ANZEIGE
ANZEIGE
ANZEIGE

Eine türkische Zertifizierungsstelle hatte versehentlich Zertifikate ausgestellt über die Zertifikate geschaffen werden können, um beliebige Websites zu verkörpern. Browseranbieter Mozilla, Microsoft und Google blockieren die fraglichen Zertifikate bereits.

Eine türkische Zertifizierungsstelle hat versehentlich digitale Zertifikate ausgestellt, die tatsächlich für aktive Angriffsversuche genutzt wurden. Die Browseranbieter Mozilla, Microsoft und Google haben darauf bereits reagiert und blockieren die fraglichen Zertifikate.

Wie Google-Entwickler Adam Langley in einem Blogeintrag berichtet, entdeckte das Chrome-Team am Abend des 24. Dezember ein nicht autorisiertes Zertifikat für die Domain “*.google.com” und blockierte sie. Die weiteren Nachforschungen zeigten, dass das Zertifikat von einer Zwischenstelle ausgestellt worden war, die zur türkischen Zertifizierungsstelle TurkTrust zurückverwies. Langley zufolge verliehen die fraglichen Zertifikate die volle Autorität zur Schaffung eines Zertifikats, um beliebige Websites zu verkörpern.

TurkTrust räumte daraufhin ein, zwei Zwischenzertifikate (“Intermediate CA”) versehentlich an Organisationen ausgegeben zu haben, die eigentlich nur reguläre SSL-Zertifikate erhalten sollten. Nach eigenen Angaben ist TurkTrust “das einzige ortsansässige Unternehmen in der Türkei, das von Microsoft (Internet Explorer), Mozilla (Firefox) sowie den Webbrowsern Opera und Safari anerkannt wird und dessen SSL-Serverzertifikate weltweit gültig sind”.

Fraglich ist allerdings, ob es dabei bleibt, nachdem alle bedeutenden Browserhersteller auf das Sicherheitsproblem aufmerksam wurden. Google hat als erste Maßnahme die falsch ausgestellten Zertifikate mit einem Chrome-Update blockiert und behält sich “nach sorgfältiger” Abwägung weitere Maßnahmen vor.

Microsoft hat inzwischen seine Certificate Trust List (CTL) aktualisiert, um seine Nutzer vor Schaden zu bewahren. Bei einer Windows-Installation ohne automatische Aktualisierung widerrufener Zertifikate sei ein sofortiges Update angeraten. Laut Microsoft wurde eines der fälschlicherweise ausgestellten Zwischenzertifikate benutzt, um “ein betrügerisches Zertifikat für *.google.com zu erzeugen”. Ein solches betrügerisches Zertifikat könne für Content-Spoofing, Phishing-Attacken oder Man-in-the-Middle-Angriffe gegen verschiedene Google-Sites genutzt werden.

“Solche Zertifikate könnten Benutzer täuschen und Websites vertrauen lassen, die den Domaininhabern zu gehören scheinen, aber tatsächlich bösartige Inhalte oder Software enthalten”, heißt es bei Mozilla. Neben den beiden falsch ausgestellten Zertifikaten hat es für seinen Browser Firefox auch die Gültigkeit eines Rootzertifikats von TurkTrust aufgehoben – und in ihrem Sicherheitsforum diskutieren die Mozilla-Entwickler über weitere Maßnahmen.

[mit Material von Seth Rosenblatt, News.com]

silicon für mobile Geräte
Android-App Google Currents App for iOS

avast! Antivirus

Mehr als 200 Millionen Nutzer vertrauen avast! beim Schutz Ihrer Geräte - mehr als jedem anderen Antiviren-Programm. Und jetzt ist avast! noch besser. Jetzt herunterladen!

Möchten nicht auch Sie wissen, wie zufrieden andere Anwender mit der Nutzung ihrer CRM-Anwendung imSaaS-Modell sind, warum sie sich dagegen entschieden haben oder sich gar nicht damit beschäftigen wollen? Diesen und anderen Fragen geht Hassan Hosseini von The-Industry-Analyst.com in Kooperation mit dem Herausgeber von silicon.de in der aktuellen Umfrage zur CRM Nutzung als "Software as a Service" in Deutschland nach.

Jetzt teilnehmen!

Neuester Kommentar




0 Kommentare zu Fehlerhafte Zertifikate erlauben Nachbauten von Google-Seiten

Hinterlasse eine Antwort

  • Erforderliche Felder sind markiert *,
    Deine E-Mail-Adresse wird nicht veröffentlicht.

Du kannst folgende HTML-Tags benutzen: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>