Abo
  • Services:
Anzeige
Ein Unbekannter ist im Besitz des Schlüssels zu einem Zertifikat für live.fi.
Ein Unbekannter ist im Besitz des Schlüssels zu einem Zertifikat für live.fi. (Bild: Handslive/Flickr/CC by 2.0)

TLS-Zertifikate: Comodo stellt fälschlicherweise Microsoft-Zertifikat aus

Ein Unbekannter ist im Besitz des Schlüssels zu einem Zertifikat für live.fi.
Ein Unbekannter ist im Besitz des Schlüssels zu einem Zertifikat für live.fi. (Bild: Handslive/Flickr/CC by 2.0)

Für die Domain live.fi, die Microsoft für die finnische Version seiner Live-Services nutzt, ist ein unberechtigtes Zertifikat von Comodo ausgestellt worden. Dabei wird eine Reihe von Schwächen des Zertifikatssystems deutlich.

Anzeige

Unbekannten ist es gelungen, sich ein Zertifikat für die Microsoft-Domain live.fi ausstellen zu lassen. Das teilte Microsoft in einem Advisory mit. Ausgestellt wurde das Zertifikat von der Zertifizierungsstelle Comodo.

E-Mail-Adresse hostmaster@live.fi erstellt

Die betroffene Domain wird von Microsoft in Finnland zur Bereitstellung der Windows-Live-Services genutzt. Laut Recherchen der Webseite The Register gelang es dem Angreifer, sich die E-Mail-Adresse hostmaster@live.fi anzulegen. Derartige Mailadressen werden von Zertifizierungsstellen genutzt, um zu prüfen, ob eine Domain tatsächlich dem Antragsteller für ein Zertifikat gehört.

Zugelassen für dieses Verfahren namens Domain Validation sind für jede Domain fünf E-Mail-Adressen, deren Lokalteil admin, administrator, webmaster, hostmaster oder postmaster lauten muss. Diese zulässigen Adressen sind in den sogenannten Baseline Requirements des CA/Browser-Forums festgelegt. Anbieter von E-Mail-Services müssen dafür sorgen, dass diese E-Mail-Adressen ausschließlich von Administratoren genutzt werden können. Insbesondere Freemail-Anbieter müssen hier darauf achten, dass es nicht möglich ist, dass beliebige Nutzer derartige Mailadressen anlegen können.

OCSP-Prüfung ist unsicher

Ein Problem, das sich bei diesem Vorfall erneut zeigt: Es ist extrem schwierig, Zertifikate als ungültig zu markieren. Zwar gibt es theoretisch eine Gültigkeitsprüfung von Zertifikaten entweder über Sperrlisten (Certificate Revocation Lists CRLs) oder über die Technologie OCSP. Doch beide Technologien haben ein Problem: Sie sind in praktisch allen Browsern nur in einem sogenannten Soft-Fail-Modus aktiviert. Ist der entsprechende Server der Zertifizierungsstelle nicht erreichbar, werden die Zertifikate trotzdem als gültig akzeptiert. Die gesamte Gültigkeitsprüfung ist somit eigentlich sinnlos, denn ein Angreifer, der mittels eines erschlichenen Zertifikats eine Man-in-the-Middle-Attacke durchführt, kann schlicht die Verbindung zum CRL- und OCSP-Server stoppen.

Chrome hat inzwischen aus diesem Grund die Gültigkeitsprüfung über OCSP und CRL komplett aufgegeben und nutzt ein Verfahren namens CRLset. Dabei erhält der Browser eine Liste von wichtigen ungültigen Zertifikaten. Das CRLset-Verfahren funktioniert allerdings nicht in großem Stil, denn wenn man alle ungültigen Zertifikate darüber verteilen würde, wäre die Liste zu groß.

Abhilfe schaffen könnte das Verfahren OCSP Stapling zusammen mit einer Erweiterung von Zertifikaten, die das Stapling vorschreibt. Doch während OCSP Stapling schon funktioniert und von einigen Webseiten eingesetzt wird, ist die für ein sicheres Verfahren notwendige Must-Staple-Erweiterung bislang nur ein Entwurf, an dem zurzeit auch niemand arbeitet.

Microsoft selbst liefert inzwischen ein Update für Windows aus, mit dem das Zertifikat gesperrt wird. Das funktioniert zwar in prominenten Fällen wie diesem, bei dem für wichtige Domains ein unberechtigtes Zertifikat ausgestellt wird, es zeigt aber deutlich, dass es kein praktikables Verfahren zum Zurückziehen von Zertifikaten gibt.

Internet Explorer unterstützt kein Key Pinning

Angriffe mit erschlichenen Zertifikaten können durch ein Verfahren namens HTTP Public Key Pinning (HPKP) deutlich erschwert werden. Dabei speichert der Browser bei der ersten Verbindung zu einer Webseite einen Hash-Wert des zum Zertifikat gehörenden kryptographischen Schlüssels. Doch Microsoft hinkt in Sachen HPKP hinterher: Der Internet Explorer unterstützt das Key Pinning nicht und Microsofts Webseiten liefern auch keinen entsprechenden Header aus.

Comodo ist nicht zum ersten Mal im Zusammenhang mit fälschlicherweise ausgestellten Zertifikaten in den Schlagzeilen. 2011 gab es zahlreiche Vorfälle, bei denen die Firma, die inzwischen die weltgrößte Zertifizierungsstelle ist, Unberechtigten Zertifikate ausgab. Zuletzt war Comodo auch im Zusammenhang mit der Software Privdog in den Negativschlagzeilen. Allerdings scheint es so, dass im aktuellen Fall Comodo keine Schuld trifft. Vielmehr liegt der Fehler alleine bei Microsoft.

Nachtrag vom 19. März 2015, 9:58 Uhr

Ursprünglich hatten wir geschrieben, dass das entsprechende Zertifikat über die Mailadresse admin@live.fi registriert worden sei. Einem Bericht der Webseite Tivi.fi zufolge, die mit dem Zertifikatsaussteller gesprochen hat, handelte es sich jedoch um die Adresse hostmaster@live.fi.


eye home zur Startseite
SoniX 18. Mär 2015

Ja, ich meinte sowas wie deine angesprochene "Baseline" Verschlüsselung für den...

negecy 17. Mär 2015

Korrekt, daher nicht DANE versus(!) PKIX sondern PKIX mit(!) DANE, dann wird ein Schuh draus.

RipClaw 17. Mär 2015

Klar kannst du via SQL Injection bei einem CMS die Datei simulieren oder aber wenn du...



Anzeige

Stellenmarkt
  1. Bizerba SE & Co. KG, Balingen
  2. Läpple Dienstleistungsgesellschaft mbH, Heilbronn
  3. consistec Engineering & Consulting GmbH, Saarbrücken
  4. Verbraucherzentrale Bundesverband e.V., Berlin


Anzeige
Hardware-Angebote
  1. (Core i5-7600K + Asus GTX 1060 Dual OC)
  2. 546,15€
  3. auf Kameras und Objektive

Folgen Sie uns
       


  1. Betrugsverdacht

    Amazon Deutschland sperrt willkürlich Marketplace-Händler

  2. Take 2

    GTA 5 bringt weiter Geld in die Kassen

  3. 50 MBit/s

    Bundesland erreicht kompletten Internetausbau ohne Zuschüsse

  4. Microsoft

    Lautloses Surface Pro hält länger durch und bekommt LTE

  5. Matebook X

    Huawei stellt erstes Notebook vor

  6. Smart Home

    Nest bringt Thermostat Ende 2017 nach Deutschland

  7. Biometrie

    Iris-Scanner des Galaxy S8 kann einfach manipuliert werden

  8. Bundesnetzagentur

    Drillisch bekommt eigene Vorwahl zugeteilt

  9. Neuland erforschen

    Deutsches Internet-Institut entsteht in Berlin

  10. Squad

    Valve heuert Entwickler des Kerbal Space Program an



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Wanna Cry: Wo die NSA-Exploits gewütet haben
Wanna Cry
Wo die NSA-Exploits gewütet haben
  1. Deutsche Bahn Schadsoftware lässt Anzeigetafeln auf Bahnhöfen ausfallen
  2. Wanna Cry NSA-Exploits legen weltweit Windows-Rechner lahm
  3. Mc Donald's Fatboy-Ransomware nutzt Big-Mac-Index zur Preisermittlung

Komplett-PC Corsair One Pro im Test: Kompakt, kräftig, kühl
Komplett-PC Corsair One Pro im Test
Kompakt, kräftig, kühl
  1. Corsair One Pro Doppelt wassergekühlter SFF-Rechner kostet 2.500 Euro

Elektromobilität: Wie kommt der Strom in die Tiefgarage?
Elektromobilität
Wie kommt der Strom in die Tiefgarage?
  1. Elektroauto Tesla gewährt rückwirkend Supercharger-Gratisnutzung
  2. Elektroautos Merkel hofft auf Bau von Batteriezellen in Deutschland
  3. Strategische Entscheidung Volvo setzt voll auf Elektro und trennt sich vom Diesel

  1. DocMorris verschickt ungefragt Briefe im Namen...

    Apfelbrot | 20:54

  2. Re: Java

    Teebecher | 20:54

  3. Re: Schade ...

    FreiGeistler | 20:53

  4. Re: USB Type-C fehlt

    countzero | 20:52

  5. Re: Amazon Konto wurde gehackt per Phishing Mail

    ernstl | 20:52


  1. 16:58

  2. 16:10

  3. 15:22

  4. 14:59

  5. 14:30

  6. 14:20

  7. 13:36

  8. 13:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel