Abo
  • Services:
Anzeige
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit.
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit. (Bild: MelVic/Wikimedia Commons/CC by-sa 3.0)

HTTPS: BGP-Angriff gefährdet TLS-Zertifikatssystem

BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit.
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit. (Bild: MelVic/Wikimedia Commons/CC by-sa 3.0)

Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.

Anzeige

TLS-Zertifikate sind ein wichtiger Baustein für verschlüsselte Verbindungen im Netz. Wer eine HTTPS-Seite betreibt, muss sich hierfür ein Zertifikat von einer anerkannten Zertifizierungsstelle ausstellen lassen. Doch die Prüfung, wer berechtigt ist, ein Zertifikat zu erhalten, ist äußerst fragil.

Prüfung über E-Mail, Webseiten oder DNS-Einträge

Es gibt verschiedene Wege, mit denen Zertifikatsaussteller prüfen, ob der Käufer eines Zertifikats der legitime Inhaber einer Domain ist. Häufig wird über eine E-Mail an Adressen mit den Prefixes webmaster@, hostmaster@ oder ähnlichen Adressen der Inhaber geprüft. Schon das führte in der Vergangenheit zu Ärger. Andere Zertifizierungsstellen erwarten, dass man eine Testdatei über den Webserver ausliefert oder einen entsprechenden DNS-Eintrag konfiguriert.

Allen diesen Möglichkeiten ist gemeinsam, dass sie selbst nicht kryptographisch abgesichert sind. Die Zertifizierungsstellen vertrauen darauf, dass eine Domain von dessen legitimem Besitzer kontrolliert wird. Dadurch ergeben sich fast zwangsläufig Angriffspunkte.

Auf eine Möglichkeit, diese Domainverifizierung anzugreifen, wies Artyom Gavrichenkov von der Firma Qrator Labs auf der Black-Hat-Konferenz hin: Manipulationen im Border Gateway Protocol (BGP). Dieses Routingprotokoll wird im Internet eingesetzt, um das Routing zwischen verschiedenen Providern zu organisieren. Das Problem: BGP ist praktisch nicht auf Sicherheit ausgelegt. Manipulationen sind sehr einfach möglich, ein Provider kann einem anderen Provider schlicht über das Protokoll mitteilen, dass er ab sofort für einen bestimmten IP-Netzbereich zuständig ist.

BGP-Knoten in der Nähe einer Zertifizierungsstelle

Um einen Angriff durchzuführen, muss ein Angreifer idealerweise einen BGP-Knoten in der Nähe einer beliebigen Zertifizierungsstelle kontrollieren. Es gibt Hunderte unterschiedliche Anbieter von TLS-Zertifikaten, die weltweit verteilt sind. Mittels BGP versucht der Angreifer, das Netz der Zertifizierungsstelle davon zu überzeugen, den Traffic für die IP des Opfers auf sich selbst umzuleiten. Anschließend kann der Angreifer beispielsweise über HTTP beliebige Daten ausliefern und einen Verifizierungsvorgang durchlaufen.

Gavrichenkovs Firma Qrator hat sich darauf spezialisiert, Auffälligkeiten im BGP-Traffic zu analysieren. Versucht ein Angreifer, global ein bestimmtes Netz mittels BGP-Angriffen umzurouten, fällt dies häufig auf. Im Fall des Angriffs auf die Zertifizierungsstelle ist aber nur eine lokal begrenzte Manipulation notwendig. Es ist sehr wahrscheinlich, dass der Betreiber des angegriffenen Netzes nie von dieser Manipulation erfährt.

Auf Nachfrage erklärte Gavrichenkov auf Twitter, dass er versucht hatte, diesen Angriff praktisch durchzuführen, aber letztendlich beim Bezahlvorgang für das Zertifikat abgebrochen hat. Es ist also davon auszugehen, dass dieser Angriff durchführbar ist. Bekanntgeworden sind derartige Angriffe bislang nicht.

HPKP und Certificate Transparency helfen begrenzt

Zumindest teilweise Abhilfe schaffen verschiedene Technologien, die das Zertifikatssystem stärken. Dazu gehören HTTP Public Key Pinning /HPKP und das von Google entwickelte Certificate Transparency. Key Pinning führt dazu, dass ein Angreifer mit einem falsch ausgestellten Zertifikat lediglich die erste Verbindung zu einem HTTPS-Server angreifen kann, anschließend speichert der Browser das legitime Zertifikat. Certificate Transparency ist ein globales Log von Zertifikaten und könnte helfen, dass derartige Manipulationen leichter auffallen. Perfekt sind beide Lösungen nicht. Die Absicherung von Zertifikaten mittels DANE über DNSSEC wird immer wieder vorgeschlagen, allerdings gibt es einige Zweifel an der Umsetzbarkeit.

Die Prüfung der Inhaber von Domains sicherer zu gestalten, ist nicht einfach. Die Ausstellung von Zertifikaten komplexer zu machen, widerspricht dem Ziel, die Zertifikatsausstellung zu erleichtern, um verschlüsselte Verbindungen zum Standard zu machen. Im Moment scheint eine Lösung für dieses Problem alles andere als einfach.


eye home zur Startseite
Popkornium18 09. Aug 2015

Theoretisch ist es möglich, aber einen BGP Knoten kontrollieren? Außer für Geheimdienste...

negecy 07. Aug 2015

Eben gerade nicht! Ich bin absolut nicht der Meinung, dass alles schnell und...



Anzeige

Stellenmarkt
  1. Alice Salomon Hochschule Berlin, Berlin
  2. Kreativagentur 1punkt7 GmbH & Co. KG, Berlin, Neubrandenburg
  3. ADLON Intelligent Solutions GmbH, Ravensburg
  4. BWI GmbH, Nürnberg oder München


Anzeige
Hardware-Angebote
  1. für 79,99€ statt 119,99€
  2. täglich neue Deals

Folgen Sie uns
       


  1. Autonomes Fahren

    Singapur kündigt fahrerlose Busse an

  2. Coinhive

    Kryptominingskript in Chat-Widget entdeckt

  3. Monster Hunter World angespielt

    Die Nahrungskettensimulation

  4. Rechtsunsicherheit bei Cookies

    EU warnt vor Verzögerung von ePrivacy-Verordnung

  5. Schleswig-Holstein

    Bundesland hat bereits 32 Prozent echte Glasfaserabdeckung

  6. Tesla Semi

    Teslas Truck gibt es ab 150.000 US-Dollar

  7. Mobilfunk

    Netzqualität in der Bahn weiter nicht ausreichend

  8. Bake in Space

    Bloß keine Krümel auf der ISS

  9. Sicherheitslücke

    Fortinet vergisst, Admin-Passwort zu prüfen

  10. Angry Birds

    Rovio verbucht Quartalsverlust nach Börsenstart



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gaming-Smartphone im Test: Man muss kein Gamer sein, um das Razer Phone zu mögen
Gaming-Smartphone im Test
Man muss kein Gamer sein, um das Razer Phone zu mögen
  1. Razer Phone im Hands on Razers 120-Hertz-Smartphone für Gamer kostet 750 Euro
  2. Kiyo und Seiren X Razer bringt Ringlicht-Webcam für Streamer
  3. Razer-CEO Tan Gaming-Gerät für mobile Spiele soll noch dieses Jahr kommen

Firefox 57: Viel mehr als nur ein Quäntchen schneller
Firefox 57
Viel mehr als nur ein Quäntchen schneller
  1. Firefox Nightly Build 58 Firefox warnt künftig vor Webseiten mit Datenlecks
  2. Mozilla Wenn Experimente besser sind als Produkte
  3. Mozilla Firefox 56 macht Hintergrund-Tabs stumm

Fire TV (2017) im Test: Das Streaminggerät, das kaum einer braucht
Fire TV (2017) im Test
Das Streaminggerät, das kaum einer braucht
  1. Neuer Fire TV Amazons Streaming-Gerät bietet HDR für 80 Euro
  2. Streaming Update für Fire TV bringt Lupenfunktion
  3. Streaming Amazon will Fire TV und Echo Dot vereinen

  1. Re: beeindruckende Ersparnis! Hätte nicht...

    thinksimple | 19:38

  2. Re: Rauschgift?

    quineloe | 19:37

  3. Re: Milchmädchenrechnung

    BerndRubel | 19:30

  4. Re: Schwerkraft durch Rotation?

    emdotjay | 19:30

  5. Re: Einfach legalisieren

    quineloe | 19:28


  1. 17:56

  2. 15:50

  3. 15:32

  4. 14:52

  5. 14:43

  6. 12:50

  7. 12:35

  8. 12:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel