Das GPKI-Root-Zertifikat wurde hauptsächlich von der Regierung genutzt, um Zertifikate für die Domains verschiedener staatlicher und öffentlicher Websites auszustellen, darunter die TLD .go.kr. (Wichtig: Vergangenheitsform — derzeit beziehen Regierungsseiten ihre Zertifikate jeweils von anderen Anbietern und bieten ihre HTTPS-Dienste darüber an.)
Anders als andere Browser verfügt Firefox über eine eigene Liste von Root-Zertifikaten und folgt bei TLS-Verbindungen nicht dem Zertifikatsspeicher des Betriebssystems. Unter Windows ist das GPKI-Zertifikat beispielsweise vorinstalliert, Firefox liest es jedoch nicht ein. (Allerdings lässt sich das heute auf der Einstellungsseite about:config im Sicherheits-Tab per einfachem Kontrollkästchen leicht so ändern, dass es übernommen wird.)
Ein typischer Grund für die Ablehnung der Aufnahme des GPKI-Root-Zertifikats ist, dass in der Vergangenheit bekannt wurde, dass die Regierung extrem breit gefasste Zertifikate wie *.or.kr, *.ac.kr usw. ausgestellt hat.
Allerdings wird der Aufnahmeversuch nicht allein wegen dieses einen Falls nahezu unbegrenzter Ausstellung blockiert. Die Mozilla-Seite verlangt strenge Vertrauensprüfungsverfahren, darunter Ergebnisse externer Audits, Verfahren zur Prüfung von Zertifikatssperrlisten (CRL) und Verfahren zur Gültigkeitsprüfung von Zertifikaten (OCSP). Da die Regierung diese Anforderungen nicht immer rechtzeitig vollständig erfüllt hat, wurde die Aufnahme verzögert oder abgelehnt.
Oder selbst wenn dies rechtzeitig geschah, gab es Fälle, in denen das Ergebnis selbst problematisch war, etwa wenn Zertifikate des Innenministeriums und des Bildungsministeriums vom selben Unternehmen auditiert wurden.
Wenn man in Bugzilla nach den Issues sucht, sieht man, dass die Aufnahmeversuche über viele Jahre hinweg fortgesetzt wurden. Ein interessanter Beobachtungspunkt ist dabei, dass sich aufgrund der Rotation zuständiger Beamter und organisatorischer Umbauten der Regierung nach Machtwechseln die Namen der zuständigen Sachbearbeiter und ihrer Behörden je nach Jahr immer wieder ändern.
7 Kommentare
Ich habe meine persönliche Meinung zwar in Bugzilla hinterlassen, aber es scheint noch ein weiter Weg zu sein.
Bei CRL/OCSP müssten verschiedene Dienste jederzeit regelmäßig prüfen können,
aber es gibt offenbar einen Bug, bei dem ausländische IPs erst nach mehreren Verbindungsversuchen eine Verbindung aufbauen können.
Vermutlich liegt das Problem an der Firewall oder dem WAF.
(Wenn man sich die Kommentare anderer ansieht, scheint es bei inländischen IPs ähnlich zu sein..)
Ich habe die früheren Inhalte der Reihe nach komplett durchgelesen, und die Stelle, die das CA-Zertifikat geprüft hat, ist dieselbe wie 2016–2017..
Wenn es damals schon solche Probleme gab, hätte man die Prüfgesellschaft eigentlich längst austauschen sollen, daher irritiert es mich etwas, dass sie unverändert beibehalten wurde..
Trotz verschiedener Bemühungen sieht man in den englischen Dokumenten noch viele kleinere logische Fehler oder Tippfehler,
und auch die Zertifikate selbst müssten angesichts aktualisierter Standards offenbar neu erstellt werden.
(Die CPS-Dokumente scheinen häufig aktualisiert zu werden; wenn man in diesem Maß Updates macht, sollte man meiner Meinung nach auch die Zertifikate neu erstellen können.)
Auch die zuständigen Beamten haben vermutlich sehr viel Arbeit,
aber da in der Vergangenheit bereits einmal ein Fehler gemacht wurde, lässt sich Kritik wohl kaum vermeiden.
Es heißt zwar, dass jährlich regelkonform Audits durchgeführt werden, aber die WebTrust-Zertifizierungsseite steht offenbar noch auf dem Stand von 2023.
Es ist fraglich, ob die Audits 2024 und 2025 ordnungsgemäß durchgeführt wurden.
https://www.gpki.go.kr/pds/WebTrustAction.action
Beim CPS-Dokument ist es ähnlich, etwa mit Klauseln, nach denen es jederzeit häufig geändert werden kann,
oder mit Formulierungen, dass man aufgrund der Einhaltung der Gesetze laut Dokument keine Verantwortung trägt.
Es gibt ziemlich viele unklare Punkte, sodass die Vertrauenswürdigkeit selbst dann leidet, wenn man die früheren Vorfälle komplett ausblendet.
Es gibt ohnehin keine Pläne, auf externen öffentlichen Websites eigene Zertifikate einzubinden.
Das ist schlicht nicht zu stemmen.
Das Problem ist nur, dass dadurch unbeabsichtigt die Abhängigkeit von Chrome enorm steigt.
Im internen Netzwerk ist es letztlich dasselbe, weil externe Zertifikate dort ohnehin auch nicht verifiziert werden.
Warum sind die bloß so dumm? (x)
Die werden doch nicht dumm sein, also warum verhalten sie sich so? (o)
Wenn man nur anhand von Bruchstücken sagt, wie dumm oder blöd die seien,
dann ist das entweder jemand, der im echten Leben noch nie einem Wolf im Schafspelz begegnet ist und dafür eine Lektion erteilt bekommen hat, oder jemand, der einfach Glück hatte und noch nie so jemandem begegnet ist.
Solche Äußerungen sollten Sie nicht leichtfertig machen.
Es liegt nicht daran, dass es keine klugen Leute gibt, sondern daran, dass die Organisation ihnen die Leine eng zieht. Wenn nicht nur ein oder zwei Personen, sondern Zehntausende oder Hunderttausende immer wieder dasselbe Problem wiederholen, dann ist das kein individuelles Problem, sondern ein Problem des Systems.
Dann sind Sie wohl so schlau, dass Sie nicht einmal Beamter werden müssten.