Anzeige
Chromium warnt vor einem abgelaufenen Zertifikat, aber der Nutzer erfährt nicht, dass es selbst signiert und somit sowieso ungültig ist.
Chromium warnt vor einem abgelaufenen Zertifikat, aber der Nutzer erfährt nicht, dass es selbst signiert und somit sowieso ungültig ist. (Bild: Screenshot Hanno Böck)

TLS-Bibliotheken: Fehler finden mit fehlerhaften Zertifikaten

Mit Hilfe von fehlerhaften X.509-Zertifikaten haben Forscher zahlreiche zum Teil sicherheitskritische Bugs in TLS-Bibliotheken gefunden. Erneut wurde dabei eine gravierende Sicherheitslücke in GnuTLS entdeckt.

Anzeige

Ein Forscherteam hat zahlreiche Fehler in quelloffenen Verschlüsselungsbibliotheken bei der Überprüfung von Zertifikaten entdeckt. In GnuTLS und in MatrixSSL wurden dabei Sicherheitslücken entdeckt, die unter bestimmten Umständen Man-in-the-Middle-Angriffe ermöglichen.

Mit Hilfe eines Scans wurden zunächst etwa 250.000 echte Zertifikate, die auf Internetservern zum Einsatz kommen, gesammelt. Anschließend wurden in diesen Zertifikaten zahlreiche Parameter geändert, sie waren aber weiterhin korrekt lesbar. Die Forscher nennen diese manipulierten Zertifikate passenderweise "Frankencerts". Anschließend wurde geprüft, ob die Prüfroutinen der verschiedenen TLS-Bibliotheken die Zertifikate als gültig betrachten. Die Idee: Wenn ein Zertifikat von einer Bibliothek als gültig und von einer anderen als ungültig betrachtet wird, ist eine der Prüfroutinen fehlerhaft.

In GnuTLS und MatrixSSL wurden alte Zertifikate, die nach der veralteten Version 1 des X.509-Standards erstellt wurden, grundsätzlich als Zertifizierungsstellen akzeptiert. Das bedeutet, dass ein Angreifer, der ein solches altes Zertifikat von einer Zertifizierungsstelle erhält, damit beliebige weitere Zertifikate signieren konnte. Der entsprechende Fehler in GnuTLS, der mit der ID CVE-2014-1959 bezeichnet wird, wurde bereits Anfang März in der Version 3.2.12 behoben, von MatrixSSL gibt es noch kein Update.

Damit hatte GnuTLS in der vergangenen Zeit zwei derartige Sicherheitslücken. Anfang März wurde bereits berichtet, dass die Bibliothek speziell präparierte fehlerhafte Zertifikate als gültig anerkennt und somit Angriffe ermöglicht.

Browserwarnungen verwirrend

Weiterhin fanden die Autoren heraus, dass in manchen Browsern teilweise den Nutzern sehr verwirrende Warnungen gezeigt werden. So wird in Chrome und Chromium unter Linux sowie in Safari ein Zertifikat, welches von keiner vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde und gleichzeitig abgelaufen ist, dem Nutzer nur als abgelaufen angezeigt. Ein Nutzer könnte denken, dass ein abgelaufenes Zertifikat nicht so schlimm ist, da dies häufiger vorkommt, wenn ein Administrator vergisst, das Zertifikat rechtzeitig zu erneuern. Dass das Zertifikat generell nicht als gültig erkannt wurde, erfährt man nicht.

Zahlreiche weitere Fehler wurden ebenfalls aufgedeckt, so prüften etwa verschiedene TLS-Bibliotheken unzureichend, wenn in Zertifikaten Beschränkungen für die Nutzung von kryptographischen Schlüsseln eingetragen wurden. Alle Entwickler der entsprechenden Bibliotheken und Browser wurden von den Autoren informiert.

Die Forscher haben sich auf quelloffene TLS-Bibliotheken konzentriert, weisen aber darauf hin, dass man die gleichen Tests auch mit proprietären Bibliotheken durchführen könnte. Durchgeführt wurden die Tests von einem Team von Wissenschaftlern der University of Texas in Austin und der University of California in Davis.


eye home zur Startseite

Kommentieren



Anzeige

  1. Senior-Manager (m/w) Koordination Informationssicherheit
    Deutsche Post DHL Group, Bonn
  2. Systemberater/in Client Betriebssysteme
    Robert Bosch GmbH, Stuttgart-Feuerbach
  3. Java Softwareingenieur/in OES Diagnostics
    Robert Bosch GmbH, Plochingen
  4. IT-Spezialistin/IT-Spezialist (Windows-Arbeitsplätze)
    Landeshauptstadt München, München

Detailsuche



Anzeige
Spiele-Angebote
  1. VORBESTELLBAR: DEUS EX: MANKIND DIVIDED - Collector's Edition (PC/PS4/Xbox One)
    119,00€/129,00€ (Vorbesteller-Preisgarantie)
  2. Overwatch - Origins Edition [PC]
    54,99€
  3. TIPP: Ubisoft Blockbuster Sale
    (u. a. The Division ab 24,97€, Far Cry Primal ab 29,00€, Anno 2205 24,97€, Assassin's Creed...

Weitere Angebote


Folgen Sie uns
       


  1. Basistunnel

    Bestens vernetzt durch den Gotthard

  2. Kniterate

    Der Maker lässt stricken

  3. Maker Faire Hannover 2016

    Denkt denn keiner an die Kinder? Doch, alle!

  4. Sampling

    Hip-Hop bleibt erlaubt

  5. Tubeninja

    Youtube fordert Streamripper zur Schließung auf

  6. iPhone 7

    Erste Kopfhörer-Adapter für Lightning-auf-Klinke gesichtet

  7. Wiko Jerry

    Das schwer zu bekommende 100-Euro-Smartphone

  8. Snapdragon Wear 1100

    Neuer Chip für kleine Linux- und RTOS-Wearables

  9. 8x Asus ROG

    180-Hz-Display, Project Avalon, SLI-WaKü-Notebook & mehr

  10. Velohub Blinkers

    Blinker und Laserabstandhalter fürs Fahrrad



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Doom im Test: Die beste blöde Ballerorgie
Doom im Test
Die beste blöde Ballerorgie
  1. Doom im Technik-Test Im Nightmare-Mode erzittert die Grafikkarte
  2. id Software Doom wird Vulkan unterstützen
  3. Id Software PC-Spieler müssen 45 GByte von Steam laden

Darknet: Die gefährlichen Anonymitätstipps der Drogenhändler
Darknet
Die gefährlichen Anonymitätstipps der Drogenhändler
  1. Privatsphäre 1 Million Menschen nutzen Facebook über Tor
  2. Security Tor-Nutzer über Mausrad identifizieren

Privacy-Boxen im Test: Trügerische Privatheit
Privacy-Boxen im Test
Trügerische Privatheit
  1. Fehler in Blogsystem 200.000 Zugangsdaten von SZ-Magazin kopiert
  2. Überwachung Aufregung um Intermediate-Zertifikat für Bluecoat
  3. IT-Sicherheit SWIFT-Hack vermutlich größer als bislang angenommen

  1. Re: Ahja.

    kendon | 11:55

  2. Re: Diese Überschrift

    Bouncy | 11:54

  3. Re: Also sind alle in Gebieten die nicht ausbauen...

    neocron | 11:53

  4. Re: unverständlich

    dg90 | 11:53

  5. Re: es ist der einzige Weg die GEMA-Sperre zu umgehen

    KerberoZ | 11:53


  1. 12:04

  2. 11:49

  3. 11:41

  4. 11:03

  5. 10:40

  6. 10:08

  7. 09:54

  8. 09:10


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel