
Natürlich kann sich der neue Domain-Owner z.B. einfach neu die Domain ins Google-Webmastertool reinholen. Aber damit fliegt - soweit ich das beobachtet habe - der alte Owner nicht automatisch raus.
Click to expand...
Search Console -> Manage Property -> Add/Remove User -> done

Neuer Auth-String schadet zwar nicht, ist aber nicht wirklich nötig.


Bei Bing und Co läuft es analog.
 
You must log in or register to reply here.
Back
Top