Seite 1 von 2

SSL Zertifikat von 1und1 nicht mehr sicher im Chrome Browser

Verfasst: 24.11.2014, 11:09
von Keks
Hallo,

seit letzten Freitag gab es scheinbar eine Update für den Google Chrome, seit dem zeigt dieser in der URL Leiste bei SSL verschlüsselten Kundenseiten von 1und1 Kunden nur noch ein gelbes Schloss an.


Auch Sistrix ist scheinbar davon betroffen https://next.sistrix.de/

Das ist natürlich sehr ärgerlich, da gerade im Bestellprozess, wo man den User Vertrauen schenken will mit einer einer verschlüsselten SSL Verbindung (grünes Schloss) nun Gefahr läuft, dass der User verunsichert ist und im schlimmsten Fall den Bestellprozess abbricht.


Auch wird ja SSL seit einiger Zeit als SEO Faktor diskutiert, auch hier wäre dann zu hinterfragen, wenn Google im Chrome die SSL Zertifikate von 1und1 bzw. dem Dienstleister GeoTrust als nicht "ganz sicher" ansieht, ob das sich irgendwie auf das Ranking der DOmain auswirken würde, wenn die Domain komplett auf SSL umgestellt ist.

Leider gibt es bei 1und1 in den Wehosting Paketen und den manged Server nur die Möglichkeit das Standardzertifikat von 1und1 bzw. GeoTRust zu nutzen.

Und jetzt bitte keine Diskussion darüber, dass Root Server eh viel besser zu adminstrieren sind, das ist schon klar, nur für viele Kunden leider keine Alternative.

Wie schätzt Ihr das ein . hier müsste doch eigentlich 1und1 und GeoTrust eine Lösung für schaffen, schließlich bezahlt man ja auch für das Zertifikat bei 1und1.

mfG
Keks

Verfasst:
von

Verfasst: 24.11.2014, 11:50
von elmex
Frag halt bei dem total perfekten 1und1 Support nach, wie sie gedenken, dieses Problem zu beheben! Einfach auf stur stellen, du hast gezahlt, aber das gelieferte Zertifikat funktioniert nicht wie gewünscht...

Verfasst: 24.11.2014, 12:37
von Beloe007
https://www.1und1.de/ ist grün und verwendet dem Anschein nach ein ähnliches Zertifikat.

Sicher das es daran liegt?

Ich würde zunächst mal eine leere Seite erstellen, ohne CSS/Javascript/SVG/Favicon usw... und schauen ob es wirklich am Zertifikat liegt.
Also wirklich nur ein Grundgerüst, wenn es dann immer noch gelb ist, weißt du das es am Zertifikat liegt.

Ich hatte z.B. mal ein SVG, das intern noch ein anderes Bild geladen hat, das kein SSL war und deshalb eine Warnmeldung gab, aber nirgendwo zu erkennen war.

Verfasst: 24.11.2014, 12:40
von chris21
@Keks:

es liegt daran, dass noch überall SHA-1 als Signaturverschlüsselung der Zertifikate verwendet wird. Google prescht da mit Chrome mal wieder vor.

Hier findet sich mehr an Informationen:

https://googleonlinesecurity.blogspot.c ... sha-1.html

Demnach sollte das Warndreieck auftauchen, wenn noch SHA-1 verwendet wird auf einem Zertifikat, welches bis nach dem 1.1.2017 gültig ist, wie u.a. bei next.sistrix der Fall.

Bei 1und1 werden die Zertifikate m.W. gleich für 5 Jahre ausgestellt, wodurch das gleiche Problem auftauchen sollte und ab 2015 (Chrome 40) die Verbindung nicht mehr als sicher angezeigt wird.

Insgesamt etwas übereifrig, da man leider auch nicht so einfach auf SHA-2 umsteigen kann, weil einige andere Systeme damit noch nicht klarkommen...

Verfasst: 24.11.2014, 14:34
von Keks
Hallo,

danke für das schnelle Feedback und die Meinungen dazu.

@Beloe007
ja, habe ich auch schon getestet, aber ohne Erfolg.

Bis Donnerstag waren halt diverse Projekte noch "grün" in der URL, jetzt halt gelb.

Naja, werde mal den 1und1 Support davon in Kenntnis setzen, ich vermute die Probleme bzw. die Nachfragen werden in den nächsten Wochen dazu bei 1und1 noch steigen.

mfG
Keks

Verfasst:
von

Verfasst: 24.11.2014, 17:32
von Ayleen
Na klasse, ich habe erst letzte Woche bei 1&1 ein SSL-Zertifikat für eine Kundin geordert und wir führen extra einen Providerwechsel der entsprechenden Domain von United-Domains zu 1&1 durch ...

Verfasst: 24.11.2014, 18:29
von Keks
jo, genau das Problem kenne ich auch, mehrfach leider :(

Verfasst: 25.11.2014, 12:39
von Vegas
chris21 hat geschrieben:Insgesamt etwas übereifrig, da man leider auch nicht so einfach auf SHA-2 umsteigen kann, weil einige andere Systeme damit noch nicht klarkommen...
Ja, wobei es SHA-2 nicht erst seit gestern gibt und die Schwächen von SHA-1 lange bekannt sind. Gerade große Anbieter im Massengeschäft, wie 1&1, haben eine konssequente Umstellung wohl aus Kostengründen lange vor sich her geschoben. Es ist schon seit 2013 bekannt gewesen, daß SHA-1 bei allen großen Browserherstellern langfristig aufs Abstellgleis fährt.

Verfasst: 25.11.2014, 17:43
von Ayleen
Eben mit 1&1 telefoniert. Die wissen natürlich nichts davon und die Anzeige liegt bestimmt an fehlerhaften Einstellungen des Webmasters :Fade-color

Geotrust hat in den FAQ´s was zu dem Thema:
https://knowledge.geotrust.com/support/ ... cale=en_US

Jetzt müsste ich nur wissen ob damit die Zertifikate für einzelne Webseiten oder für 1&1 Global gemeint ist.

Verfasst: 25.11.2014, 18:23
von Keks
Jetzt müsste ich nur wissen ob damit die Zertifikate für einzelne Webseiten oder für 1&1 Global gemeint ist.
Hallo Ayleen,

danke für Dein Feedback - allerdings verstehe die Frage nicht ganz.

Also ich kann Dir diverse Domains aus unterschiedlichen Kundenaccounts nennen, die das SSL Zertifikat von 1und1 nutzen und wo das Symbol jetzt gelb ist.

Aber was du mit 1&1 Global meinst ist mir nicht ganz klar, konnte über GOogle auch nichts passendes finden :oops:

mfG
Keks

Verfasst: 25.11.2014, 19:48
von chris21
Jetzt müsste ich nur wissen ob damit die Zertifikate für einzelne Webseiten oder für 1&1 Global gemeint ist.
1&1 Global: nein (wenn damit gemeint ist: alle Zertifikate bei 1&1). Es sind aber alle Zertifikate betroffen, die noch mind. bis zum 1.1.2017 gültig sind und zugleich noch den SHA-1 verwenden.

D.h.: Zertifikate, die vor dem 1.1.2017 ablaufen, sind nicht betroffen. Zertifikate, die SHA-2 verwenden, auch nicht.

Verfasst: 25.11.2014, 21:57
von e-fee
Ayleen hat geschrieben:Eben mit 1&1 telefoniert. Die wissen natürlich nichts davon und die Anzeige liegt bestimmt an fehlerhaften Einstellungen des Webmasters :Fade-color
Die Hotline von 1&1 zeichnet sich dadurch aus, dass die angelernten Hansel dort am Hörer keinen blassen Schimmer von der Technik haben, aber in gar keinem Fall 1&1 selbst an irgendwas schuld ist. :roll:

Verfasst: 25.11.2014, 22:11
von Ayleen
Keks hat geschrieben:
Jetzt müsste ich nur wissen ob damit die Zertifikate für einzelne Webseiten oder für 1&1 Global gemeint ist.
danke für Dein Feedback - allerdings verstehe die Frage nicht ganz.
Ich müsste wissen, ob Geotrust an 1&1 -> ein <- Zertifikat verkauft hat, dass für alle 1&1 Kunden gilt, oder ob jeder Kunde immer wieder ein neues einzelnes Zertifikat erhält. Wenn meine Kundin nämlich nun ein neues einzelnes Zertifikat erhält, wird das eine entsprechend lange Laufzeit haben und auf jeden Fall gelb oder rot markiert werden = Unbrauchbar.

Wenn 1&1 Global ein Zertifikat für alle 1&1 Kunden hat, dann werden die es wohl früher oder später updaten/erneuern.

Ich sollte mich dan wohl noch mal 10min in die Warteschleife begeben und nachfragen wann den das neue Zertifikat abläuft...

@chris21
Das befürchte ich auch. Also das es kein globales 1&1 Zertifikat gibt.

Verfasst: 25.11.2014, 22:17
von e-fee
Na gut, aber mit globalen Zertifikaten hast dann eventuell noch ganz ANDERE Probleme bezüglich Fehlermeldungen, wenn die nämlich nicht auf die entsprechende Domain lauten.

Verfasst: 26.11.2014, 02:11
von kanuddel
Ayleen hat geschrieben:Na klasse, ich habe erst letzte Woche bei 1&1 ein SSL-Zertifikat für eine Kundin geordert und wir führen extra einen Providerwechsel der entsprechenden Domain von United-Domains zu 1&1 durch ...
Na das ist der Wechsel von einem Billigprovider mit beschissenem Support der keine Ahnung hat zum nächsten Billigprovider mit beschissenem Support der keine Ahnung hat.
Die Mehrkosten für gutes Hosting sind doch sowas von gering. Keines meiner wichtigen Projekte liegt auf Strato, UD, 1&1 & Co.