Abo
  • Services:
Anzeige
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit.
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit. (Bild: MelVic/Wikimedia Commons/CC by-sa 3.0)

HTTPS: BGP-Angriff gefährdet TLS-Zertifikatssystem

BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit.
BGP-Routing entscheidet, wie Pakete im Internet transportiert werden, es bietet jedoch kaum Sicherheit. (Bild: MelVic/Wikimedia Commons/CC by-sa 3.0)

Auf der Black Hat weisen Sicherheitsforscher auf ein Problem mit TLS-Zertifizierungsstellen hin: Die Prüfung, wem eine Domain gehört, findet über ein ungesichertes Netz statt. Dieser Weg ist angreifbar - beispielsweise mittels des Routingprotokolls BGP.

Anzeige

TLS-Zertifikate sind ein wichtiger Baustein für verschlüsselte Verbindungen im Netz. Wer eine HTTPS-Seite betreibt, muss sich hierfür ein Zertifikat von einer anerkannten Zertifizierungsstelle ausstellen lassen. Doch die Prüfung, wer berechtigt ist, ein Zertifikat zu erhalten, ist äußerst fragil.

Prüfung über E-Mail, Webseiten oder DNS-Einträge

Es gibt verschiedene Wege, mit denen Zertifikatsaussteller prüfen, ob der Käufer eines Zertifikats der legitime Inhaber einer Domain ist. Häufig wird über eine E-Mail an Adressen mit den Prefixes webmaster@, hostmaster@ oder ähnlichen Adressen der Inhaber geprüft. Schon das führte in der Vergangenheit zu Ärger. Andere Zertifizierungsstellen erwarten, dass man eine Testdatei über den Webserver ausliefert oder einen entsprechenden DNS-Eintrag konfiguriert.

Allen diesen Möglichkeiten ist gemeinsam, dass sie selbst nicht kryptographisch abgesichert sind. Die Zertifizierungsstellen vertrauen darauf, dass eine Domain von dessen legitimem Besitzer kontrolliert wird. Dadurch ergeben sich fast zwangsläufig Angriffspunkte.

Auf eine Möglichkeit, diese Domainverifizierung anzugreifen, wies Artyom Gavrichenkov von der Firma Qrator Labs auf der Black-Hat-Konferenz hin: Manipulationen im Border Gateway Protocol (BGP). Dieses Routingprotokoll wird im Internet eingesetzt, um das Routing zwischen verschiedenen Providern zu organisieren. Das Problem: BGP ist praktisch nicht auf Sicherheit ausgelegt. Manipulationen sind sehr einfach möglich, ein Provider kann einem anderen Provider schlicht über das Protokoll mitteilen, dass er ab sofort für einen bestimmten IP-Netzbereich zuständig ist.

BGP-Knoten in der Nähe einer Zertifizierungsstelle

Um einen Angriff durchzuführen, muss ein Angreifer idealerweise einen BGP-Knoten in der Nähe einer beliebigen Zertifizierungsstelle kontrollieren. Es gibt Hunderte unterschiedliche Anbieter von TLS-Zertifikaten, die weltweit verteilt sind. Mittels BGP versucht der Angreifer, das Netz der Zertifizierungsstelle davon zu überzeugen, den Traffic für die IP des Opfers auf sich selbst umzuleiten. Anschließend kann der Angreifer beispielsweise über HTTP beliebige Daten ausliefern und einen Verifizierungsvorgang durchlaufen.

Gavrichenkovs Firma Qrator hat sich darauf spezialisiert, Auffälligkeiten im BGP-Traffic zu analysieren. Versucht ein Angreifer, global ein bestimmtes Netz mittels BGP-Angriffen umzurouten, fällt dies häufig auf. Im Fall des Angriffs auf die Zertifizierungsstelle ist aber nur eine lokal begrenzte Manipulation notwendig. Es ist sehr wahrscheinlich, dass der Betreiber des angegriffenen Netzes nie von dieser Manipulation erfährt.

Auf Nachfrage erklärte Gavrichenkov auf Twitter, dass er versucht hatte, diesen Angriff praktisch durchzuführen, aber letztendlich beim Bezahlvorgang für das Zertifikat abgebrochen hat. Es ist also davon auszugehen, dass dieser Angriff durchführbar ist. Bekanntgeworden sind derartige Angriffe bislang nicht.

HPKP und Certificate Transparency helfen begrenzt

Zumindest teilweise Abhilfe schaffen verschiedene Technologien, die das Zertifikatssystem stärken. Dazu gehören HTTP Public Key Pinning /HPKP und das von Google entwickelte Certificate Transparency. Key Pinning führt dazu, dass ein Angreifer mit einem falsch ausgestellten Zertifikat lediglich die erste Verbindung zu einem HTTPS-Server angreifen kann, anschließend speichert der Browser das legitime Zertifikat. Certificate Transparency ist ein globales Log von Zertifikaten und könnte helfen, dass derartige Manipulationen leichter auffallen. Perfekt sind beide Lösungen nicht. Die Absicherung von Zertifikaten mittels DANE über DNSSEC wird immer wieder vorgeschlagen, allerdings gibt es einige Zweifel an der Umsetzbarkeit.

Die Prüfung der Inhaber von Domains sicherer zu gestalten, ist nicht einfach. Die Ausstellung von Zertifikaten komplexer zu machen, widerspricht dem Ziel, die Zertifikatsausstellung zu erleichtern, um verschlüsselte Verbindungen zum Standard zu machen. Im Moment scheint eine Lösung für dieses Problem alles andere als einfach.


eye home zur Startseite
Popkornium18 09. Aug 2015

Theoretisch ist es möglich, aber einen BGP Knoten kontrollieren? Außer für Geheimdienste...

negecy 07. Aug 2015

Eben gerade nicht! Ich bin absolut nicht der Meinung, dass alles schnell und...



Anzeige

Stellenmarkt
  1. über Baumann Unternehmensberatung AG, Ingolstadt, München, Stuttgart
  2. Werner Sobek Group GmbH, Stuttgart
  3. T-Systems International GmbH, Stuttgart, Leinfelden-Echterdingen
  4. über HRM CONSULTING GmbH, Konstanz (Home-Office)


Anzeige
Hardware-Angebote
  1. 169,00€
  2. (Core i5-7600K + Asus GTX 1060 Dual OC)

Folgen Sie uns
       


  1. Service

    Telekom verspricht kürzeres Warten auf Techniker

  2. BVG

    Fast alle U-Bahnhöfe mit offenem WLAN

  3. Android-Apps

    Rechtemissbrauch erlaubt unsichtbare Tastaturmitschnitte

  4. Electro Fluidic Technology

    Schnelles E-Paper-Display für Video-Anwendungen

  5. Heiko Maas

    "Kein Wunder, dass Facebook seine Vorgaben geheim hält"

  6. Virtual Reality

    Oculus Rift unterstützt offiziell Roomscale-VR

  7. FTP-Client

    Filezilla bekommt ein Master Password

  8. Künstliche Intelligenz

    Apple arbeitet offenbar an eigenem AI-Prozessor

  9. Die Woche im Video

    Verbogen, abgehoben und tiefergelegt

  10. ZTE

    Chinas großes 5G-Testprojekt läuft weiter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Redmond Campus Building 87: Microsofts Area 51 für Hardware
Redmond Campus Building 87
Microsofts Area 51 für Hardware
  1. Windows on ARM Microsoft erklärt den kommenden x86-Emulator im Detail
  2. Azure Microsoft betreut MySQL und PostgreSQL in der Cloud
  3. Microsoft Azure bekommt eine beeindruckend beängstigende Video-API

3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

  1. Re: Wieder mal ein Sinnloser Artikel.

    Koto | 12:41

  2. Da kann ich nicht helfen

    make | 12:40

  3. Re: Unangenehme Beiträge hervorheben statt zu...

    picaschaf | 12:36

  4. Seit wann funktioniert das?

    __destruct() | 12:35

  5. Re: Erster!!!

    Phantom | 12:27


  1. 12:31

  2. 12:15

  3. 11:33

  4. 10:35

  5. 12:54

  6. 12:41

  7. 11:44

  8. 11:10


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel