Mobile-Menu

Neuer Zertifikatstyp sichert Infrastruktur-Dienste ab Let’s Encrypt gibt Startschuss für IP-Zertifikate

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

ALE Deutschland GmbH
Aagon GmbH
Vogel IT-Medien GmbH

IP-Adressen lassen sich seit jeher in X.509-Zertifikaten referenzieren, doch fehlende Automatisierung, begrenzte Nachfrage und komplexe Besitzverhältnisse verhinderten eine breite Umsetzung. Das soll sich jetzt ändern.

Kurzlebige IP-Zertifikate erweitern den Einsatzbereich über klassische Domain-Zertifikate hinaus.(Bild: © ipuwadol - stock.adobe.com)
Kurzlebige IP-Zertifikate erweitern den Einsatzbereich über klassische Domain-Zertifikate hinaus.
(Bild: © ipuwadol - stock.adobe.com)

Let’s Encrypt bietet jetzt öffentliche Zertifikate für IP-Adressen. Der Schritt markiert einen Paradigmenwechsel in der Ausrichtung der CA, die sich bislang ausschließlich auf Domain-Validierung konzentriert hatte. Ab sofort beginnt eine schrittweise Einführung dieses neuen Zertifikatstyps, mit technischen Einschränkungen und klar umrissenen Einsatzszenarien.

Die technische Möglichkeit zur Ausstellung von IP-basierten X.509-Zertifikaten besteht seit Jahren, wurde jedoch nur von wenigen CAs tatsächlich genutzt. Denn anders als Domains gelten IP-Adressen im Internet als volatile Identifikatoren ohne langfristige Bindung. Ihre Eigentumsverhältnisse sind schwächer nachweisbar, sie können ohne Vorwarnung neu vergeben werden und lassen sich schwerer in eine persistente Vertrauenskette einbinden. Genau das war auch der Hauptgrund, warum Let’s Encrypt sich bislang aus diesem Segment herausgehalten hatte.

IP-Zertifikate ab sofort verfügbar

Nun aber ändert sich die Lage. Bereits im Januar angekündigt, werden IP-Zertifikate ab sofort ausgestellt, zunächst nur im Staging-System. Die Bedingungen dafür sind klar: Zertifikate für IP-Adressen dürfen ausschließlich als sogenannte short-lived certs mit einer Gültigkeit von rund sechs Tagen ausgestellt werden.

Zugelassen sind ausschließlich die Challenge-Methoden http-01 und tls-alpn-01, die DNS-Variante bleibt ausgeschlossen. Zudem muss der ACME-Client das Draft-Profil „acme-profile:short-lived“ unterstützen, sonst verweigert der Server die Ausstellung.

Bei Let's Encrypt lassen sich jetzt auch IP-basierte Zertifikate abrufen.(Bild: Joos - Let's Encrypt)
Bei Let's Encrypt lassen sich jetzt auch IP-basierte Zertifikate abrufen.
(Bild: Joos - Let's Encrypt)

Ein Großteil der Let’s-Encrypt-Nutzer wird weiterhin mit Domain-Zertifikaten auskommen. Die neuen IP-Zertifikate richten sich gezielt an Infrastrukturdienste mit besonderen Anforderungen, darunter Anbieter von DNS-over-HTTPS-Services, Edge-Gateways, IoT-Instanzen oder auch ephemeral Cloud-Komponenten, deren Domainbindung entweder nicht vorhanden oder operativ hinderlich ist. Für viele Provider könnten IP-Zertifikate außerdem ein Fallback sein, zum Beispiel um Fehlermeldungen zu vermeiden, wenn ein Nutzer eine öffentliche IP-Adresse im Browser aufruft, ohne Hostname.

Ausdrücklich warnt Let’s Encrypt vor dem Einsatz in dynamischen Heimnetzen. Denn wer über einen privaten Anschluss eine NAS per HTTPS absichern will, muss mit wechselnden IP-Adressen rechnen, was nicht nur die Gültigkeit des Zertifikats infrage stellt, sondern auch zu potenziellen Sicherheitsproblemen führt, sobald eine vergebene IP weitergereicht wird.

ACME-Clients sind bereit für IP-Zertifikate

Die technische Infrastruktur von Let’s Encrypt scheint für den Rollout vorbereitet. Erste ACME-Clients haben bereits Kompatibilität signalisiert, wobei je nach Implementierung kleinere Anpassungen nötig werden. Die Anforderungen unterscheiden sich grundlegend von klassischen Domain-Zertifikaten, nicht nur in Bezug auf die Validierungsmethoden, sondern auch bei den Profilvorgaben und dem Management der Zertifikatslaufzeiten.

(ID:50536102)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte