Vorteile kurzlebiger SSL-Zertifikate

Eine gute Sicherheitspraxis schreibt vor Schlüssel regelmäßig zu ändern, normalerweise einmal im Jahr. Will man das Risiko weiter begrenzen, ersetzt man Zertifikate und die zugrunde liegenden Schlüssel häufiger. GlobalSign bemüht sich, seinen Kunden individuelle Sicherheitslösungen zu bieten. Ein typisches Beispiel ist Sandstorm.io, die kurzlebige Wildcard SSL-Zertifikate für ihre Kunden einsetzen. GlobalSign arbeitet mit Sandstorm zusammen, um Zertifikate mit einer flexiblen Gültigkeitsdauer bereitzustellen, APIs automatisiert auszustellen und einen entsprechenden Lizenzierungsansatz anzubieten. Dadurch wird eine kostengünstige Lösung möglich, um auch bei einem ständig wechselnden Nutzerstamm Sicherheit zu gewährleisten. Für Sandstorm war eine Zertifizierungsstelle wichtig, die ihren Kunden individuelle und spezialisierte Lösungen ermöglicht.

Sandstorm ist eine Open Source Serversoftware, die die Installation von Webanwendungen vereinfacht. Um das Problem der DNS-Einrichtung zu lösen, brachte Sandstorm Sandcats.io an den Start. Sandcats.io ist ein kostenloser DNS-Dienst, der 120 Sekunden benötigt, um einen leeren virtuellen Linux-Rechner in einen funktionierenden Personal Server mit DNS-Namen und HTTPS zu verwandeln. Der DNS-Dienst läuft auf dem sandcats.io Server, während der "Personal Server" auf jedem einzelnen Computer des Kunden läuft.

Jeder Sandstorm-Nutzer benötigt ein SSL-Zertifikat, um seine Daten zu schützen. Dafür entwickelte Sandstorm in Zusammenarbeit mit GlobalSign eine Methode, mit der jeder seiner Nutzer sich in drei einfachen Schritten über HTTPS absichern kann.

Jeder Kunde von Sandstorm erhält seine eigene einzigartige Subdomain unter sandcats.io, wie etwa beispiel.sandcats.io. Die Sandstorm-Software verwendet eine einmalige Host-Namenskonvention: Sie nutzt einen einzigartigen, zufälligen, kurzlebigen Hostnamen für jede Sitzung jeder Instanz jeder Anwendung. Ein Kunde von Sandstorm.io kann einen Hostnamen wie beispiel.sandcats.io nutzen, um sein Sandstorm-Dashboard zu sehen, und jede Anwendung, die er sieht, hat einen Hostnamen wie qr17502o9sns24475689p33940919141. beispiel.sandcats.io. Das Erstellen und Verwenden von dynamisch generierten Hostnamen für jede Sitzung verbessert die Sicherheit, denn die Methode hilft XSRF-, reflektierte XSS- und Clickjacking-Angriffe zu verhindern.

Im Allgemeinen erfordern diese Angriffe nämlich bekannte Hostnamen. Diese automatisch generierten Hostnamen sind schwer zu erraten und existieren nur für kurze Zeit, was die Anwendungen viel weniger anfällig macht. Um diesen Sicherheitsvorsprung zu erhalten, ist es von zentraler Bedeutung, dass die Hostnamen geheim bleiben.

Da das TLS-Protokoll verlangt, dass der Hostname im SSL-Zertifikat vorhanden ist, war es nicht möglich, herkömmliche TLS-Zertifikate für Sandstorm-Kunden auszustellen. Geeignet waren nur Wildcard SSL-Zertifikate im Format *.beispiel.sandcats.io. [bl]