Ab 2027 greift eine weitreichende Branchenänderung für TLS-Zertifikate: Öffentlich vertrauenswürdige Zertifikate dürfen künftig ausschliesslich zur Server-Authentifizierung genutzt werden. Die Eigenschaft zur Client-Authentifizierung (Extended Key Usage: clientAuth) entfällt.
Wer aktuell öffentliche Zertifikate für Mutual Authentication (mTLS) einsetzt, muss seine Infrastruktur anpassen. Spätestens bei der Zertifikatserneuerung nach dem 15. März 2027 werden Verbindungen fehlschlagen, da Gateways das fehlende clientAuth-Attribut ablehnen.
Auswirkungen auf Lösungen aus dem BOLL-Portfolio
Betroffene Systeme
Betroffen sind nur Konfigurationen, in denen sich Client-Systeme mit öffentlich signierten Zertifikaten an einem anderen System authentifizieren.
In den allermeisten Fällen kommt dies nur bei Computer-zu-Computer Kommunikation vor. Beispielsweise API Abfragen oder Datensynchronisation zwischen Hosting Systemen. Bereits heute sind aber der Grossteil dieser Setups mit privaten PKI’s realisiert.
Fortinet (FortiGate), Palo Alto & WatchGuard: Handlungsbedarf
Die Änderung betrifft primär Firewalls und Network Access Control (NAC) Lösungen. Werden heute öffentliche TLS-Zertifikate auf Endgeräten (Laptops, Smartphones) installiert, um sich gegenüber der Firewall als Client auszuweisen, droht ein Ausfall. Typische betroffene Anwendungsfälle sind:
- Client-Authentifizierung im SSL-VPN oder IPsec-VPN
- Netzwerkzugangskontrolle via 802.1X (WLAN oder Switch-Ports)
SEPPmail: Entwarnung
Secure E-Mail Gateways sind praktisch nicht betroffen. Personengebundene S/MIME-Zertifikate zur E-Mail-Verschlüsselung unterliegen anderen Richtlinien und bleiben unverändert. Diese Zertifikate können nicht zur Authentifizierung verwendet werden. Auch die API-Verbindung zur SwissSign MPKI funktioniert weiterhin wie gewohnt, da diese mit einem privaten (nicht öffentlichen) Zertifikat arbeitet.
Die Lösung: Wechsel auf Private PKI
Für die Authentifizierung von Maschinen, Geräten und VPN-Clients darf künftig nur noch eine Private PKI verwendet werden. Unternehmen müssen betroffene mTLS-Verbindungen rechtzeitig migrieren.
Als private Vertrauensinstanz eignen sich:
- Integrierte lokale CAs (z.B. direkt auf der FortiGate)
- Interne Zertifizierungsstellen (wie Microsoft Enterprise CA oder FortiAuthenticator)
- Spezialisierte Managed Private-PKI-Dienste (z.B. von SwissSign)
Weitere Infos
SwissSign: https://www.swisssign.com/blog/mutual-authentication.html
Digicert: https://www.digicert.com/blog/do-you-use-public-tls-certificates-for-mtls & https://knowledge.digicert.com/alerts/sunsetting-client-authentication-eku-from-digicert-public-tls-certificates
