NSA-Programme wie Upstream hören den Internetverkehr ab, manches davon ist aber verschlüsselt.
NSA-Programme wie Upstream hören den Internetverkehr ab, manches davon ist aber verschlüsselt. (Bild: Washington Post)

SSL Wie sich Geheimdienste selbst Zertifikate ausstellen

Ein Experte von Kaspersky Lab erzählt im Gespräch mit Golem.de, welche Möglichkeiten Geheimdienste haben, um SSL anzugreifen.

Anzeige

Laut einem Medienbericht setzen Behörden in den USA vor allem kleinere Unternehmen unter Druck, damit diese Generalschlüssel für SSL-Verschlüsselung herausgeben. Wir haben darüber mit Christian Funk, Senior Virus Analyst bei Kaspersky Lab, gesprochen.

Funk: "Rein technisch gesehen gibt es zwei Stellen, an welchen die Private Keys zur Kompromittierung für SSL-Verbindung abgegriffen werden können. Zum einen ist dies bei den Zertifizierungsstellen (Certificate Authorities) möglich, welche die digitalen Zertifikate ausstellt. Sollte eine solche Institution kollaborieren oder kompromittiert werden, wie etwa im Fall von Diginotar im Jahr 2011, könnten durch diese technisch legitime Zertifikate ausgestellt werden, welche für Man-In-The-Middle-Angriffe eingesetzt werden können."

Bereits die erfolgreichen Angriffe auf die verhältnismäßig kleine Certificate Authority Diginotar in den Niederlanden verursachten Ausfälle im Internet. Die Niederlande mussten ihre E-Government-Dienste teils abschalten und Diginotar ging schließlich pleite.

Zum anderen können die Private Keys der anzugreifenden Unternehmen - ebenfalls via Einbruch oder Zusammenarbeit - direkt von den Geheimdiensten übernommen werden, sagte Funk.

Laut einem Bericht soll das System SSL durch seine langlebigen Master-Keys angreifbar sein: Diese Keys, die wie ein Generalschlüssel eines Anbieters arbeiten, sollen nämlich von US-Behörden bei den Providern eingefordert werden. Ein Mitarbeiter eines Onlineunternehmes, der entsprechende Anfragen beantworten musste, sagte Cnet: "Die Regierung verlangt definitiv SSL-Keys von Providern." Mit einem Master-Key kann dann die gesamte SSL-Kommunikation, die über die Server eines Anbieters läuft, entschlüsselt werden.

Die Onlineunternehmen setzen zunehmend nicht mehr nur auf SSL allein, sondern auch auf das nicht mit Generalschlüsseln arbeitende Verfahren PFS. "PFS hat hier systembedingt starke Vorteile. Da die Passphrase zur Verschlüsselung nie übertragen wird. Zudem wird ein neuer Schlüssel für jede Session generiert, so dass im Fall der Fälle nur eine Sitzung entschlüsselt werden kann, nicht aber alle vergangenen oder zukünftigen Datenpakete", erklärte Funk.

Es wird unter anderem von Google bei manchen Diensten eingesetzt, aber auch nicht bei allen, weil sowohl Browser als auch Server es vollständig unterstützen müssen.


sockets12 19. Aug 2013

müssten die Roots "T-TeleSec GlobalRoot Class 3" und "Deutsche Telekom Root CA 2" sein...

nick331 18. Aug 2013

OpenSSL reicht. Damit kannst du ein Root-Zertifikat erzeugen und damit Keypaare...

vol1 17. Aug 2013

...erstellen sich Seiten, die eher auf der anti-NSA Seite sind, auch ihre Zertifikate...

CiC 16. Aug 2013

Die Ciphersuite bestimmt (unter anderem) den Schlüsselaustauschalgorithmus. Eine suite...

CybroX 16. Aug 2013

Und der wird dann in den PC gesteckt, gescannt und als 3D Modell an Google übertragen um...

Kommentieren



Anzeige

  1. Scientific Programmer (m/w)
    CeMM Research Center for Molecular Medicine of the Austrian Academy of Sciences, Vienna (Austria)
  2. Projektverantwortlicher (m/w) Diagnose / Service-Funktionen von Lokomotiven
    Siemens AG, Erlangen
  3. Webentwickler (m/w) IT
    Walbusch Walter Busch GmbH & Co. KG, Solingen
  4. Informatiker (m/w)
    Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz

 

Detailsuche


Blu-ray-Angebote
  1. 3 Blu-rays für 20 EUR
    (u. a. Man of Steel, Der große Gatsby, Ohne Limit, Inception)
  2. Jurassic Park 2 - Vergessene Welt - Steelbook [Blu-ray] [Limited Edition]
    14,99€
  3. Musik-Filme u. Konzerte auf Blu-ray/DVD bis zu 40% reduziert

 

Weitere Angebote


Folgen Sie uns
       


  1. Xbox One

    Firmware-Update bringt Sprachnachrichten auf die Konsole

  2. Elektromobilitätsgesetz

    Bundesrat gibt Elektroautos mehr Freiheiten

  3. 2160p60

    Youtube startet fordernde 60-fps-Videos in scharfem 4K

  4. Nuclide

    Facebook stellt quelloffene IDE vor

  5. Test Borderlands Handsome Collection

    Pandora und Mond etwas schöner

  6. Net-a-Porter

    Amazon soll vor 2-Milliarden-Dollar-Übernahme stehen

  7. Fire TV mit neuer Firmware im Test

    Streaming-Box wird vielfältiger

  8. Knights Landing

    Die Xeon Phi beherbergt Intels bisher größten Chip

  9. Volker Kauder

    Mehr deutsche Teststrecken für selbstfahrende Autos gefordert

  10. Wearable

    Smartwatch Olio soll vor Benachrichtigungsflut schützen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Jugendliche und soziale Netzwerke: Geh sterben, Facebook!
Jugendliche und soziale Netzwerke
Geh sterben, Facebook!
  1. 360-Grad-Videos und neuer Messenger Facebook zeigt seinen Nutzern Rundumvideos
  2. Urheberrecht Bild-Fotograf zieht Abmahnung zum Facebook-Button zurück
  3. Urheberrecht Abmahnung wegen Nutzung des Facebook-Buttons bei Bild.de

KNX-Schwachstellen: Spielen mit den Lichtern der anderen
KNX-Schwachstellen
Spielen mit den Lichtern der anderen
  1. Danalock Wenn das Smartphone die Tür öffnet
  2. Apple Homekit will nicht in jedes Smart Home einziehen
  3. Elgato Eve Heimautomation mit Apple Homekit

HTC One (M9) im Test: Endlich eine gute Kamera
HTC One (M9) im Test
Endlich eine gute Kamera
  1. Lollipop Erstes HTC-One-Smartphone erhält kein Android 5.1

  1. Re: nur für den fall ..

    VerkaufAlles | 20:03

  2. Re: Die BRD möchte, dass ich ein E-Auto kaufe?

    robinx999 | 20:01

  3. Re: Microsoft macht weiter so!

    VerkaufAlles | 20:01

  4. Re: Aber bitte unter 23 Jahre alt....

    MarioWario | 19:58

  5. Re: Schlicht lächerlich!

    robinx999 | 19:58


  1. 17:09

  2. 15:52

  3. 15:22

  4. 14:24

  5. 14:00

  6. 13:45

  7. 13:44

  8. 13:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel