Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.527.223 Produkten

Jürgen Schmidt 176

Trustwave verkaufte Man-in-the-Middle-Zertifikat

Der Zertifikatsherausgeber Trustwave hat einer Firma ein Zertifkat verkauft, mit dem sich diese gültige Zertifikate für beliebige Server ausstellen konnte. Damit war es ihr dann möglich auch den verschlüsselten Datenverkehr ihrer Mitarbeiter etwa mit Diensten wie denen von Google oder Hotmail zu überwachen. Mittlerweile habe man das CA-Zertifikat jedoch widerrufen und werde das zukünftig auch nicht mehr tun, gelobt der Zertifikatsherausgeber.

Das Herausgeber-Zertifikat kam in einem Data Loss Prevention System (DLP) zum Einsatz, das verhindern soll, dass vertrauliche Informationen wie Firmengeheimnisse nach außen gelangen. Dazu überwacht das DLP-System auch verschlüsselte Verbindungen als Man-in-the-Middle. Das heißt, es bricht die Verbindung auf und gaukelt dem Browser oder Mail-Programm vor, es spräche mit dem eigentlich gemeinten Server. Damit dabei keine Zertifikatsfehler auftreten, muss sich das DLP-System mit einem gültigen Zertifikat ausweisen, das es sich mit dem Trustwave-Herausgeber-Zertifikat praktischerweise selber ausstellen kann. Nach dem gleichen Prinzip funktionieren auch Spionage-Angriffe und staatliche Überwachungsmaßnahmen.
Alle gängigen Browser enthalten das Trustwave Wurzelzertifikat. Vergrößern

Die übliche Vorgehensweise für legitime DLP ist, dass die Admins selbst eine Certificate Authority anlegen und diese – in Absprache mit den Mitarbeitern und Betriebsrat – auf den Arbeitsgeräten installiert wird. Dies stößt jedoch bei mitgebrachten Systemen der Mitarbeiter, die gar nicht der Firma gehören, an seine Grenzen.

Trustwave versichert, dass die Firma Verträge zur Nutzung unterzeichnet habe und sowohl der geheime CA-Schlüssel als auch die damit gefälschten Zertifikate in einem speziell geprüften Hardware Security Module (HSM) sicher aufbewahrt waren. Missbrauch sei somit ausgeschlossen gewesen. Dennoch sei man zu der Erkenntnis gelangt, dass man dieses Konzept zukünftig nicht weiter verfolgen wolle. Man habe das Zertifikat widerrufen und werde keine neuen derartigen Zertifikate mehr ausstellen.

Sicherheitsexperten und Privacy-Verfechter warnen schon seit einiger Zeit davor, dass jede CA und auch jede von ihr ermächtigte Sub-CA beliebige Zertifikate für jeden Server ausstellen können. Insbesondere einige staatliche CAs werden in dieser Hinsicht mit Misstrauen beäugt, da es durchaus nahe liegt, dass sie staatliche Überwachungsmaßnahmen unterstützen. Dies ist nach unserem Kenntnisstand der erste bekannt gewordene Fall, in dem eine allgemein anerkannte Zertifizierungsstelle ganz offiziell für Überwachungszwecke Dritten das Ausstellen von beliebigen SSL-Server-Zertifikaten ermöglicht hat. Allerdings erklärt Trustwave, dies sei eine durchaus übliche Praxis, die auch andere Root-CAs beträfe. (ju)

176 Kommentare

Themen:

Anzeige
  1. Überwachungs-Verdacht: Empörung um Intermediate CA von BlueCoat

    Blue Coat

    Die Sicherheitsfirma BlueCoat hatte sich ein Intermediate-CA-Zertifikat von Symantec ausstellen lassen. Damit hätte die Firma, die im Verdacht steht Überwachungs-Systeme zu verkaufen, eigene Zertifikate auf beliebige Domains ausstellen können.

  2. TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an

    TLS-Zertifikate: Google zieht Daumenschrauben der CAs weiter an

    Ab Juni müssen alle Symantec-CAs ihre Aktivitäten via Certificate Transparency registrieren. Sonst werden die Zertifikats-Inhaber abgestraft. Das könnte auch andere CAs treffen.

  3. StartSSL: Fehler öffnete Tür und Tor für Zertifikats-Missbrauch

    StartSSL: Fehler ermöglichte Zertifikats-Missbrauch

    Die Zertifizierungsstelle StartSSL vergibt kostenlose SSL-Zertifikate für Web-Sites. Der Check, ob man auch deren Inhaber ist, ließ sich jedoch ganz einfach austricksen, berichtet ein Sicherheitsforscher.

  4. Fünf Millionen Zertifikate: Let's Encrypt wächst rasant

    Lets Encrypt

    Innerhalb von drei Monaten hat Let's Encrypt die Gesamtanzahl von kostenlos ausgestellten SSL-/TLS-Zertifikaten verfünffacht.

  1. Wachsende Kritik an Public Key Pinning für HTTPS

    Wachsende Kritik an Public Key Pinning für HTTPS

    Die noch recht junge Technik der Zertifikats-Pinnings für HTTPS bekommt Gegenwind. Prominente Kritiker wie Ivan Ristic prophezeien sogar schon ihren absehbaren Tod: Zu kompliziert und zu gefährlich, lautet deren Diagnose.

  2. Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Transitschutz: DNSSEC und DANE auf Linux-Servern konfigurieren

    Die etablierte TLS-Verschlüsselung mit signierten Zertifikaten ist nicht wirklich sicher. Das modernere DANE prüft mittels DNSSEC ohne externen Stempel, ob das vom Server präsentierte Zertifikat echt und damit die verschlüsselte Verbindung beim Mail- und Webseiten-Transport vertrauenswürdig ist. Das lässt sich an einem Vormittag einrichten.

  3. Geleitschutz: DANE verbessert sicheren Transport zwischen Mailservern

    „E-Mail made in Germany“ könnte sicherer sein: Bei Redaktionsschluss dieses Artikels war von DANE-geschütztem TLS-Mailtransport bei den vier Providern noch nichts zu entdecken.

    Verschlüsselter Nachrichtentransport ist schon mal besser, als Mails wie eine Postkarte für alle lesbar zu übertragen. Doch auch mit dem jüngst bei Freenet, GMX, T-Online und Web.de aktivierten TLS zwischen Absender, Mailservern und Empfänger bleiben Lücken. DANE kann diese schließen.

  1. Klartext: Zweckehen im australischen Busch

    Klartext

    Beziehungen funktionieren manchmal nicht von Anfang an, sondern weil man daran arbeitet, mit sich Arrangieren und gemeinsamen Erlebnissen. Das funktioniert manchmal sogar bei Beziehungen aus Hass. Wie beim Renault Koleos

  2. Falsche Frequenz: Rauchmelder wecken Kinder nicht

    Dundee University: Rauchmelder wecken Kinder nicht

    27 von 34 Kindern sind in einem Test der Dundee University nicht aufgewacht, als der Rauchmelder vor einem Brand warnte. Jetzt möchte die Universität eine neue Entwicklung testen.

  3. Todesstoß: Forscher zerschmettern SHA-1

    Forscher zerschmettern SHA-1

    Totgesagte sterben manchmal auch schneller. In einer Kooperation zwischen der CWI Amsterdam und Google gelang es, dem bereits angeschlagenen Hash-Verfahren SHA-1 mit einer echten Kollision den praktischen Todesstoß zu versetzen.

  4. Erster HFR-Film auf Ultra HD Blu-ray: Ang Lees irre Videotour

    Erster HFR-Film auf Ultra HD Blu-ray: Ang Lees irre Videotour

    In den USA hat Sony Pictures den ersten Spielfilm mit erhöhter Bildwiederholrate (High Frame Rate, HFR) auf UHD Blu-ray veröffentlicht. Wir haben uns "Billy Lynn’s Long Halftime Walk" angeschaut.

Anzeige