Entrust verkoopt publiekecertificatentak aan Sectigo

Entrust heeft zijn tak voor publieke certificaten verkocht aan Sectigo, een aanbieder van digitale certificaten. Meerdere browsers zegden vorig jaar het vertrouwen in de TLS-certificaten van Entrust op, omdat ze niet aan bepaalde kwaliteitseisen voldeden.

Entrust zegt dat het bedrijf zich door de verkoop meer kan richten op de ontwikkeling van 'innovatieve identiteits-, uitgifte-, en post-quantum-ready cryptografische databeveiligingsoplossingen'. Ondertussen wordt met Sectigo samengewerkt om klanten zo soepel mogelijk over te zetten naar de nieuwe provider.

Entrust kwam afgelopen jaar in opspraak, toen Google Chrome en Mozilla het vertrouwen in de TLS-certificaten van het bedrijf opzegden. Het beveiligingsteam van Chrome stelt dat er een patroon zichtbaar is bij het bedrijf, waaruit blijkt dat er al jaren niet aan bepaalde kwaliteitseisen wordt voldaan. Dat heeft het vertrouwen in de autoriteit geschaad, aldus het team destijds.

Mozilla verwijst naar een eerdere opsomming van problemen, waarbij Entrust te laat reageerde op problemen. Ook beschuldigt Mozilla Entrust ervan dat het bepaalde richtlijnen rondom het uitgeven van certificaten negeert en incidenten niet goed oplost.

Entrust levert naast TLS-certificaten ook andere diensten. Zo levert het systemen voor de uitgifte van fysieke kaarten, zoals ID-kaarten en betaalpassen, heeft het cloudbeveiligingsoplossingen en maakt het hardwaresecuritymodules.

Reacties (13)

[XFlame]

Dat belooft wat. Sinds Xolphin door Sectigo is overgenomen, is de dienstverlening echt dramatisch geworden. Voorheen was er snelle Nederlandse hulp. Tegenwoordig is alles Sectigo. Nu wordt je te woord gestaan door Indiërs die amper Engels kunnen en vaak totaal geen kennis van zaken hebben. Op mail wordt vaak pas na meerdere dagen gereageerd, met een veelal nietszeggend bericht.

Geen idee hoe het bij Entrust was, maar het lijkt me sterk dat er verbetering zal optreden.

[Pizzalucht]

Hier dezelfde ervaring, erg slechte support. Het gaat nu zelfs zo ver dat je rare foutmeldingen krijgt bij het aanvragen van certificaten van andere providers, bijvoorbeeld RapidSSL. Als je vervolgens contact opneemt zeggen ze dat je hun (Sectigo) certificaten moet kopen.

Voor mij in ieder geval genoeg reden om niet meer bij Xolphin af te nemen.

[bh808303]

Klopt deze ervaringen heb ik ook. Je kunt de medewerkers echt niet verstaan, in combinatie met aangescherpte validatie is dat wel hinderlijk.
Moet wel zeggen dat ze wel behulpzaam zijn en ze dan zelf de validatie afronden. Wat op zich wel het doel hiervan teniet doet.

[VDV]

Hier ook deze ervaring. Maar dat is voor heel Sectigo het geval, lijkt het, want ik heb elders ook veel klachten gelezen over de dienstverlening van Sectigo en dochterbedrijven.

Volgens mij heeft Sectigo in korte tijd ook veel van zijn partners opgekocht, onder andere Xolphin, en daarna gelijk het mes er in gestoken om zo veel mogelijk te besparen. Gevalletje enshittification, maar dan nog sneller dan dat gebruikelijk gaat.

[brinkdinges]

Zelfde ervaring hier. Ik probeerde een code signing certificaat te kopen bij Xolphin en hoorde gewoon weken niks. Bellen hielp niet. Na maanden kreeg ik een mailtje of ze me nog verder konden helpen, toen heb ik ze uitgelachen en verteld dat ik al lang bij de concurrent gekocht had.

Nooit meer Xolphin voor mij.

[Yggdrasil]

Jep, ik heb ze sinds Let's Encrypt nog maar sporadisch nodig (wat misschien ook wel de kern van het probleem is). Maar ik mis de Nederlandstalige support.

[The Zep Man]

Als trust anchor (door een trusted root certificate te exploiteren) is het bijzonder belangrijk dat je je zaken op orde hebt en dat je alles eraan doet om alleen al de schijn tegen je te vermijden. Het hele systeem staat en valt met vertrouwen.

[Reactie gewijzigd door The Zep Man op 30 januari 2025 12:33]

[kodak]

Ik mis daarom een verklaring wat de koper nu precies aan vertrouwen heeft overgekocht. En vooral ook waaruit blijkt dat dit betrouwbaar genoeg is om er voor in te staan, terwijl er nogal wat twijfels over de keuzes van de verkoper zijn.

Voor een systeem wat de bedoeling heeft er vertrouwen in te hebben is er weinig transparantie om problemen te voorkomen. Er is vooral transparantie om achteraf gebreken te kunnen herkennen, die men eigenlijk al had moeten voorkomen om betrouwbaar te zijn.

[CAPSLOCK2000]

Ik mis daarom een verklaring wat de koper nu precies aan vertrouwen heeft overgekocht. En vooral ook waaruit blijkt dat dit betrouwbaar genoeg is om er voor in te staan, terwijl er nogal wat twijfels over de keuzes van de verkoper zijn.

Niks. Sectigo heeft dat niet nodig want ze staan zelf bekend als betrouwbare partij.

Voor een systeem wat de bedoeling heeft er vertrouwen in te hebben is er weinig transparantie om problemen te voorkomen. Er is vooral transparantie om achteraf gebreken te kunnen herkennen, die men eigenlijk al had moeten voorkomen om betrouwbaar te zijn.

Ik denk dat Sectigo alleen de klantendatabase heeft overgenomen en dat de klanten van Entrust door de normale procedure van Sectigo heen moeten voor ze nieuwe certificaten krijgen. Daarmee zijn alle problemen rond vertrouwen opgelost.

[autostatic]

Het is inderdaad onduidelijk wat er precies is overgenomen. Er zit een hele tak achter met een eigen infrastructuur. Daarvan zou een deel zijn overgenomen kunnen zijn maar Entrust houdt volgens mij wel vast aan de eigen omgeving die ze hebben om certificaten aan te vragen en te beheren (ECS, Entrust Certificate Services). Klanten van Entrust kunnen nu in ECS kiezen om Sectigo als CA te gebruiken. Eigenlijk is Entrust dus een reseller van Sectigo geworden, wel eentje met een interessant klantenbestand, Entrust heeft vooral enterprise klanten en voor zover ik heb begrepen is dat een nieuwe markt voor Sectigo.

[Aldy]

Soms hebben we het over gebakken lucht en juist in dit geval lijkt mij dat ze niet meer dan een lijst met gebruikers hebben gekocht.

Edit: Ik zie dat @CAPSLOCK2000 dit ook al heeft gemeld.

[Reactie gewijzigd door Aldy op 30 januari 2025 13:18]

[SPee]

Inderdaad.
Zeker als je een Firewall/Proxy oplossing verkoopt die als MITM fungeert en alle certificaten vervangt door een eigen, zou je als klant wel willen dat die 100% betrouwbaar zijn.

[downtime]

Ik heb bij een vorige werkgever met een product van Entrust gewerkt en was al niet onder de indruk toen ik erachter kwam dat ze Log4j versie 1 nog gebruikten toen die al jaren EOL was. Dat verwacht je niet in een security product. Gelukkig ontliepen we daardoor wel de problemen met Log4j versie 2.