Warnung anzeigen, wenn die Zertifikatadresse nicht übereinstimmt
Diese Internet-Explorer-Richtlinie erzwingt eine Sicherheitswarnung, wenn eine HTTPS-Website ein Zertifikat vorlegt, dessen Identität nicht mit der aufgerufenen Websiteadresse übereinstimmt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\WarnOnBadCertRecvingHKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\WarnOnBadCertRecving
Diese Internet-Explorer-Richtlinie erzwingt eine Sicherheitswarnung, wenn eine HTTPS-Website ein Zertifikat vorlegt, dessen Identität nicht mit der aufgerufenen Websiteadresse übereinstimmt. Dies ist beispielsweise der Fall, wenn der angeforderte Hostname nicht durch den Namen oder einen alternativen Antragstellernamen des Zertifikats abgedeckt ist.
Bei aktivierter Richtlinie wird die Warnung immer angezeigt. Ist die Richtlinie deaktiviert oder nicht konfiguriert, kann der Benutzer selbst festlegen, ob Internet Explorer vor solchen Zertifikatadressenkonflikten warnt.
Hinweise
Sicherheit
Die Warnung macht darauf aufmerksam, dass die Identität des angesprochenen HTTPS-Endpunkts nicht zum vorgelegten Zertifikat passt. Ein solcher Konflikt kann durch eine fehlerhafte Serverkonfiguration entstehen, aber auch auf eine Umleitung, einen Spoofingversuch oder einen Man-in-the-Middle-Angriff hindeuten.
Die Einstellung erzwingt nur die Anzeige der Warnung. Sie verhindert nicht, dass ein Benutzer den Zertifikatfehler ignoriert und den Aufruf fortsetzt. Dafür ist die separate Richtlinie Ignorieren von Zertifikatfehlern verhindern zuständig.
Mögliche Nebenwirkungen
Websites mit fehlerhaft ausgestellten Zertifikaten oder internen Aliasnamen, die nicht im Zertifikat enthalten sind, lösen die Warnung ebenfalls aus. Die Richtlinie behebt den zugrunde liegenden Namenskonflikt nicht und kann deshalb bei solchen Websites wiederkehrende Warnungen verursachen.
Hinweise
Die Richtlinie bezieht sich ausschließlich auf Adress- beziehungsweise Namenskonflikte bei Zertifikaten. Sie ändert weder die Vertrauenskette noch die Gültigkeitsdauer oder den Sperrstatus eines Zertifikats.
Microsoft dokumentiert WarnOnBadCertRecving als ADMX-gestützte Internet-Explorer-Einstellung für die Computer- und Benutzerkonfiguration. Der Eintrag unter HKLM gehört zum computerbezogenen, der Eintrag unter HKCU zum benutzerbezogenen Geltungsbereich. Aus dieser Dokumentation lässt sich keine entsprechende Wirkung in anderen Browsern ableiten.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – InternetExplorer – AllowCertificateAddressMismatchWarning
Microsoft Learn: Richtlinien-CSP – InternetExplorer – PreventIgnoringCertificateErrors