Startcom/Startssl von Wosign übernommen?

GwenDragon

GwenDragon

Registered User
Ist Startcom und StartSSL wirklich noch zu trauen?
Es wird ja hier immer wieder empfohlen (ich benutze keines von denen) dies kostenlosen Zertifikate zu nutzen.
Startcom Ltd. ist möglicherweise von Wosign übernommen worden?

Wosign ist chinesische eine Zertifizierungsstelle, die Zertifikate auch kostenlos ausstellt, aber leider nicht durch Vertrauenwürdigkeit aufgefallen ist. So ließen sich Zertifikate für bereits bestehende Domains ausstellen.

Quelle:
https://www.letsphish.org/
https://pierrekim.github.io/blog/2016-02-16-why-i-stopped-using-startssl-because-of-qihoo-360.html
https://beta.companieshouse.gov.uk/company/09744347/officers

Was wisst ihr? Oder ist das nur FUD im Sommerloch?
 
Last edited by a moderator:
GwenDragon said:
Ist Startcom und StartSSL wirklich noch zu trauen?
Click to expand...
Ja, warum auch nicht?

GwenDragon said:
Startcom Ltd. ist möglicherweise von Wosign übernommen worden?
Click to expand...
Nein. Startcom hat lediglich nach UK und CN expandiert und das ist old News.

GwenDragon said:
Wosign ... aber leider nicht durch Vertrauenwürdigkeit aufgefallen ist. So ließen sich Zertifikate für bereits bestehende Domains ausstellen.
Click to expand...
Das war oder ist bei ausnahmslos allen CAs möglich und kein Grund an der Vertrauenswürdigkeit zu zweifeln.

GwenDragon said:
Oder ist das nur FUD im Sommerloch?
Click to expand...
FUD


Und selbst wenn es so wäre, gäbe es aktuell absolut keinen Grund einer anderen CA mehr zu vertrauen.
 
Zu trauen bislang wohl ja, wobei ich persönlich einer israelischen Zertifizierungsstelle nicht mehr oder weniger traue als einer Britischen od. U.S. amerikanischen.
Zuverlässig sind sie allerdings nicht.

Konnte mich schon mehrmals über mehrere Tage hinweg nicht in deren Interface einloggen um Renews zu tätigen.
Da ich aber nur Class 1 benötige bin ich beim letzten Misserfolg letztendlich komplett nach Letsencrypt umgezogen.
 
Ja, das kenne ich auch. StartSSL hatte früher oft Probleme mit dem Interface. Letztendlich hat dann bei privaten Domains Let's Enrcrypt gesiegt.
 
Ich würde mein Geld auch mal gerne auf diese Weise, wie diese Unternehmen es tun, generieren. Muss man seine Seele dafür verkaufen? An wen muss man sich wenden, damit die eigene CA in allen Browsern vertreten ist? Dieses komplette Verfahren ist und bleibt für den Endanwender völlig undurchsichtig. Leider haben wir nicht besseres. Das ist doch sowas von kaputt.
 
ich habe immer gerätselt unter welchen Umständen eine Firma ein in Browsern akkreditierte CA wird.
Das findet vielleicht in Hinterzimmern statt oder mit Geheimverträgen. Wer weiß.
Gegen Intransparenz sind Nutzer eh machtlos. Und eine nachvollziehbarere Kontrolle gibt es nicht.

Warten wir ab, bis die erste Windows-Malware mit Wosign-zertifizierte Treiber einschleust.
 
You must log in or register to reply here.
Back
Top