Problem mit eigenem Zertifikat, Fehlermeldung MOZILLA_PKIX_ERROR_EMPTY_ISSUER_NAME

    Firefox-Version
    136
    Betriebssystem
    Win10Pro

    Liebes Forum,

    ich habe ein Problem, welches nur Firefox betrifft und keinen anderen Browser (der Rest funktioniert ganz normal).
    im Büro wurde ein neuer Server angeschafft und damit gab es auch neue Zertifikate. Seitdem funktioniert die Verschlüsselung in FF (aktueller Stand 136.0) nicht mehr, es gibt Fehlermeldungen. Erst dachte ich, dass es das übliche "FF kennt die Zertifikate nicht"-Problem ist, aber das war zu kurz gedacht.
    Firefox ist so eingestellt, dass er auch den Windows-Zertifikat-Speicher mitnutzt (security.enterprise_roots.enabled auf true), zusätzlich hatte ich nun die Zertifikate (einmal Hauptzertifikat und einmal davon abgeleitet das Zertifikat der Firewall) auch dem FF-Zertifikatsspeicher hinzugefügt. Im Windows-Zertifikatsspeicher sind die Zertifikate als "Vertrauenswürdige Stammzertifizierungsstelle" und als "Zwischenzertifizierungsstelle" eingetragen. Trotzdem gibt es weiterhin eine Fehlermeldung.
    Die ist nun aber interessant, denn FF bemängelt, dass das abgeleitete Firewall-Zertifikat keinen Inhabernamen hat: MOZILLA_PKIX_ERROR_EMPTY_ISSUER_NAME
    Scheint sonst aber keinen anderen Browser (Edge, Chrome) zu interessieren, überall wird sichere Verbindung angezeigt und funktioniert problemlos... kann das sein? Bzw. kann man dem in FF abhelfen, außer dass das Zertifikat neu mit Inhabernamen ausgestellt wird (ob ich den IT-Admin dazu bekomme....?)

    Liebe Grüße

    • Hilfreichste Antwort

    Hallo,

    das ist definitiv ein Zertifikatsfehler. Dieses Feld darf nicht leer sein. Firefox prüft bereits seit bald neun Jahren explizit, dass dieses Feld nicht leer ist:

    1115718 - mozilla::pkix does not verify that the certificate issuer is not an empty distinguished name
    RESOLVED (divergentdave) in Core - Security: PSM. Last updated 2016-08-17.
    bugzilla.mozilla.org

    Es ist auch ausdrücklich so spezifiziert, dass das Feld nicht leer sein darf:

    RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile
    This memo profiles the X.509 v3 certificate and X.509 v2 certificate revocation list (CRL) for use in the Internet. An overview of this approach and model is…
    datatracker.ietf.org

    Browser, die ein solches Zertifikat trotzdem akzeptieren, verletzen die Spezifikation und verhalten sich falsch.

    Ich finde es immer merkwürdig, wenn sich ausgerechnet ein Sicherheits-Produkt (Firewall) nicht an Sicherheits-Standards hält. :/

    diesen Thread auf bugzilla hatte ich auch schon dazu gefunden (quasi das einzige dazu, was man finden kann)

    ja, die Prüfung in den anderen Browsern scheint laxer zu sein. Ob das Zertifikat von der Firewall selbst erzeugt wird oder ihr nur zugewiesen wird, weiss ich leider nicht. Hat sich inzwischen auch insoweit erledigt, dass ich den Admin dazu bewegen konnte, das Firewall-Zertifikat neu zu erzeugen (diesmal mit Inhabername) und ich schreibe hier schon wieder mit meinem favorisiertem Browser :)

  • seal1978 10. März 2025 um 10:43

    Hat einen Beitrag als hilfreichste Antwort ausgewählt.