Chromium warnt vor einem abgelaufenen Zertifikat, aber der Nutzer erfährt nicht, dass es selbst signiert und somit sowieso ungültig ist.
Chromium warnt vor einem abgelaufenen Zertifikat, aber der Nutzer erfährt nicht, dass es selbst signiert und somit sowieso ungültig ist. (Bild: Screenshot Hanno Böck)

TLS-Bibliotheken: Fehler finden mit fehlerhaften Zertifikaten

Mit Hilfe von fehlerhaften X.509-Zertifikaten haben Forscher zahlreiche zum Teil sicherheitskritische Bugs in TLS-Bibliotheken gefunden. Erneut wurde dabei eine gravierende Sicherheitslücke in GnuTLS entdeckt.

Anzeige

Ein Forscherteam hat zahlreiche Fehler in quelloffenen Verschlüsselungsbibliotheken bei der Überprüfung von Zertifikaten entdeckt. In GnuTLS und in MatrixSSL wurden dabei Sicherheitslücken entdeckt, die unter bestimmten Umständen Man-in-the-Middle-Angriffe ermöglichen.

Mit Hilfe eines Scans wurden zunächst etwa 250.000 echte Zertifikate, die auf Internetservern zum Einsatz kommen, gesammelt. Anschließend wurden in diesen Zertifikaten zahlreiche Parameter geändert, sie waren aber weiterhin korrekt lesbar. Die Forscher nennen diese manipulierten Zertifikate passenderweise "Frankencerts". Anschließend wurde geprüft, ob die Prüfroutinen der verschiedenen TLS-Bibliotheken die Zertifikate als gültig betrachten. Die Idee: Wenn ein Zertifikat von einer Bibliothek als gültig und von einer anderen als ungültig betrachtet wird, ist eine der Prüfroutinen fehlerhaft.

In GnuTLS und MatrixSSL wurden alte Zertifikate, die nach der veralteten Version 1 des X.509-Standards erstellt wurden, grundsätzlich als Zertifizierungsstellen akzeptiert. Das bedeutet, dass ein Angreifer, der ein solches altes Zertifikat von einer Zertifizierungsstelle erhält, damit beliebige weitere Zertifikate signieren konnte. Der entsprechende Fehler in GnuTLS, der mit der ID CVE-2014-1959 bezeichnet wird, wurde bereits Anfang März in der Version 3.2.12 behoben, von MatrixSSL gibt es noch kein Update.

Damit hatte GnuTLS in der vergangenen Zeit zwei derartige Sicherheitslücken. Anfang März wurde bereits berichtet, dass die Bibliothek speziell präparierte fehlerhafte Zertifikate als gültig anerkennt und somit Angriffe ermöglicht.

Browserwarnungen verwirrend

Weiterhin fanden die Autoren heraus, dass in manchen Browsern teilweise den Nutzern sehr verwirrende Warnungen gezeigt werden. So wird in Chrome und Chromium unter Linux sowie in Safari ein Zertifikat, welches von keiner vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde und gleichzeitig abgelaufen ist, dem Nutzer nur als abgelaufen angezeigt. Ein Nutzer könnte denken, dass ein abgelaufenes Zertifikat nicht so schlimm ist, da dies häufiger vorkommt, wenn ein Administrator vergisst, das Zertifikat rechtzeitig zu erneuern. Dass das Zertifikat generell nicht als gültig erkannt wurde, erfährt man nicht.

Zahlreiche weitere Fehler wurden ebenfalls aufgedeckt, so prüften etwa verschiedene TLS-Bibliotheken unzureichend, wenn in Zertifikaten Beschränkungen für die Nutzung von kryptographischen Schlüsseln eingetragen wurden. Alle Entwickler der entsprechenden Bibliotheken und Browser wurden von den Autoren informiert.

Die Forscher haben sich auf quelloffene TLS-Bibliotheken konzentriert, weisen aber darauf hin, dass man die gleichen Tests auch mit proprietären Bibliotheken durchführen könnte. Durchgeführt wurden die Tests von einem Team von Wissenschaftlern der University of Texas in Austin und der University of California in Davis.


Kommentieren



Anzeige

  1. Firmware-Entwickler (m/w) - Industrielle Drucksysteme
    Atlantic Zeiser GmbH, Emmingen
  2. Senior Javascript Frontend Developer (m/w)
    tresmo GmbH, Augsburg
  3. Engineer (m/w) für Software / Hardware im Bereich Gebäudeautomation
    Siemens AG, Stuttgart
  4. Datenbank- / Anwendungsentwickler (m/w)
    MULTIVAC Sepp Haggenmüller GmbH & Co. KG, Wolfertschwenden

 

Detailsuche


Hardware-Angebote
  1. Samsung Ultra-HD-Monitor U28D590D
    339,00€ inkl. Versand über Redcoon
  2. GeForce GTX 960
    ab 199,90€ bei Alternate lieferbar
  3. Raidmax Blackstorm Green
    64,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Spionagesoftware

    NSA-Programm Regin zwei Jahre im Kanzleramt aktiv

  2. Biofabrikation

    Forscher wollen Gewebe aus Spinnenseide drucken

  3. Ultrabook-Prozessor

    Intels Skylake ersetzt Broadwell bereits im Frühsommer

  4. GTX-970-Affäre

    AMD veralbert Nvidia per Twitter und verlost Grafikkarten

  5. Spielebranche

    Sega streicht 300 Stellen

  6. Gegen Pegida

    Informatiker und Bitkom für Flüchtlinge und Vielfalt

  7. Smartphones

    Huawei empfindet Windows Phone als Einheitsbrei

  8. FCC

    Erst 25 MBit/s sind in den USA jetzt ein Breitbandanschluss

  9. DVB-T2/HEVC

    Nur ein Betreiber will Antennen-TV in HD aufbauen

  10. Place Tips

    Facebook wird zum Stadtführer



Haben wir etwas übersehen?

E-Mail an news@golem.de



Sentry Eye Tracker ausprobiert: Nur Anfänger starren auf die Mini-Map
Sentry Eye Tracker ausprobiert
Nur Anfänger starren auf die Mini-Map
  1. Mad Catz Mobiler Alleskönner-Controller Lynx 9 vorgestellt
  2. Smartpen Livescribe 3 lernt Android
  3. Eingabegerät Apple erhält Patent für funkenden Stift

Präsenz ist die neue Immersion: Die Zukunft von Virtual und Augmented Reality
Präsenz ist die neue Immersion
Die Zukunft von Virtual und Augmented Reality
  1. WebVR Oculus-Support im Firefox Nightly
  2. Virtual Reality Facebook sucht Oculus-Experten
  3. Magic-Leap-Patente AR-Brille lässt Herzen in OP-Sälen schweben

Sony Alpha 7 II im Test: Fast ins Schwarze getroffen
Sony Alpha 7 II im Test
Fast ins Schwarze getroffen
  1. Systemkamera Olympus kündigt neues Modell im OM-D-System an
  2. Seek XR Wärmebildkamera mit Zoom für Android und iOS
  3. Geco Mark II Federleichte Actionkamera für den Brillenbügel

    •  / 
    Zum Artikel