NSA-Programme wie Upstream hören den Internetverkehr ab, manches davon ist aber verschlüsselt.
NSA-Programme wie Upstream hören den Internetverkehr ab, manches davon ist aber verschlüsselt. (Bild: Washington Post)

SSL Wie sich Geheimdienste selbst Zertifikate ausstellen

Ein Experte von Kaspersky Lab erzählt im Gespräch mit Golem.de, welche Möglichkeiten Geheimdienste haben, um SSL anzugreifen.

Anzeige

Laut einem Medienbericht setzen Behörden in den USA vor allem kleinere Unternehmen unter Druck, damit diese Generalschlüssel für SSL-Verschlüsselung herausgeben. Wir haben darüber mit Christian Funk, Senior Virus Analyst bei Kaspersky Lab, gesprochen.

Funk: "Rein technisch gesehen gibt es zwei Stellen, an welchen die Private Keys zur Kompromittierung für SSL-Verbindung abgegriffen werden können. Zum einen ist dies bei den Zertifizierungsstellen (Certificate Authorities) möglich, welche die digitalen Zertifikate ausstellt. Sollte eine solche Institution kollaborieren oder kompromittiert werden, wie etwa im Fall von Diginotar im Jahr 2011, könnten durch diese technisch legitime Zertifikate ausgestellt werden, welche für Man-In-The-Middle-Angriffe eingesetzt werden können."

Bereits die erfolgreichen Angriffe auf die verhältnismäßig kleine Certificate Authority Diginotar in den Niederlanden verursachten Ausfälle im Internet. Die Niederlande mussten ihre E-Government-Dienste teils abschalten und Diginotar ging schließlich pleite.

Zum anderen können die Private Keys der anzugreifenden Unternehmen - ebenfalls via Einbruch oder Zusammenarbeit - direkt von den Geheimdiensten übernommen werden, sagte Funk.

Laut einem Bericht soll das System SSL durch seine langlebigen Master-Keys angreifbar sein: Diese Keys, die wie ein Generalschlüssel eines Anbieters arbeiten, sollen nämlich von US-Behörden bei den Providern eingefordert werden. Ein Mitarbeiter eines Onlineunternehmes, der entsprechende Anfragen beantworten musste, sagte Cnet: "Die Regierung verlangt definitiv SSL-Keys von Providern." Mit einem Master-Key kann dann die gesamte SSL-Kommunikation, die über die Server eines Anbieters läuft, entschlüsselt werden.

Die Onlineunternehmen setzen zunehmend nicht mehr nur auf SSL allein, sondern auch auf das nicht mit Generalschlüsseln arbeitende Verfahren PFS. "PFS hat hier systembedingt starke Vorteile. Da die Passphrase zur Verschlüsselung nie übertragen wird. Zudem wird ein neuer Schlüssel für jede Session generiert, so dass im Fall der Fälle nur eine Sitzung entschlüsselt werden kann, nicht aber alle vergangenen oder zukünftigen Datenpakete", erklärte Funk.

Es wird unter anderem von Google bei manchen Diensten eingesetzt, aber auch nicht bei allen, weil sowohl Browser als auch Server es vollständig unterstützen müssen.


sockets12 19. Aug 2013

müssten die Roots "T-TeleSec GlobalRoot Class 3" und "Deutsche Telekom Root CA 2" sein...

nick331 18. Aug 2013

OpenSSL reicht. Damit kannst du ein Root-Zertifikat erzeugen und damit Keypaare...

vol1 17. Aug 2013

...erstellen sich Seiten, die eher auf der anti-NSA Seite sind, auch ihre Zertifikate...

CiC 16. Aug 2013

Die Ciphersuite bestimmt (unter anderem) den Schlüsselaustauschalgorithmus. Eine suite...

CybroX 16. Aug 2013

Und der wird dann in den PC gesteckt, gescannt und als 3D Modell an Google übertragen um...

Kommentieren



Anzeige

  1. (Junior) PHP Developer (m/w) als Projektleiter für E-Commerce und ERP-Systeme
    über ACADEMIC WORK, München
  2. Senior Software Developer (m/w)
    Empolis Information Management GmbH, Rimpar (bei Würzburg)
  3. Senior Microsoft System Engineer (m/w)
    zooplus AG, München
  4. Professur (m/w) Energy Informatics - Fakultät für Informatik / Kommunikation / Medien
    FH OÖ Studienbetriebs GmbH, Hagenberg (Österreich)

Detailsuche


Hardware-Angebote
  1. DANK IOS-APP ANDROID WEAR JETZT AUCH IPHONE-KOMPATIBEL: LG Watch Urbane Smartwatch
    259,00€
  2. TIPP: Alternate Schnäppchen Outlet
    (täglich neue Deals)
  3. Sandisk 16-GB-USB-3.0-Stick
    8,99€

Weitere Angebote


Folgen Sie uns
       


  1. Ifa-Ausblick im Video

    Notebook mit Wasserkühlung, ein Smartphone und eine Uhr

  2. Samsung Gear S2 im Hands on

    Drehbarer Ring schlägt Touchscreen

  3. Mobiles Internet

    Vodafone überbrückt Warten auf DSL-Anschluss mit Surfstick

  4. Alienware X51 R3

    Mini-PC setzt auf interne WaKü und externe Grafikkarten-Box

  5. Cross-Site-Scripting

    Netflix stellt Tool zum Auffinden von Sicherheitslücken vor

  6. Asynchronous Shader

    Nvidias Grafikkarten soll eine wichtige DX12-Funktion fehlen

  7. Huawei G8

    Neues Smartphone mit Fingerabdrucksensor für 400 Euro

  8. Pioneer XDP-100R

    Android-basierter Hi-Res-Audio-Player

  9. Verbraucherschützer

    Nicht über neue Hardware bei All-IP-Umstellung informiert

  10. Let's Play

    Machinima muss bezahlte Youtube-Videos kennzeichnen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Autonomes Fahren: Wer hat die besten Karten?
Autonomes Fahren
Wer hat die besten Karten?
  1. Nokia Ozo nimmt 360-Grad-Videos in Echtzeit auf
  2. Nokia Here Daimler will eigene Karten aus Angst vor Hackerattacken
  3. Kartendienst Nokia Here geht für 2,5 Milliarden an deutsche Autobauer

Snowden-Dokumente: Die planmäßige Zerstörungswut des GCHQ
Snowden-Dokumente
Die planmäßige Zerstörungswut des GCHQ
  1. Macbooks IBM wechselt vom Lenovo Thinkpad zum Mac
  2. Liske Bitkom schließt Vorstandsmitglied im Streit aus
  3. IuK-Kommission Das Protokoll des Bundestags-Hacks

Ideapad Miix 700 im Hands On: Lenovo baut ein Surface
Ideapad Miix 700 im Hands On
Lenovo baut ein Surface
  1. Smartphones, Tablets und eine Smartwatch Asus' Zen-Armada
  2. Smartwatches Motorola stellt neue Moto 360 und Moto 360 Sport vor
  3. Notebooks mit neuem Intel-Prozessor Mit Skylake kommt meist USB-Typ-C

  1. Re: Ich klage gerade gegen Paypal wegen Betrug.

    Shkupi | 23:21

  2. Re: Eigentlich bin ich Nvidia Fan...

    Buttermilch | 23:20

  3. Re: wer braucht sowas heute noch?

    AndreasJanke | 23:15

  4. Re: Qualität hörbar?

    Legacyleader | 23:13

  5. Thinkpad Yoga gibt's schon seit 2014

    user28817 | 23:13


  1. 22:52

  2. 19:00

  3. 18:14

  4. 18:09

  5. 17:34

  6. 16:42

  7. 16:33

  8. 16:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel