Logo von Security

Suche
176

Trustwave verkaufte Man-in-the-Middle-Zertifikat

Der Zertifikatsherausgeber Trustwave hat einer Firma ein Zertifkat verkauft, mit dem sich diese gültige Zertifikate für beliebige Server ausstellen konnte. Damit war es ihr dann möglich auch den verschlüsselten Datenverkehr ihrer Mitarbeiter etwa mit Diensten wie denen von Google oder Hotmail zu überwachen. Mittlerweile habe man das CA-Zertifikat jedoch widerrufen und werde das zukünftig auch nicht mehr tun, gelobt der Zertifikatsherausgeber.

Anzeige

Das Herausgeber-Zertifikat kam in einem Data Loss Prevention System (DLP) zum Einsatz, das verhindern soll, dass vertrauliche Informationen wie Firmengeheimnisse nach außen gelangen. Dazu überwacht das DLP-System auch verschlüsselte Verbindungen als Man-in-the-Middle. Das heißt, es bricht die Verbindung auf und gaukelt dem Browser oder Mail-Programm vor, es spräche mit dem eigentlich gemeinten Server. Damit dabei keine Zertifikatsfehler auftreten, muss sich das DLP-System mit einem gültigen Zertifikat ausweisen, das es sich mit dem Trustwave-Herausgeber-Zertifikat praktischerweise selber ausstellen kann. Nach dem gleichen Prinzip funktionieren auch Spionage-Angriffe und staatliche Überwachungsmaßnahmen.
Alle gängigen Browser enthalten das Trustwave Wurzelzertifikat. Vergrößern

Die übliche Vorgehensweise für legitime DLP ist, dass die Admins selbst eine Certificate Authority anlegen und diese – in Absprache mit den Mitarbeitern und Betriebsrat – auf den Arbeitsgeräten installiert wird. Dies stößt jedoch bei mitgebrachten Systemen der Mitarbeiter, die gar nicht der Firma gehören, an seine Grenzen.

Trustwave versichert, dass die Firma Verträge zur Nutzung unterzeichnet habe und sowohl der geheime CA-Schlüssel als auch die damit gefälschten Zertifikate in einem speziell geprüften Hardware Security Module (HSM) sicher aufbewahrt waren. Missbrauch sei somit ausgeschlossen gewesen. Dennoch sei man zu der Erkenntnis gelangt, dass man dieses Konzept zukünftig nicht weiter verfolgen wolle. Man habe das Zertifikat widerrufen und werde keine neuen derartigen Zertifikate mehr ausstellen.

Sicherheitsexperten und Privacy-Verfechter warnen schon seit einiger Zeit davor, dass jede CA und auch jede von ihr ermächtigte Sub-CA beliebige Zertifikate für jeden Server ausstellen können. Insbesondere einige staatliche CAs werden in dieser Hinsicht mit Misstrauen beäugt, da es durchaus nahe liegt, dass sie staatliche Überwachungsmaßnahmen unterstützen. Dies ist nach unserem Kenntnisstand der erste bekannt gewordene Fall, in dem eine allgemein anerkannte Zertifizierungsstelle ganz offiziell für Überwachungszwecke Dritten das Ausstellen von beliebigen SSL-Server-Zertifikaten ermöglicht hat. Allerdings erklärt Trustwave, dies sei eine durchaus übliche Praxis, die auch andere Root-CAs beträfe. (ju)

176 Kommentare

Themen:

  1. Indien stellte falsche Google-Zertifikate aus

    Das indische National Informatics Centre (NIC) stellt bis auf weiteres keine Zertifikate mehr aus.

    Erneut kam es zu einem schwerwiegenden Zwischenfall bei einem Herausgeber von SSL-Zertifikaten: Die staatlich betriebene CA von Indien hat unter anderem Zertifikate für Google-Dienste herausgegeben. Diese eignen sich zum Ausspähen von SSL-Traffic.

  2. Firefox soll falsche SSL-Zertifikate enttarnen

    Auch Mozillas Browser wird künftig etwa beim Besuch von Google.com überprüfen, ob das ausgelieferte SSL-Zertifikat von einem Herausgeber stammt, den der Dienst üblicherweise benutzt.

  3. Mozilla zukünftig mit zentralen Sperrlisten

    Sichere Internet-Verbindungen erfordern Mechanismen, kompromittierte Zertifikate als ungültig zu erklären. Die aktuellen Verfahren dazu funktionieren jedoch nicht. Zukünftig soll das bei Firefox und Co die OneCRL richten.

  1. SSL-Fuzzing mit "Frankencerts"

    Durch das Zusammenstückeln von Tausenden von echten SSL-Zertifikaten zu über acht Millionen "Frankencerts" haben Forscher Lücken in gängigen SSL-Bibliotheken gefunden.

  2. Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Die etablierte TLS-Verschlüsselung mit signierten Zertifikaten ist nicht wirklich sicher. Das modernere DANE prüft mittels DNSSEC ohne externen Stempel, ob das vom Server präsentierte Zertifikat echt und damit die verschlüsselte Verbindung beim Mail- und Webseiten-Transport vertrauenswürdig ist. Das lässt sich an einem Vormittag einrichten.

  3. Geleitschutz: DANE verbessert sicheren Transport zwischen Mailservern

    Verschlüsselter Nachrichtentransport ist schon mal besser, als Mails wie eine Postkarte für alle lesbar zu übertragen. Doch auch mit dem jüngst bei Freenet, GMX, T-Online und Web.de aktivierten TLS zwischen Absender, Mailservern und Empfänger bleiben Lücken. DANE kann diese schließen.

  1. OpenSurgery: OP-Roboter zum Selberbauen

    OpenSurgery: OP-Roboter zum Selberbauen

    Das Projekt OpenSurgery möchte herausfinden, ob Operationsroboter zum Selberbauen als kostengünstige Alternative für die medizinische Versorgung dienen könnten – und ist eine Provokation für die Gesundheitsindustrie.

  2. Downsizing 1930

    Klassiker

    Der Bentley 4,5 Litre ist eine Legende. Der Rennwagen wurde von einem Motor mit Roots-Verdichter beflügelt, Turbolader waren damals noch Schiffsdieseln vorbehalten. Wenn auf Veranstaltungen wie der Mille Miglia eines von 50 gebauten Exemplaren antritt, wird der Mythos lebendig

  3. Großgezogen

    Skodas Superb, das ist viel Platz und Alltagsnutzen bei einem kaum zu schlagenden Preis-Leistungs-Verhältnis. Was den Platz angeht, ist der Superb Combi davon noch eine Steigerung. Mehr Volumen bietet in seiner Klasse niemand. Eine Probefahrt mit dem 150-PS-Diesel

  4. Blue-Pill-Lücke in Xen geschlossen

    Blue-Pill-Lücke in Xen

    In der langen Liste der Sicherheits-Verbesserungen von Xen 4.5.1 finden sich auch eine Lücke, die den Ausbruch aus einer virtuellen Maschine erlaubt - und ein geheimnisvoller, noch undokumentierte Eintrag.

Anzeige