Nein, ab 2021 müsst ihr euch wegen Sicherheitszertifikaten keine neuen Android-Phones kaufen

Vor ein paar Tagen hat eine Nachricht die Runde gemacht, dass Lets Encrypt (LE) – einer der größten Sicherheitszertifikate-Entwickler ab Januar 2021 den Support für ältere Android-Versionen einstellen wird.

Darüber informiert hat Lets Encrypt in einem Blog-Beitrag. Über die Tage hat sich die News in allen einschlägigen Blogs und Nachrichtenportalen verbreitet. An mir persönlich ist die Nachricht erst vorbeigegangen. Dafür ist mir beim Lesen aufgefallen, dass die meisten Medien empfehlen, nun endlich auf ein Gerät upgraden, das eine neuere Version von Android unterstützt. Das ist aber überhaupt nicht der Fall.

In aller Kürze, wird Let’s Encrypt eine Parnetschaft mit IdenTrust beenden. Ihr Sicherheitszertifikat “DST Root X3” hat bisher LE’s eigenem Sicherheitszertifikat “ISRG Root X1” ein Cross-Signing erlaubt. Im Grunde wäre es kein Problem dieses Cross-Signing weiterhin durchzuführen. Allerdings führt LE aus, dass sie dann für Fehler und Probleme mitverantwortlich gemacht werden könnten. Aus dieser Perspektive ist es besser, ein Sicherheitszertifikat völlig alleinstehend funktionieren zu lassen – weshalb der Blogbeitrag auch “Standing on our own feet” (Auf unseren eigenen Beinen stehen) heißt.

LE führt dann auch aus, was ihr tun könnt, um dieses Zertifikatsproblem zu umgehen. Als Nutzer von älteren Android-Versionen könntet ihr zum Beispiel auf Firefox umsteigen. Dieser Browser hat ein eigenes Depot an Zertifikaten, worin sich alle aktuellen Zertfikate befinden. Allerdings löst dies das Problem nur für euren Browser. Einige Apps werden davon nicht abgedeckt.

Was von LE und vielen unserer Kollegen aber nicht erwähnt oder im Fall von LE verschwiegen wird, ist, dass ihr die Zertifikate mit relativ wenig Aufwand selbst installieren könnt.

Meines Wissens nach ist es in allen Android-Versionen (außer vielleicht den ersten beiden) möglich, eigenständig Sicherheitszertifikate zu installieren. Das Sicherheitszertifikat könnt ihr bei Let’s Encrypt selbst herunterladen. Ihr müsst dieses dann auf eine SD-Karte oder einen mit eurem Smartphone kompatiblen Stick ziehen. Hier erfahrt ihr, wie das geht.

Ich kann das leider gerade nur auf Android 9 reproduzieren, aber bei älteren Versionen dürfte der Pfad nicht völlig anders sein. In Android 9 findet sich die entsprechende Option unter [Einstellungen] → [Sicherheit und Datenschutz] → [Zusätzliche Einstellungen] → [Verschlüsselung und Anmeldedaten] → [Von Speicher installieren].

Bei älteren Android-Versionen könnte das auch unter [Erweiterte Einstellungen] oder [Sicherheitseinstellungen] (oder so ähnlich) zu finden sein.

Es verwundert mich nicht, dass viele Kollegen diese Option nicht kennen oder nicht daran gedacht haben. Aber dass Lets Encrypt selbst nicht auf diese Alternative kommt, ist für mich ein kleiner Skandal. Ihre indirekte Empfehlung, sich ein neueres Android-Gerät zu holen, wird in vielen Medien wiederholt. Aber gerade LE sollte wissen, dass sich Zertifikate manuell installieren lassen. Ich bin oft sehr zurückhaltend, Herstellern Soll-Bruchstellen oder geplante Obsoleszenz vorzuwerfen, aber dieser Fall ist zumindest merkwürdig.