{"id":32219,"date":"2026-10-30T17:55:29","date_gmt":"2026-10-30T16:55:29","guid":{"rendered":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/?p=32219"},"modified":"2026-10-30T17:58:13","modified_gmt":"2026-10-30T16:58:13","slug":"probleme-mit-zertifikaten-und-https-deep-inspection-nach-firmware-update","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2026\/10\/probleme-mit-zertifikaten-und-https-deep-inspection-nach-firmware-update\/","title":{"rendered":"Probleme mit Zertifikaten und HTTPS Deep Inspection nach Firmware Update"},"content":{"rendered":"

Mit dem letzten Firmware Update Release v2026.4 \/ v12.12.4 \/ v12.5.22 vom 28. Oktober wurden von WatchGuard mehrere sicherheitsrelevante Schwachstellen geschlossen! Nach dem Firmware Update haben wir von vereinzelten Kunden Support-Anfragen erhalten, mit der Meldung, dass die HTTPS Content Inspection \/ Deep Inspection nicht mehr funktioniert!<\/p>\n

Der Fehler deutete auf ein m\u00f6gliches Problem mit Zertifikaten hin. Dies best\u00e4tigte uns WatchGuard jetzt in einem Case.<\/p>\n

Im neuen Firmware Release 2026.4 wurden die zugrundeliegenden Krypto-Bibliotheken aktualisiert. Das betrifft typischerweise die HTTPS Deep Inspection, wenn als Proxy Authority noch ein \u00e4lteres Zertifikat mit z.B. 1024 Bit Schl\u00fcssell\u00e4nge verwendet wird.<\/p>\n

Dies kann auch die Kommunikation zu einem internen Server betreffen bei dem das Proxy Server Zertifikat zum Einsatz kommt.<\/p>\n

Anzeige im Traffic Monitor der Firewall:<\/strong><\/p>\n

\"\"<\/p>\n

Im Traffic Log sind folgende Meldungen auff\u00e4llig:<\/p>\n

Connection closing on SSL Accept failure<\/p>\n

{N} Accept SSL Error [ret -1] | SSL err 1 | Details: SSL routines\/ca key too small<\/span>]\n

 <\/p>\n

\u00dcberpr\u00fcfung:<\/strong><\/p>\n

Im WSM-Client -> Firebox System Manger (FSM) unter View – Certificates k\u00f6nnen Sie Ihre Zertifikate \u00fcberpr\u00fcfen.<\/p>\n

Hier w\u00e4hlen Sie das Proxy Authority Zertifikat aus und pr\u00fcfen Sie auch das Proxy Server Zertifikat.<\/p>\n

\"\"<\/p>\n

L\u00f6sung<\/strong>: Das Zertifikat f\u00fcr die Proxy Authority muss mit einer Schl\u00fcssell\u00e4nge<\/strong> von mindestens 2048 Bit<\/strong> neu ausgestellt (re-issued) bzw. neu generiert werden und anschlie\u00dfen auf den Client-Rechnern verteilt werden.<\/p>\n

In den genannten F\u00e4llen hatten die Kunden jeweils eine eigene PKI- (Zertifikatsinfrastruktur) mit selbsterstelltem Zertifikat und einer Schl\u00fcssell\u00e4nge von 1024 Bit verwendet.<\/p>\n

Hinweis: Ob die Firmware Releases 12.12.4 und 12.5.22 auch betroffen sind ist zum jetzigen Zeitpunkt noch nicht klar. Sobald uns hier neue Informationen vorliegen, werden diese hier im Artikel ver\u00f6ffentlicht.<\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n

 <\/p>\n