Logo von Security

Suche
318

Neuer SSL-Gau: Falsches Google-Zertifikat blieb fünf Wochen unentdeckt

Möglicherweise hat sich die iranische Regierung ein gültiges Zertifikat für Google-Domains erschlichen, um Nutzer von Google Mail zu überwachen. Das Zertifikat wird inzwischen von Google, Microsoft und Mozilla blockiert. Am Wochenende berichtete ein nach eigener Auskunft im Iran lebender Nutzer von Google Mail, dass Google Chrome beim Aufruf der mit SSL gesicherten Site einen Zertifikatsfehler meldete. Offenbar hat eine kürzlich in Chrome eingeführte Sicherheitsfunktion auf das merkwürdige Zertifikat aufmerksam gemacht. Chrome prüft nämlich nicht nur, ob das Zertifikat gültig ist, sondern auch, ob es von der richtigen CA stammt.

Anzeige

Verschiedene Sicherheitsexperten wie Moxie Marlinspike bestätigten, dass das vom holländischen Unternehmen DigiNotar ausgestellte und für alle google.com-Domains (*.google.com) gültige Zertifikat offenbar missbraucht wurde. Ein Pastebin-Eintrag demonstriert die Echtheit. Der Verfasser des Eintrags fordert die "digitale Todesstrafe" für DigiNotar, da durch das unbedachte Vorgehen des Dienstleisters Menschenleben in Gefahr gebracht wurden.

Die Electronic Frontier Foundation schreibt in ihrem Blog, dass das kompromittierte Zertifikat wahrscheinlich von der iranischen Regierung verwendet wurde, um Nutzer von Google Mail zu überwachen. Ausgestellt wurde das betroffene Zertifikat am 10. Juli, also vor gut fünf Wochen. An wen das Wildcard-Zertifikat übergeben wurde, ist allerdings ebenso unbekannt wie die Tatsache, ob noch weitere Zertifikate betroffen sind. Microsoft hat vorsichtshalber das DigiNotar-Root-Zertifikat aus der Microsoft Certificate Trust List in Windows entfernt und so alle Zertifikate von DigiNotar unbrauchbar gemacht.

Verschiedene Softwarehersteller haben inzwischen reagiert: Google wird DigiNotar-Zertifikate aus seinem Browser Chrome entfernen. Ebenso wird die Mozilla Foundation per Update dafür sorgen, dass Firefox, Sea Monkey und Thunderbird den DigiNotar-Zertifikaten nicht mehr vertrauen. Wer nicht auf das Update warten will, findet auf einer Mozilla-Seite Informationen, wie das Zertifikat von Hand gelöscht werden kann. Microsoft hat das Security Advisory 2607712 veröffentlicht. In einem dazu gehörenden Blogbeitrag erklärt das Unternehmen, dass Nutzer der Windows-Versionen ab Windows Vista keine Schritte unternehmen müssen: Das betreffende Zertifikat werde automatisch blockiert.

Für Windows XP und Windows Server 2003 wird es gesonderte Sicherheitsupdates geben, da diese Systeme nicht die zentral verwaltete Microsoft Certificate Trust List verwenden. Der Vorfall ist bereits der zweite seiner Art binnen weniger Monate. Im März wurde der Dienstleister Comodo gehackt, so dass gültige SSL-Zertifikate für eine ganze Reihe hochkarätiger Domains – darunter auch Google Mail – entwendet werden konnten. (Uli Ries) / (dab)

318 Kommentare

Themen:

  1. Indien stellte falsche Google-Zertifikate aus

    Das indische National Informatics Centre (NIC) stellt bis auf weiteres keine Zertifikate mehr aus.

    Erneut kam es zu einem schwerwiegenden Zwischenfall bei einem Herausgeber von SSL-Zertifikaten: Die staatlich betriebene CA von Indien hat unter anderem Zertifikate für Google-Dienste herausgegeben. Diese eignen sich zum Ausspähen von SSL-Traffic.

  2. Gefälschtes Microsoft-Zertifikat im Umlauf

    Comodo bringt gefälschtes Microsoft-Zertifikat in Umlauf

    Unbekannte haben es geschafft, sich ein gültiges Zertifikat für die finnische Live-Domain ausstellen zu lassen. Windows-Nutzer sollten ein Update, welches das Zertifikat blockt, so schnell wie möglich einspielen, um nicht Opfer eines Angriffs zu werden.

  3. Google verbannt SSL-Zertifikate von CNNIC

    Spähs

    CNNIC hatte gefälschten SSL-Zertifikate für Google-Domains beglaubigt und legt laut Google wenig Transparenz beim Signieren von Zwischen-Zertifizierungsstellen an den Tag.

  1. Microsofts Hintertür

    Was macht Windows, wenn es auf ein Verschlüsselungszertifikat trifft, dessen Echtheit es nicht überprüfen kann? Es schlägt nicht etwa Alarm, sondern fragt bei Microsoft nach, ob man dort zufällig jemanden kennt, der das Zertifikat für echt erklären möchte.

  2. Universeller SSL-Tester SSLyze

    Ganz ohne grafische Oberfläche gibt SSLyze einen guten Überblick über Zertifikat, Einstellungen und Optionen eines SSL-Servers.

    SSL mit Kommandozeilen-Tools von Hand zu testen, ist mühselig; SSLyze nimmt Admins viel dieser Arbeit ab.

  3. Brief mit Siegel

    Viele Internet-Nutzer scheuen E-Mail-Verschlüsselung, weil sie die Technik dahinter für kompliziert halten und deshalb einen Komfortverlust befürchten. Wenige wissen, dass auf ihren Rechnern und Smartphones längst alles fürs abhör- und manipulationssichere Mailen vorbereitet ist.

  1. Justizminister: Aus der Hochkultur könnte eine Hobby-Kultur im Internet werden

    Justizminister: Aus der Hochkultur könnte eine "Hobby-Kultur" im Internet werden

    "Umsonst geht nicht", erklärte Bundesjustizminister Heiko Maas zum Online-Vertriebsmedium Internet auf einer Konferenz zum "Tag des geistigen Eigentums". Nötig sei ein "New Deal" fürs Urheberrecht in der digitalen Welt.

  2. So klappt's auch mit den Nachbarn

    Eine neue Lärmschutzverordnung soll Autos leiser machen. Besonders betroffen sind sportliche Fahrzeuge, die mit Absicht auch akustisch auf sich aufmerksam machen - auch mithilfe von Klappenauspuffanlagen

  3. Schadcode durch WLAN-Pakete

    wpa_supplicant

    Durch eine Lücke in dem Standard-Tool wpa_supplicant können Angreifer anfällige Systeme über WLAN kompromittieren. Es kommt unter anderem bei Android und Linux zum Einsatz. Abhilfe schafft ein Patch, eine abgesicherte Version soll folgen.

  4. Business Lounge Camping

    Fahrbericht: Mercedes-Benz Marco Polo

    Der neue Mercedes-Benz Marco Polo: Campervan-Fahrer sind es gewohnt, draußen zu kochen und zu grillen. Ob die Bewoher dieser Business Lounge überhaupt je irgendetwas in dieser Richtung tun werden, wird bereits von den weißen Ledersesseln sehr laut infrage gestellt

Anzeige