> "Intermediate certificate has an insecure signature. Upgrade to SHA2 as soon as possible to avoid browser warnings." > Ist mit meinem SSL-Zertifikat bei meinem Provider etwas nicht in Ordnung? Mit deinem Zertifikat ist alles in Ordnung. Im Abschnitt Additional Certificates kannst du sehen, dass dein Server außer deinem auch noch zwei weitere Zertifikate liefert, nämlich jenes, mit dem dein Zertifikat signiert wurde, GeoTrust DV SSL CA - G3, und das Wurzelzertifikat GeoTrust Global CA, welches wiederum vorgenanntes signiert. Die Warnung bezieht sich auf das Wurzelzertifikat. Das Geotrust-Wurzelzertifikat benutzt das unsichere SHA1, was aber mehr Schönheitsfehler denn Problem ist. Browser oder gleich das Betriebssystem haben eine Reihe Wurzelzertifikate üblicherweise in ihren eigenen Dateien vorliegen (SSLLabs nennt das den "Trust Store") – die Prüfsumme und ihre Sicherheit sind da letztlich ziemlich wurscht, entweder vertraut man darauf, dass Browser/Betriebssystem die richtigen, echten Dateien installiert haben oder man tut es eben nicht. Tut man es nicht, gibt es auch keine Möglichkeit, die Prüfsumme eines Zertifikats zu überprüfen, denn es könnte außer den Zertifikaten genauso gut auch das Prüfsummenprogramm gefälscht sein. Im Abschnitt Certification Paths findest du den Pfad, den SSLLabs für dein Zertifikat ermittelt hat. Jedes Zertifikat signiert das vorangegangene; auf diese Weise kommt man, bei dir in zwei Schritten, zu einem Wurzelzertifikat. Das Vertrauen in die Echtheit dieses Wurzelzertifikates bestimmt das Vertrauen in die gesamte Kette. Das alte SHA1-Verfahren wird hier und da AFAIK noch genutzt, um auch alten Gerätschaften ein Mindestmaß an Sicherheit bieten zu können. Statt des Pfades, der bei dir aus zwei Zertifikaten mit SHA256 besteht und im SHA1-Wurzelzertifikat endet, werden diese mit SHA1-Zertifikaten bestückt, die in demselben SHA1-Wurzelzertifikat enden. Aber das nur nebenbei. Wenn du genauer hinguckst, wirst du feststellen, dass die Prüfsumme des Geotrust-Wurzelzertifikats aus der Serverliste (Abschnitt Additional Certificates) eine andere ist als die im Zertifikatspfad (Abschnitt Certification Paths). Der Grund ist, dass dein Server eine alte, wenn auch noch nicht abgelaufene Version ausliefert, während SSLLabs sowieso auf das bei sich vorliegende Zertifikat zurückgreift, und zwar in der aktuellen Version. Hätte SSLLabs das Wurzelzertifikat nicht selbst vorliegen, wäre deine Zertifikatskette nicht vertrauenswürdig, denn du kannst ja ein x-beliebiges Wurzelzertifikat liefern – dessen Echtheit kann der Browser nicht überprüfen, weil's schon das Ende der Kette ist. Langer Rede, kurzer Sinn: Die Warnung kannst du ignorieren, aber das alte und sowieso nutzlose, da in seiner Funktion als Ausgangspunkt nicht vertrauenswürdige Wurzelzertifikat sollte dein Server nicht liefern.

> "Intermediate certificate has an insecure signature. Upgrade to SHA2 as soon as possible to avoid browser warnings." > Ist mit meinem SSL-Zertifikat bei meinem Provider etwas nicht in Ordnung? Mit deinem Zertifikat ist alles in Ordnung. Im Abschnitt Additional Certificates kannst du sehen, dass dein Server außer deinem auch noch zwei weitere Zertifikate liefert, nämlich jenes, mit dem dein Zertifikat signiert wurde, GeoTrust DV SSL CA - G3, und das Wurzelzertifikat GeoTrust Global CA, welches wiederum vorgenanntes signiert. Die Warnung bezieht sich auf das Wurzelzertifikat. Das Geotrust-Wurzelzertifikat benutzt das unsichere SHA1, was aber mehr Schönheitsfehler denn Problem ist. Browser oder gleich das Betriebssystem haben eine Reihe Wurzelzertifikate üblicherweise in ihren eigenen Dateien vorliegen (SSLLabs nennt das den "Trust Store") – die Prüfsumme und ihre Sicherheit sind da letztlich ziemlich wurscht, entweder vertraut man darauf, dass Browser/Betriebssystem die richtigen, echten Dateien installiert haben oder man tut es eben nicht. Tut man es nicht, gibt es auch keine Möglichkeit, die Prüfsumme eines Zertifikats zu überprüfen, denn es könnte außer den Zertifikaten genauso gut auch das Prüfsummenprogramm gefälscht sein. Im Abschnitt Certification Paths findest du den Pfad, den SSLLabs für dein Zertifikat ermittelt hat. Jedes Zertifikat signiert das vorangegangene; auf diese Weise kommt man, bei dir in zwei Schritten, zu einem Wurzelzertifikat. Das Vertrauen in die Echtheit dieses Wurzelzertifikates bestimmt das Vertrauen in die gesamte Kette. Das alte SHA1-Verfahren wird hier und da AFAIK noch genutzt, um auch alten Gerätschaften ein Mindestmaß an Sicherheit bieten zu können. Statt des Pfades, der bei dir aus zwei Zertifikaten mit SHA256 besteht und im SHA1-Wurzelzertifikat endet, werden diese mit SHA1-Zertifikaten bestückt, die in demselben SHA1-Wurzelzertifikat enden. Aber das nur nebenbei. Wenn du genauer hinguckst, wirst du feststellen, dass die Prüfsumme des Geotrust-Wurzelzertifikats aus der Serverliste (Abschnitt Additional Certificates) eine andere ist als die im Zertifikatspfad (Abschnitt Certification Paths). Der Grund ist, dass dein Server eine alte, wenn auch noch nicht abgelaufene Version ausliefert, während SSLLabs sowieso auf das bei sich vorliegende Zertifikat zurückgreift, und zwar in der aktuellen Version. Hätte SSLLabs keine eigene Version, wäre deine Zertifikatskette nicht vertrauenswürdig, denn du kannst ja ein x-beliebiges Wurzelzertifikat liefern – dessen Echtheit kann der Browser nicht überprüfen, weil's schon das Ende der Kette ist. Langer Rede, kurzer Sinn: Die Warnung kannst du ignorieren, aber das alte und sowieso nutzlose, da in seiner Funktion als Ausgangspunkt nicht vertrauenswürdige Wurzelzertifikat sollte dein Server nicht liefern.