25C3: Gefälschtes CA-Zertifikat

Praktischer Angriff demonstriert die Unsicherheit von MD5

MD5 ist grundsätzlich seit 2004 verwundbar, seit 2007 existiert ein theoretischer Angriff. Auf dem 25C3 zeigen unter anderem Alexander Sotirov und Jacob Appelbaum, wie sich MD5 auch praktisch angreifen lässt. Zur Demonstration fälschten sie ein SSL-Zertifikat.

Cluster mit 200 PS3 Noch immer nutzen einige CAs MD5. Von 30.000 gesammelten Zertifikaten waren 9.000 mit MD5 unterschrieben und damit anfällig. Für einen praktischen Angriff bedarf es aber noch einer bestimmten Seriennummer. Zur Demonstration wurde RapidSSL genutzt, denn der Anbieter stellt Zertifikate exakt nach sechs Sekunden aus und nummeriert seine Zertifikate fortlaufend. So lassen sich leicht Zertifikate mit einer bestimmten Seriennummer und einem bestimmten Ablaufdatum erstellen.

Mit einem Cluster aus 200 Playstation 3, den vorab bekannten Seriennummern und dem bekannten Angriff auf MD5 benötigten die Hacker ein bis zwei Tage, um ein kollidierendes Zertifikat zu finden. So ist es möglich, ein echtes SSL-Zertifikat mit gefälschten Informationen zu versehen. Die Hacker gelangten dabei an ein CA-Zertifikat, mit dem sich weitere Zertifikate unterschreiben lassen, die als echtes, von der entsprechenden Certification Authority (CA) ausgestelltes Zertfikat, angesehen werden. Es kann zudem nicht zurückgerufen werden, weil ihm die entsprechende Rückruf-URL fehlt, die für gewöhnlich im Zertifikat enthalten ist.

Damit konnten die Hacker beweisen, dass sich die bekannten Angriffe auf MD5 praktisch nutzen lassen und keine akademische Spielerei sind. Der Aufwand ist überschaubar. Die Hacker investierten insgesamt 657 US-Dollar in SSL-Zertifikate und mit einigem Optimieren sollte sich ein entsprechender Angriff auch ohne eigenen Playstation-3-Cluster umsetzen lassen. Die Hacker und Forscher schätzen, dass sich mit rund 2.000 US-Dollar ausreichend Rechenzeit bei Amazon EC2 einkaufen lässt.

Sie warnen aber zugleich vor Panik: Der Angriff betrifft grundsätzlich nur CAs, die noch MD5 benutzen. Und diese haben zugesagt, nach einer Demonstration des Angriffs auf ein sicheres Hash-Verfahren wie SHA-1 zu wechseln. Zudem halten sie einige Optimierungen bezüglich des Angriffs zurück, den sie aber unter der Überschrift MD5 considered harmful today ausführlich dokumentieren. Und hätte RapidSSL zufällige Seriennummern und zufällige Zeitabstände bei der Ausstellung der Zertifikate genutzt, wäre der Angriff nicht möglich gewesen.

Um einige Unternehmen vorab warnen zu können, ohne sich der Gefahr auszusetzen, dass ihre Veröffentlichung mit rechtlichen Mitteln gestoppt wird, drängten die Hacker Mozilla und Microsoft dazu, eine Verschwiegenheitsverpflichtung zu unterzeichnen.