Adobe: Entfernung von Diginotar-Zertifikaten kann dauern
Adobe warnt Anwender seiner PDF-Programme vor. In Adobe Reader und Acrobat soll es mehrere als kritisch eingestufte Sicherheitslücken geben. Demzufolge wird Adobe zu seinem ohnehin geplanten Quartalspatchday ein Sicherheitsupdate am 13. September 2011 veröffentlichen. Meist geschieht das durch die Zeitverzögerung erst am Abend in Europa.
Die genauen Probleme nennt Adobe nicht in seinem Security Advisory(öffnet im neuen Fenster) . Betroffen sind alle noch von Adobe unterstützten PDF-Programme, genauer gesagt die Versionen 8, 9 und 10.
Gleichzeitig hat Adobe angekündigt, die Root-Zertifikate der niederländischen Firma Diginotar zu entfernen. Sie werden aus der Adobe Approved Trust List (AATL) entfernt, die Adobe-PDF-Programme der Version 9 und 10 unterstützen. Wer nicht warten will, kann einer Anleitung folgen, um die Zertifikate selbst zu entfernen(öffnet im neuen Fenster) . Es liegt nahe, dass Adobe die AATL zusammen mit den Sicherheitsupdates anpasst. Das bedeutet allerdings nicht, dass die aktuellen Daten auch beim Endanwender ankommen.
Die AATL ist für Angriffe auf Certificate Authorities nicht vorbereitet
Laut Adobe aktualisiert sich die AATL der PDF-Programme bestenfalls nur alle 30 bis 90 Tage(öffnet im neuen Fenster) . Das setzt aber voraus, dass der Anwender ein digital signiertes Dokument öffnet, ein Dokument signiert oder Zugriff auf die Signaturfunktionen nimmt. Wer das nicht tut, der bekommt kein Update der AATL. Für Angriffe auf die Infrastruktur der Certificate Authority ist das zu viel Zeit, die vergeht, um sich zu wehren. Es besteht zumindest die Möglichkeit, dass Adobe mit dem Patch am 13. September 2011 den Umgang mit der AATL verändert. Allerdings sagt die Firma dies nicht in ihrer Ankündigung.
Damit haben zahlreiche Softwareentwickler drastische Konsequenzen aus dem Einbruch gezogen. Unter anderem haben Mozilla , Microsoft und zahlreiche Linux-Distributionen Diginotar die Geschäftsgrundlage genommen. Betriebssystemhersteller Apple hat bisher nicht reagiert.
Nach einem Einbruch bei Diginotar konnten Angreifer über 500 Zertifikate ausstellen , was insbesondere die Niederlande in Bedrängnis brachte. Die Niederlande haben als Konsequenz Diginotar komplett das Vertrauen entzogen und fordern ihre Bürger auf, zu Stift und Papier zu greifen .
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.