Sicherheits-GAU

Falsches Google-SSL-Zertifikat blieb wochenlang unentdeckt

Andreas Proschofsky, 30. August 2011 14:28

Iranische Regierung soll so Überwachung von GMail-NutzerInnen betrieben haben

Eigentlich versuchen Web-Service-Anbieter zunehmend mit verschlüsselten Verbindungen die Privatsphäre ihre UserInnen zu schützen. Ein Unterfangen, dass allerdings nur dann erfolgreich sein kann, wenn man tatsächlich sicherstellen kann, dass das "Mitlauschen" für Dritte unmöglich ist. Dreh- und Angelpunkt sind die SSL-Zertifikate, die zur Verschlüsselung dienen sowie die diversen Zertifikatsautoritäten, die für deren Authentizität bürgen sollen.

GAU

Genau dieses System erlebt nun allerdings eine Art "Größter anzunehmender Unfall". So ist es Unbekannten Mitte Juli gelungen, beim niederländischen Unternehme DigiNotar ein gefälschtes Zertifikat für die google.com-Domains unterzubringen. Wird den NutzerInnen in Folge eine Seite mit dem "falschen" Zertifikat untergejubelt, wird es von Browsern als "echt" erkannt, die UserInnen wähnen sich in Sicherheit, während Dritte ihre Daten mitlesen können.

Chrome-Schutz

Bei der US-Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) geht man davon aus, dass das Zertifikat von der iranischen Regierung in Auftrag gegeben wurde, um die GMail-Kommunikation im Land mittels "Man in the Middle"-Attacken  überwachen zu können. Darauf weist hin, dass die Manipulation von einem iranischen User während der GMail-Nutzung entdeckt wurde. Zum Stolperstein für die Spionage wurde dabei eine noch recht neue Sicherheitsfunktion im Browser Chrome: Dieser schränkt seit der Version 13 nämlich die erlaubten Zertifikatsautoritäten für Google-Services auf einige wenige ein - wozu DigiNotar nicht gehört. Also wurde das gefälschte Zertifikat auch als ein solches erkannt.

Ungültig

Mittlerweile reagieren die diversen Browserhersteller auf den aktuellen Vorfall: So hat Microsoft bereits DigiNotar aus der Microsoft Certificate Trust List entfernt - womit alle von dem Unternehmen erstellen Zertifikate ungültig sind. Ähnliches haben Google und Mozilla für Chrome respektive Firefox vor. Mozilla beschreibt zudem, wie man das DigiNotar-Root-Zertifikat noch vor dem nächsten Update manuell entfernen kann.

Kritik

Der aktuelle Vorfall wird wohl erneut die Kritik an dem aktuellen Zertifikatssystem anfachen. Erst vor einigen Monaten gab es viele erboste Stimmen, nachdem der Softwaredienstleister Comodo gehackt wurde - und dabei gültige Zertifikate für diverse bekannte Service - unter anderem jene von Google - entwendet wurden. (apo, derStandard.at, 30.08.11)

Link

Iranian Man-in-the-Middle Attack Against Google Demonstrates Dangerous Weakness of Certificate Authorities

derStandard.at/Web auf Facebook
Kommentar posten
9 Postings
F S 3
01.09.2011 13:19
Es ist kaum anzunehmen, daß tatsächlich die "iranische Regierung" der Auftraggeber ist, wenn…

…die Hacks mit "Iranian Hackers" oder ähnlichen phantasievollen Nicks gezeichnet wurden, samt zusätzlichen Kraftausdrücken:

http://www.f-secure.com/weblog/ar... 02228.html

Dies sieht eher so aus, als wollte jemand wieder mit einem großen Stinkefinger in Richtung Iran zeigen und die Öffentlichkeit auf eine weitaus größere Schweinerei -die natürlich dem Iran umgehängt werden soll- vorbereiten.

Interessant ist überdies auch, daß die Zertifikate diesmal per Niederlande ausgestellt waren und wie man überhaupt dahinterkam!

oink
31.08.2011 02:28

das ist dann wohl das ende von DigiNotar.

Bumbu
 
31.08.2011 14:09
ende von DigiNotar.

Davon gehe ich aus. Traurig für deren Kunden, aber so einem Sch...laden vertraue ich bestimmt nie mehr, und wenn Google, Mozlla und Windows die CA deaktivieren, dann ist die digitale Todesstrafe s gut wie vollstreckt.

Fefe ist wieder mal sehr direkt: http://blog.fefe.de/?q=SSL

Christian Rusa
30.08.2011 20:09
SSL Verschluesselung Grundlagen

SSL Verschluesselung funktioniert asymetrisch mit einem Public und einem Private Key. Ueblicherweise wird das Schluesselpaar beim Kunden erstellt und dann der Publickey zum signieren an den Dienstleister geschickt. Wenn also bei Comodo Zertifikate (signierte Public Keys) entwendet werden, kann man mit denen ohne den Private Key nichts anfangen.
Da ist die DigiNotar Sache 100mal schlimmer.

Und nein ich arbeite nicht fuer Comodo.

Ein Mann
30.08.2011 19:36
"...Comodo gehackt wurde - und dabei gültige Zertifikate für diverse bekannte Service - unter anderem jene von Google - entwendet wurden."

Das stimmt so nicht. Tatsächlich konnte der Angreifer in Comodo-Systeme eindringen und sich so selbst gültige Zertifikate ausstellen. Er hat nichts entwendet, sondern etwas erstellt.

Interrupt
30.08.2011 17:01
das wäre ja genial komisch

iranische zentrifugen mit gestohlenen treiber-zertifikaten und mehreren zero day exploids zerstören, aber dann auf gefälschte zertifikate der krawattenlosen reinfallen.
geil! nur das leben selbst kann so sarkastisch sein.

erwin meier
31.08.2011 12:19

sie haben die zusammenhänge nicht ganz verstanden. "reingefallen" sind iranische websurfer.

VwV
31.08.2011 08:59

Sie wollen StuxNet aber nicht mit dieser Aktion vergleichen oder?
Das ist ja nicht einmal die selbe Sportart....

Baumi85
 
30.08.2011 16:22

http://www.google.com/support/f... 8b094b225a

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.

© derStandard.at GmbH 2012 - Impressum

Alle Rechte vorbehalten. Nutzung ausschließlich für den privaten Eigenbedarf.
Eine Weiterverwendung und Reproduktion über den persönlichen Gebrauch hinaus ist nicht gestattet.