Abo
  • Services:

Zertifikate

Grobe Sicherheitsmängel bei Diginotar

Der Einbruch in die Server des niederländischen Zertifikatsanbieters Diginotar hat weitreichendere Folgen als bisher bekannt, meldet die niederländische Regierung. Und ein erstes Zwischengutachten belegt grobe Fehler von Diginotar.

Artikel veröffentlicht am ,
Fox-IT findet grobe Sicherheitsmängel bei Diginotar.
Fox-IT findet grobe Sicherheitsmängel bei Diginotar. (Bild: Diginotar)

Die niederländische Regierung informiert über das Ausmaß des Einbruchs in die Server von Diginotar, das Tor-Projekt hat nun die ihm zur Verfügung gestellten Informationen veröffentlicht. Demnach haben sich die Angreifer 531 Zertifikate ausgestellt, darunter auch solche für die Websites des US-Geheimdienstes CIA, die von Skype und Wordpress, Facebook, Microsoft, Mozilla, Yahoo und dem Tor-Projekt.

Stellenmarkt
  1. Fachhochschule Aachen, Jülich
  2. Abel Mobilfunk GmbH & Co.KG, Engelsberg, Rödermark

Zwar wurde auch das Zertifikat für Microsofts Website windowsupdate.com gefälscht, über die Microsoft Updates für Windows verteilt, Microsoft weist aber darauf hin, dass die Updates nochmals mit einem zweiten Zertifikat signiert sind, über das Microsoft selbst die Kontrolle hat, so dass es nicht möglich ist, Windows-Nutzern gefälschte Zertifikate unterzuschieben.

Auch die weitreichenden Zertifikate für *.*.com und *.*.org wurden ausgestellt. Diese sollten aber von keinem Browser akzeptiert werden. Auch Zertifikate auf den Namen anderer Zertifikatsanbieter haben sich die Angreifer ausgestellt, darunter "Verisign Root CA" und "Thawte Root CA".

Veraltete Software und unsicheres Netzwerksetup

Diginotar hat derweil einen von Fox-IT erstellten Bericht zu dem Einbruch veröffentlicht. Demnach liegt die Vermutung nahe, dass es den Angreifern vor allem darum ging, Nutzer im Iran auszuforschen.

Zudem kommt Fox-IT zu dem Schluss, dass das Netzwerksetup von Diginotar nicht sicher genug ist, um solche Angriffe abzuwehren: Auf den kritischsten Servern wurde Malware gefunden, die eigentlich von einer Antivirussoftware hätte entdeckt werden können. Doch eine Antivirussoftware wurde auf den Systemen nicht verwendet. Die Trennung dieser kritischen Systeme im Netzwerk habe nicht funktioniert oder nicht existiert, folgert Fox-IT.

Die CA-Server seien zwar physisch gut gesichert, aber über das lokale Verwaltungsnetzwerk zugänglich gewesen, in das eingebrochen wurde. Da alle CA-Server zudem Mitglieder der gleichen Windows-Domäne gewesen seien, hätten die Angreifer mit einer Usernamen-Passwort-Kombination auf alle CA-Server von Diginotar zugreifen können. Das Passwort selbst sei nicht sonderlich sicher und leicht per Brute-Force-Angriff auszuhebeln gewesen.

Die auf den öffentlichen Webservern installierte Software sei veraltet gewesen und auch aktuelle Sicherheitsupdates seien nicht eingespielt worden, heißt es in dem Bericht von Fox-IT, den Diginotar veröffentlicht hat.

Zwar habe es ein Intrusion Prevention System auf den Servern gegeben, es habe aber nicht angeschlagen. Warum, sei noch unklar.



Anzeige
Blu-ray-Angebote
  1. (u. a. Der Marsianer, Spaceballs, Titanic, Batman v Superman)
  2. (u. a. Deadpool, Alien Covenant, Assassins Creed)
  3. (2 Monate Sky Ticket für nur 4,99€)

Caprico 06. Sep 2011

Das Ding heißt "Diginotar" und nicht "Diginator", wie im erstem Absatz geschrieben. Edit...


Folgen Sie uns
       


Always Connected PCs angesehen (Windows 10 on ARM)

Mit einer neuen Plattform will Microsoft noch einmal ARM-basierte Geräte als Notebook-Alternative auf den Markt bringen. Dieses Mal können auch zahlreiche alte Programme ausgeführt werden.

Always Connected PCs angesehen (Windows 10 on ARM) Video aufrufen
Datenschutz: Der Nutzer ist willig, doch die AGB sind schwach
Datenschutz
Der Nutzer ist willig, doch die AGB sind schwach

Verbraucher verstehen die Texte oft nicht wirklich, in denen Unternehmen erklären, wie ihre Daten verarbeitet werden. Datenschutzexperten und -forscher suchen daher nach praktikablen Lösungen.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Soziales Netzwerk Facebook will in Deutschland Vertrauen wiedergewinnen
  2. Denial of Service Facebook löscht Cybercrime-Gruppen mit 300.000 Mitgliedern
  3. Vor Anhörungen Zuckerberg nimmt alle Schuld auf sich

Xperia XZ2 Compact im Test: Sonys kompaktes Top-Smartphone bleibt konkurrenzlos
Xperia XZ2 Compact im Test
Sonys kompaktes Top-Smartphone bleibt konkurrenzlos

Sony konzentriert sich beim Xperia XZ2 Compact erneut auf die alte Stärke der Serie und steckt ein technisch hervorragendes Smartphone in ein kompaktes Gehäuse. Heraus kommt ein kleines Gerät, das kaum Wünsche offenlässt und in dieser Größenordnung im Grunde ohne Konkurrenz ist.
Ein Test von Tobias Költzsch

  1. Xperia XZ2 Premium Sony stellt Smartphone mit lichtempfindlicher Dualkamera vor
  2. Sony Grundrauschen an Gerüchten über die Playstation 5 nimmt zu
  3. Playstation Sony-Chef Kaz Hirai verabschiedet sich mit starken Zahlen

Underworld Ascendant angespielt: Unterirdische Freiheit mit kaputter Klinge
Underworld Ascendant angespielt
Unterirdische Freiheit mit kaputter Klinge

Wir sollen unser Können aus dem bahnbrechenden Ultima Underworld verlernen: Beim Anspielen des Nachfolgers Underworld Ascendant hat Golem.de absichtlich ein kaputtes Schwert bekommen - und trotzdem Spaß.
Von Peter Steinlechner

  1. Otherside Entertainment Underworld Ascendant soll mehr Licht ins Dunkle bringen

    •  /