OneCRL
OneCRL ist ein zentraler Sperrmechanismus von Mozilla, der ungültig gewordene digitale Zertifikate — also elektronische Ausweise für Webseiten — schnell und zuverlässig blockiert. Browser wie Firefox können damit gefährliche oder fehlerhafte Zertifikate sperren, ohne für jede Überprüfung einen externen Server anfragen zu müssen.
Jede verschlüsselte Webseite besitzt ein digitales Zertifikat — eine Art elektronischen Ausweis, der bestätigt: Diese Seite ist wirklich die, die sie vorgibt zu sein. Solche Zertifikate werden von Organisationen namens Zertifizierungsstellen ausgestellt. Manchmal muss ein Zertifikat aber vor seinem eigentlichen Ablaufdatum für ungültig erklärt werden — etwa weil ein Unternehmen gehackt wurde oder weil die Zertifizierungsstelle einen Fehler gemacht hat. Genau dafür existiert OneCRL: eine zentral gepflegte Liste gesperrter Zertifikate, die Mozilla direkt in den Browser Firefox einspielt. Ruft jemand eine Webseite auf, prüft Firefox zunächst diese Liste und blockiert die Verbindung sofort, wenn das Zertifikat darauf steht.
Das Problem mit gesperrten Zertifikaten
Ohne eine solche Liste wäre der Browser auf andere Wege angewiesen. Der ältere Standardweg heißt OCSP (Online Certificate Status Protocol): Der Browser fragt bei einem externen Server nach, ob ein Zertifikat noch gültig ist — bei jedem einzelnen Seitenaufruf. Das kostet Zeit und funktioniert gar nicht, wenn der Anfrageserver nicht erreichbar ist. Viele Browser ignorierten den Fehler dann stillschweigend und ließen die Verbindung trotzdem zu. Ein gesperrtes Zertifikat blieb so in der Praxis oft wirksam.
OneCRL löst dieses Problem, indem es den Umweg über externe Server abkürzt. Mozilla sammelt die wichtigsten Sperrmeldungen zentral, prüft sie und überträgt die aktualisierte Liste direkt an Firefox. Der Browser entscheidet dann lokal, ohne eine externe Anfrage zu stellen. Das ist schneller, zuverlässiger und funktioniert auch offline. Sicherheitsforscher sprechen deshalb von einem deutlich härteren Schutz gegenüber dem alten OCSP-Verfahren.
Aufbau und Aktualisierung der Sperrliste
OneCRL konzentriert sich auf sogenannte Zwischenzertifikate. Das sind Zertifikate, die selbst keine Webseiten ausweisen, sondern als Mittelstufe zwischen einer großen Stammzertifizierungsstelle und den einzelnen Webseiten-Zertifikaten stehen. Wird ein solches Zwischenzertifikat kompromittiert, sind potenziell tausende Webseiten betroffen. Genau deshalb lohnt es sich, diese Klasse zentral zu überwachen.
Die Liste selbst wird über Mozillas Remote-Settings-Infrastruktur verteilt — ein System, das Firefox regelmäßig im Hintergrund aktualisiert, ohne dass der Nutzer etwas tun muss. Meldet eine Zertifizierungsstelle ein gesperrtes Zertifikat oder entdeckt Mozillas eigenes Sicherheitsteam ein Problem, landet der Eintrag innerhalb weniger Stunden in der Liste. Früher dauerte es Tage, bis ein Browser tatsächlich aufgehört hatte, ein gesperrtes Zertifikat zu akzeptieren.
OneCRL ist dabei kein Ersatz für alle Sperrmechanismen. Für einfache Webseiten-Zertifikate nutzt Firefox ergänzend andere Verfahren, darunter CRLite — ein neueres, speichereffizientes Format, das noch mehr Zertifikate lokal prüfbar macht. OneCRL und CRLite arbeiten nebeneinander und decken gemeinsam einen größeren Bereich ab.
OneCRL in der Praxis und in den News
Bekanntheit erlangte OneCRL unter anderem im Jahr 2015, als Mozilla es als direkte Reaktion auf mehrere Vorfälle einführte, bei denen Zertifizierungsstellen fehlerhafte oder missbräuchliche Zertifikate ausgestellt hatten. Seitdem taucht der Begriff regelmäßig in Sicherheitsberichten auf — immer dann, wenn eine Zertifizierungsstelle in die Kritik gerät und Mozilla schnell reagieren muss.
Für Nutzer bleibt OneCRL unsichtbar. Es gibt keine Einstellung, keinen Button, keinen Hinweis im Browser. Wer dennoch nachschauen möchte, findet die aktuelle Liste öffentlich auf Mozillas Website einsehbar — jeder Eintrag mit Datum, Grund und betroffener Zertifizierungsstelle. Dieses Maß an Transparenz ist selbst ein Sicherheitsmerkmal: Forscher und Journalisten können nachvollziehen, welche Stellen Mozilla nicht mehr vertraut.
Im größeren Bild steht OneCRL für einen Wandel in der Browsersicherheit: weg von trägen, fehleranfälligen Echtzeitabfragen, hin zu lokal gespeicherten, regelmäßig aktualisierten Listen. Dieser Ansatz beeinflusste auch andere Hersteller. Googles Chrome-Browser verfolgt mit CRLSets ein ähnliches Prinzip, das ebenfalls auf einer zentral gepflegten Sperrliste basiert.