Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Jürgen Schmidt 176

Trustwave verkaufte Man-in-the-Middle-Zertifikat

Der Zertifikatsherausgeber Trustwave hat einer Firma ein Zertifkat verkauft, mit dem sich diese gültige Zertifikate für beliebige Server ausstellen konnte. Damit war es ihr dann möglich auch den verschlüsselten Datenverkehr ihrer Mitarbeiter etwa mit Diensten wie denen von Google oder Hotmail zu überwachen. Mittlerweile habe man das CA-Zertifikat jedoch widerrufen und werde das zukünftig auch nicht mehr tun, gelobt der Zertifikatsherausgeber.

Das Herausgeber-Zertifikat kam in einem Data Loss Prevention System (DLP) zum Einsatz, das verhindern soll, dass vertrauliche Informationen wie Firmengeheimnisse nach außen gelangen. Dazu überwacht das DLP-System auch verschlüsselte Verbindungen als Man-in-the-Middle. Das heißt, es bricht die Verbindung auf und gaukelt dem Browser oder Mail-Programm vor, es spräche mit dem eigentlich gemeinten Server. Damit dabei keine Zertifikatsfehler auftreten, muss sich das DLP-System mit einem gültigen Zertifikat ausweisen, das es sich mit dem Trustwave-Herausgeber-Zertifikat praktischerweise selber ausstellen kann. Nach dem gleichen Prinzip funktionieren auch Spionage-Angriffe und staatliche Überwachungsmaßnahmen.
Alle gängigen Browser enthalten das Trustwave Wurzelzertifikat. Vergrößern

Die übliche Vorgehensweise für legitime DLP ist, dass die Admins selbst eine Certificate Authority anlegen und diese – in Absprache mit den Mitarbeitern und Betriebsrat – auf den Arbeitsgeräten installiert wird. Dies stößt jedoch bei mitgebrachten Systemen der Mitarbeiter, die gar nicht der Firma gehören, an seine Grenzen.

Trustwave versichert, dass die Firma Verträge zur Nutzung unterzeichnet habe und sowohl der geheime CA-Schlüssel als auch die damit gefälschten Zertifikate in einem speziell geprüften Hardware Security Module (HSM) sicher aufbewahrt waren. Missbrauch sei somit ausgeschlossen gewesen. Dennoch sei man zu der Erkenntnis gelangt, dass man dieses Konzept zukünftig nicht weiter verfolgen wolle. Man habe das Zertifikat widerrufen und werde keine neuen derartigen Zertifikate mehr ausstellen.

Sicherheitsexperten und Privacy-Verfechter warnen schon seit einiger Zeit davor, dass jede CA und auch jede von ihr ermächtigte Sub-CA beliebige Zertifikate für jeden Server ausstellen können. Insbesondere einige staatliche CAs werden in dieser Hinsicht mit Misstrauen beäugt, da es durchaus nahe liegt, dass sie staatliche Überwachungsmaßnahmen unterstützen. Dies ist nach unserem Kenntnisstand der erste bekannt gewordene Fall, in dem eine allgemein anerkannte Zertifizierungsstelle ganz offiziell für Überwachungszwecke Dritten das Ausstellen von beliebigen SSL-Server-Zertifikaten ermöglicht hat. Allerdings erklärt Trustwave, dies sei eine durchaus übliche Praxis, die auch andere Root-CAs beträfe. (ju)

176 Kommentare

Themen:

Anzeige
  1. Zertifikats-Schmu bei WoSign und StartCom: Mozilla macht Ernst

    Zertifikats-Schmu bei WoSign: Mozilla macht ernst

    Mozilla hat genug gesehen und entzieht den Zertifikats-Herausgebern WoSign und StartCom das Vertrauen. Zunächst sind nur bestimmte SSL-Zertifikate betroffen, langfristig müssen aber auch die Wurzelzertifikate dran glauben.

  2. Kostenlos-CA WoSign in der Kritik, Mozilla erwägt Schritte

    Kostenlos-CA WoSign in der Kritik, Mozilla erwägt Schritte

    Die Zertifizierungsstelle aus China hatte regelwidrig SSl-Zertifikate ausgestellt. So gelang es unter anderem einem Sicherheitsforscher, ein gültiges Zertifikat für die GitHub-Domain zu erhalten.

  3. Zertifikats-Streit: Symantec gelobt Google Besserung

    Zertifikats-Streit: Symantec gelobt Besserung gegenüber Google

    Symantec geht auf Google zu, deren Webbrowser Chrome SSL-/TLS-Zertifikate der CA bald herunterstufen soll. Die Zertifizierungsstelle will nun regelmäßig Zertifikats-Prüfungen durchführen lassen.

  4. Google auf dem Weg zur unabhängigen Root-CA

    Google auf dem Weg zur unabhängigen Root-CA

    Künftig will das Unternehmen über den Google Trust Service eigene SSL-/TLS-Zertifikate ausstellen. Diese sollen bei Google-Diensten und Angeboten des Google-Mutterkonzerns Alphabet zum Einsatz kommen.

  1. Wachsende Kritik an Public Key Pinning für HTTPS

    Wachsende Kritik an Public Key Pinning für HTTPS

    Die noch recht junge Technik der Zertifikats-Pinnings für HTTPS bekommt Gegenwind. Prominente Kritiker wie Ivan Ristic prophezeien sogar schon ihren absehbaren Tod: Zu kompliziert und zu gefährlich, lautet deren Diagnose.

  2. Zertifikate sperren - so geht's

    Verkehrte Welt – um ein Zertifikat zu sperren, muss man es erst installieren. Mit der folgenden Anleitung für Windows, Firefox, OS X und Linux geht das ohne Risiko und in wenigen Schritten.

  3. Chrome blockt Zertifikate mit Common Name

    Chrome blockt Zertifikate mit Common Name

    Wenn der seit Jahren etablierte, hauseigene Dienst plötzlich den HTTPS-Zugang verwehrt, liegt das vermutlich an einer Neuerung der aktuellen Chrome-Version: Google erzwingt den Einsatz der RFC-konformen "Subject Alt Names" und viele Admins müssen deshalb jetzt Hand anlegen.

  1. WPA2: Forscher entdecken Schwachstelle in WLAN-Verschlüsselung

    WLAN

    Sicherheitsforscher haben offenbar kritische Lücken im Sicherheitsstandard WPA2 entdeckt. Sie geben an, dass sich so Verbindungen belauschen lassen.

  2. Weniger Belohnung für Miner: Ethereum führt Byzantium-Update ein

    Weniger Belohnung für Miner: Ethereum führt Byzantium-Update ein

    Der erste Teil eines umfangreichen Updates für die Kryptogeldplatfform Ethereum ist offenbar erfolgreich über die Bühne gegangen. Zu den Änderungen gehört eine geringere Belohnung für Miner und die Verschiebung der "Difficulty Bomb".

  3. Zeitraffer: Lego Millennium Falcon in Rekordzeit gebaut

    Lego-Marathon: Millennium Falcon in Rekordzeit gebaut

    Nach 10:53:01 Stunden konnten wir die Zeitnahme stoppen: Das 7541-teilige Lego-Modell des Millennium Falcon war fertig. Alle, die keine Zeit haben, die Aufzeichnung anzuschauen, können den Rekord im knapp vierminütigen Zeitraffer anschauen.

  4. Notfall-Update für Adobe Flash Player – jetzt patchen!

    Adobe

    Eine Sicherheitslücke in Adobes Flash Player ermöglicht die Remote Code Execution. Sie wird bereits aktiv von Angreifern missbraucht. Updates stehen bereit und sollten so schnell wie möglich eingespielt werden.

Anzeige