Abo
  • IT-Karriere:

.onion-Domains: Falsches Zertifikat für Tor-Facebook

Einem Sicherheitsforscher ist es gelungen, ein gefälschtes Zertifikat für die .onion-URL von Facebook ausstellen zu lassen. Facebook ist seit kurzem über das Tor-Netzwerk erreichbar.

Artikel veröffentlicht am , Hanno Böck
Facebook im Tor-Netzwerk - das Zertifikat bietet keine hohe Sicherheit.
Facebook im Tor-Netzwerk - das Zertifikat bietet keine hohe Sicherheit. (Bild: Screenshot)

Seit einigen Tagen ist Facebook offiziell auch im Tor-Netzwerk verfügbar. Facebook hat sich für seinen Tor-Auftritt ein TLS-Zertifikat für eine sogenannte .onion-Adresse ausstellen lassen, um auch über Tor via HTTPS erreichbar zu sein. Doch die Ausstellung von Zertifikaten für derartige Domains wirft interessante Fragen auf.

Stellenmarkt
  1. Vorwerk Services GmbH, Wuppertal
  2. hubergroup Deutschland GmbH, Kirchheim bei München

Dem IT-Sicherheitsexperten Ian Carroll gelang es, sich für die Facebook-URL selbst ein gültiges Zertifikat ausstellen zu lassen. Ausgestellt wurde es von der Zertifizierungsstelle Globalsign. Das offizielle Zertifikat für Facebook stammt von Digicert. Der Grund ist einfach: Bislang erlauben Zertifizierungsstellen die Ausstellung von Zertifikaten für interne Domains in privaten Netzwerken. Und als interne Domain gelten alle Domainnamen, die keine offizielle Endung wie .de, .com oder .org haben.

Keine Prüfung interner Domainnamen

Die Praxis der Zertifikatsausstellung für interne Domains ist umstritten und das CA/Browser-Forum plant die Abschaffung solcher Zertifikate bis 2016. Doch zur Zeit ist es noch ohne jede Prüfung möglich, für inoffizielle Domainnamen Zertifikate zu beantragen. Im Tor-Netzwerk kommen Adressen mit der Endung .onion zum Einsatz, allerdings ist .onion keine offizielle Domainendung. Somit galt sie im Prüfsystem von Globalsign als interne Domainendung, und Carroll konnte hierfür einen beliebigen Domainnamen registrieren. Somit erhielt er ein gültiges Zertifikat für facebookcorewwwi.onion.

Globalsign hat inzwischen Carrolls Zertifikat zurückgezogen. Doch bekanntlich nützt das Zurückziehen von Zertifikaten wenig, da es von praktisch allen Browsern nur in unsicherer Weise implementiert ist. Auch der Tor-Browser macht da keine Ausnahme, er nutzt das OCSP-Protokoll nur im sogenannten Soft-Fail-Modus.

Laut Carroll ergibt der Einsatz von HTTPS unter diesen Umständen im Tor-Netzwerk keinen Sinn. Die Echtheit der Verbindung wird allerdings bereits über das Tor-Netzwerk selbst garantiert, falls die URL korrekt ist. Carroll empfiehlt den Zertifizierungsstellen, generelle Richtlinien für die Vergabe von Zertifikaten für .onion-Adressen zu erstellen. Bis dahin sollten keine weiteren derartigen Zertifikate mehr ausgestellt werden.



Anzeige
Spiele-Angebote
  1. 24,99€
  2. 15,99€
  3. (-90%) 5,99€

FedoraUser 07. Nov 2014

- Wenn du Zugriff auf meinen Router hast ist auch schon alles was Netzwerk betrifft...

Niantic 06. Nov 2014

Nein. Weder das eine noch das andere stimmt. Du kannst schon eigene Daten auf Tor nutzen...


Folgen Sie uns
       


Asus Zenfone 6 - Test

Das Zenfone 6 fällt durch seine Klappkamera auf, hat aber auch abseits dieses Gimmicks eine Menge zu bieten, wie unser Test zeigt.

Asus Zenfone 6 - Test Video aufrufen
Smarte Wecker im Test: Unter den Blinden ist der Einäugige König
Smarte Wecker im Test
Unter den Blinden ist der Einäugige König

Einen guten smarten Wecker zu bauen, ist offenbar gar nicht so einfach. Bei Amazons Echo Show 5 und Lenovos Smart Clock fehlen uns viele Basisfunktionen. Dafür ist einer der beiden ein besonders preisgünstiges und leistungsfähiges smartes Display.
Ein Test von Ingo Pakalski

  1. Nest Hub im Test Google vermasselt es 1A

OKR statt Mitarbeitergespräch: Wir müssen reden
OKR statt Mitarbeitergespräch
Wir müssen reden

Das jährliche Mitarbeitergespräch ist eines der wichtigsten Instrumente für Führungskräfte, doch es ist gerade in der IT-Branche nicht mehr unbedingt zeitgemäß. Aus dem Silicon Valley kommt eine andere Methode: OKR. Sie erfüllt die veränderten Anforderungen an Agilität und Veränderungsbereitschaft.
Von Markus Kammermeier

  1. Sysadmin "Man kommt erst ins Spiel, wenn es brennt"
  2. Verdeckte Leiharbeit Wenn die Firma IT-Spezialisten als Fremdpersonal einsetzt
  3. IT-Standorte Wie kann Leipzig Hypezig bleiben?

Mobile Payment: Mit QR-Code-Kooperation zum europäischen Standard
Mobile Payment
Mit QR-Code-Kooperation zum europäischen Standard

Die Mobile Wallet Collaboration will ein einheitliches QR-Format als technische Grundlage für ein vereinfachtes Handling etablieren. Die Allianz aus sechs europäischen Bezahldiensten und Alipay aus China ist eine ernstzunehmende Konkurrenz für Google, Apple, Facebook, Amazon.
Von Sabine T. Ruh


      •  /