Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.529.859 Produkten

Uli Ries 318

Neuer SSL-Gau: Falsches Google-Zertifikat blieb fünf Wochen unentdeckt

Möglicherweise hat sich die iranische Regierung ein gültiges Zertifikat für Google-Domains erschlichen, um Nutzer von Google Mail zu überwachen. Das Zertifikat wird inzwischen von Google, Microsoft und Mozilla blockiert. Am Wochenende berichtete ein nach eigener Auskunft im Iran lebender Nutzer von Google Mail, dass Google Chrome beim Aufruf der mit SSL gesicherten Site einen Zertifikatsfehler meldete. Offenbar hat eine kürzlich in Chrome eingeführte Sicherheitsfunktion auf das merkwürdige Zertifikat aufmerksam gemacht. Chrome prüft nämlich nicht nur, ob das Zertifikat gültig ist, sondern auch, ob es von der richtigen CA stammt.

Verschiedene Sicherheitsexperten wie Moxie Marlinspike bestätigten, dass das vom holländischen Unternehmen DigiNotar ausgestellte und für alle google.com-Domains (*.google.com) gültige Zertifikat offenbar missbraucht wurde. Ein Pastebin-Eintrag demonstriert die Echtheit. Der Verfasser des Eintrags fordert die "digitale Todesstrafe" für DigiNotar, da durch das unbedachte Vorgehen des Dienstleisters Menschenleben in Gefahr gebracht wurden.

Die Electronic Frontier Foundation schreibt in ihrem Blog, dass das kompromittierte Zertifikat wahrscheinlich von der iranischen Regierung verwendet wurde, um Nutzer von Google Mail zu überwachen. Ausgestellt wurde das betroffene Zertifikat am 10. Juli, also vor gut fünf Wochen. An wen das Wildcard-Zertifikat übergeben wurde, ist allerdings ebenso unbekannt wie die Tatsache, ob noch weitere Zertifikate betroffen sind. Microsoft hat vorsichtshalber das DigiNotar-Root-Zertifikat aus der Microsoft Certificate Trust List in Windows entfernt und so alle Zertifikate von DigiNotar unbrauchbar gemacht.

Verschiedene Softwarehersteller haben inzwischen reagiert: Google wird DigiNotar-Zertifikate aus seinem Browser Chrome entfernen. Ebenso wird die Mozilla Foundation per Update dafür sorgen, dass Firefox, Sea Monkey und Thunderbird den DigiNotar-Zertifikaten nicht mehr vertrauen. Wer nicht auf das Update warten will, findet auf einer Mozilla-Seite Informationen, wie das Zertifikat von Hand gelöscht werden kann. Microsoft hat das Security Advisory 2607712 veröffentlicht. In einem dazu gehörenden Blogbeitrag erklärt das Unternehmen, dass Nutzer der Windows-Versionen ab Windows Vista keine Schritte unternehmen müssen: Das betreffende Zertifikat werde automatisch blockiert.

Für Windows XP und Windows Server 2003 wird es gesonderte Sicherheitsupdates geben, da diese Systeme nicht die zentral verwaltete Microsoft Certificate Trust List verwenden. Der Vorfall ist bereits der zweite seiner Art binnen weniger Monate. Im März wurde der Dienstleister Comodo gehackt, so dass gültige SSL-Zertifikate für eine ganze Reihe hochkarätiger Domains – darunter auch Google Mail – entwendet werden konnten. (dab)

318 Kommentare

Themen:

Anzeige
  1. Google: Certificate Transparency wird Pflicht

    Google: Certificate Transparency wird Pflicht

    Google trommelt seit Jahren für mehr Transparenz bei den Certificate Authorities. Jetzt wollen die Macher des Chrome-Browsers CAs mit Gewalt auf die Praxis der Certificate Transparency verpflichten.

  2. Auch Google vertraut StartCom- und WoSign-Zertifikaten nicht mehr

    Auch Google vertraut StartCom- und WoSign-Zertifikaten nicht mehr

    Nach den Webbrowsern Firefox von Mozilla und Safari von Apple soll auch Googles Chrome zeitnah SSL-/TLS-Zertifikaten von StartCom und WoSing kein Vertrauen mehr schenken.

  3. Google Chrome: Abschied von SHA-1-siginierten SSL-Zertifikaten

    Google Chrome: Abschied von SHA-1-siginierten SSL-Zertifikaten

    Ab Anfang nächsten Jahres wird Google Chrome keine neu ausgestellten SHA-1-signierten SSL-Zertifikate von öffentlichen CAs mehr akzeptieren. SHA-1 gilt seit zehn Jahren als unsicher, wird aber immer noch von HTTPS-Sites verwendet.

  4. TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an

    TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an

    Ab Juni müssen alle Symantec-CAs ihre Aktivitäten via Certificate Transparency registrieren. Sonst werden die Zertifikats-Inhaber abgestraft. Das könnte auch andere CAs treffen.

  1. Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Die etablierte TLS-Verschlüsselung mit signierten Zertifikaten ist nicht wirklich sicher. Das modernere DANE prüft mittels DNSSEC ohne externen Stempel, ob das vom Server präsentierte Zertifikat echt und damit die verschlüsselte Verbindung beim Mail- und Webseiten-Transport vertrauenswürdig ist. Das lässt sich an einem Vormittag einrichten.

  2. c't uplink 9.4: c't-Notfall-Windows, Browser-Vergleich und Dell-Zertifikate

    c't uplink 9.3: iPad Pro, Surface Book und Pro 4, Debatte um Verschlüsselung

    Im aktuellen c't uplink sprechen wir über das Notfall-Windows in c't 26/15 und vergleichen Edge, Chrome und Firefox. Außerdem sind wir Dells hochproblematischen CA-Zertifikat eDellRoot auf der Spur.

  3. DNSSEC und DANE: Hilfestellung zur Mail-Verschlüsselung

    Wie Mail-Cients SMIMEA und DNSSEC nutzen: S/MIME-fähige Mail-Clients signieren Mails automatisch und senden den öffentlichen Schlüssel gleich mit (1). Der Empfänger-Mail-Client fragt im DNS nach dem SMIMEA- Record der Absenderadresse (2, 3). Der Resolver validiert und reicht die Antwort des DNS-Servers an den Client weiter (4, 5). Wenn die aus dem DNS und der Mail erhaltenen Fingerprints identisch sind, verschlüsselt der Client die Mail und schickt sie ab (6, 7).

    Fachleute kritisieren zurzeit das eigentlich zuverlässige Mail-Verschlüsselungsverfahren PGP, weil Konzeptschwächen die Verbreitung behindern. Aber auch die bequemere Mail-Verschlüsselung namens S/MIME hat erhebliche Schwächen. DNSSEC und DANE, zwei miteinander kombinierte Verfahren, versprechen Abhilfe.

  1. Moto Morini Corsaro 1200 ZZ

    Zweirad

    Es geht weiter bei Moto Morini, nachdem einige voreilige Medien die Marke schon für tot erklärt hatten. Die Geschäftsführung hat noch einmal Geld in die Hand genommen und das Zugpferd Corsaro 1200 fit für die Zukunft gemacht

  2. Ausfahrt mit dem Tesla Model X

    Tesla Motors, Elektroautos, alternative Antriebe

    Ein Elektroauto in der Größe eines Tesla Model X ist überflüssig, keine Frage. Dennoch ist das Model X wichtig, weil es zeigt, wohin die Entwicklung auch in großen Fahrzeugklassen geht. Eine Ausfahrt mit dem gewaltigen SUV zeigt aber auch die Grenzen

  3. Momo Mirage: Der Holterdiepoltergeist

    Klassiker

    Wer ein Fangnetz hatte, gestrickt aus Millionen von Dollar, der konnte sich Anfang der 1970er Jahre auch trauen ein Sportauto zu bauen. Das Ergebnis: der Momo Mirage. Fünf Stück wurden gebaut, freilich nicht für Leute wie uns

  4. Vorstellung: VW Tiguan Allspace

    VW Tiguan Allspace

    VW stellt sich in den USA neu auf. Atlas und Tiguan Allspace sollen das richtige Mittel sein, um dem auch dort grassierenden SUV-Fieber zu begegnen. Dafür muss der Allspace groß und günstig sein, was ihm hierzulande das Leben mit dem Skoda Kodiaq erschweren wird

Anzeige