Unterwegs mit einem widerrufenen Zertifikat in OSX

Ich möchte vorausschicken, dass dies kein idealer Trick ist und einer, den hoffentlich niemand sonst anwenden muss, da es eine schlechte Idee ist, ein Browser-Feature zu umgehen, das Ihre Sicherheit schützen soll.

Dennoch teste ich gerade ein Produkt und stieß auf eine seltsame Situation, in der unser Team das SSL-Zertifikat, das wir unserem Server zugewiesen hatten, widerrufen musste. Wir werden es ersetzen, aber in der Zwischenzeit muss ich testen und benötige Zugriff auf unseren Staging-Server. Das Warten ist also eine Blockade, denn diese Meldung bringt mich nicht weiter.

Diese Meldung unterscheidet sich von den Warnungen, die Browser für Websites ohne SSL anzeigen. Diese bieten eine integrierte Umgehungsmöglichkeit, indem Sie die Warnung einfach wegklicken. Der Unterschied besteht darin, dass ein widerrufenes Zertifikat darauf hindeutet, dass der private Schlüssel des Zertifikats verloren gegangen oder kompromittiert wurde, was die Sicherheit der Website für Malware, Phishing usw. anfällig macht. Kein gutes Zeichen!

Ich habe mich an Zach Tirrell gewandt und er hat mir geholfen, dieses Problem mit etwas Tüftelei zu umgehen, was unter den richtigen Umständen für andere hilfreich sein könnte.

Eine letzte Anmerkung, bevor wir beginnen: Ich arbeite auf einem Mac. Ich bin mir nicht sicher, welche Schritte für andere Systeme gleichwertig wären, daher können Ihre Ergebnisse abweichen.

Schritt 1: Das Zertifikat anzeigen

Safari zeigt in der Fehlermeldung eine Option an, um das widerrufene Zertifikat anzuzeigen. Klicken Sie darauf, um einen Dialog zu öffnen, der Informationen zu diesem Zertifikat enthält.

Schritt 2: Das Zertifikat auf dem Desktop speichern

Es gibt eine versteckte Benutzeroberfläche im Dialog, die es Ihnen ermöglicht, das Zertifikat zu speichern. Klicken Sie auf das Zertifikatssymbol und ziehen Sie es buchstäblich auf den Desktop.

Schritt 3: Das Zertifikat zum Schlüsselbund (Keychain Access) hinzufügen

OSXs Schlüsselbund-Zugriff ist typischerweise dafür bekannt, die Passwörter eines Benutzers zu speichern, verwaltet aber auch sichere Notizen und SSL-Zertifikate, neben anderen geschützten Systemressourcen. Sie können den Schlüsselbund-Zugriff in Ihren Anwendungen öffnen oder ihn über Spotlight (CMD + Leertaste) suchen.

Navigieren Sie zum Bereich "Zertifikate" und ziehen Sie das Zertifikat hinein. Das Zertifikat ist nun installiert und für den Schlüsselbund-Zugriff erkennbar.

Schritt 4: Dem Zertifikat vertrauen

Doppelklicken Sie auf das Zertifikat, um die Systemeinstellungen für dessen Handhabung zu verwalten. Erweitern Sie das Feld "Vertrauen" und stellen Sie die Option auf "Immer vertrauen" für das Zertifikat ein.

Der Schlüsselbund-Zugriff wird Sie wahrscheinlich auffordern, diese Änderung zu bestätigen, indem Sie Ihr Systempasswort eingeben.

Besuchen Sie die Website erneut

Nachdem das System angewiesen wurde, dem Zertifikat zu vertrauen, besuchen Sie die Website erneut. Sie sollte nun laden, als ob das Zertifikat nicht widerrufen worden wäre. Möglicherweise müssen Sie jedoch den Browser neu starten, um die Auswirkung zu sehen.

Sowohl Safari als auch Chrome lesen Berechtigungen aus dem Schlüsselbund-Zugriff, daher sollten diese Browser mit diesen Schritten gut abgedeckt sein. Firefox hat eine eigene Methode zur Verwaltung dieser Berechtigungen, die Sie über das Menü "Einstellungen > Datenschutzeinstellungen" des Browsers erreichen können.

Zusammenfassend

Ich wiederhole es noch einmal, aber ich hoffe wirklich, dass niemand diesen Trick jemals anwenden muss. Browser integrieren diese Sicherheit aus gutem Grund und die Umgehung ist nicht nur verpönt, sondern geradezu riskant. Die Art von Szenario, in dem dies notwendig wäre, muss ziemlich selten sein, und für diese Fälle hoffe ich, dass dies hilft.