Trustcor: Browser-Hersteller entfernen CA mit Spyware-Verbindungen
Sowohl Mozillas Firefox-Browser als auch Microsofts Edge-Browser haben der Certificate Authority (CA) Trustcor ihr Vertrauen entzogen und die entsprechenden Zertifikate aus ihren Root-Programmen entfernt, wie die Washington Post schreibt(öffnet im neuen Fenster) . Es ist davon auszugehen, dass Apple für Safari sowie Google für Chrome dieser Entscheidung folgen.
Vorausgegangen ist der Entscheidung ein Bericht der Washington Post(öffnet im neuen Fenster) , der Anfang November dieses Jahres erschienen ist. Demnach sei die Führung von Trustcor sowie Partner und Beteiligte identisch zu einem Spyware-Unternehmen , das wiederum mit dem US-Militär und anderen Regierungsbehörden in Verbindung stehe.
Grundlage der Recherchen der Washington Post waren Forschungsarbeiten der Universität Calgary, die ein Mobile-SDK untersuchten, das Spyware enthielt. Auch dabei sind Verbindungen von Trustcor zu dem Spyware-Anbieter aufgefunden worden, was die Wissenschaftler letztlich den beteiligten Browser-Herstellern auch so mitgeteilt haben.
Die Position einer CA ermöglicht es theoretisch, einen Man-in-the-Middle-Angriff (MITM) auf HTTPS durchzuführen und so die sonst verschlüsselten Verbindungen vollständig zu überwachen. Deshalb werden deren internen Prozesse von Browser-Herstellern üblicherweise besonders kritisch beurteilt.
Root-CAs machen immer wieder Probleme
Staatliche CAs in autoritären Staaten sorgen immer wieder für derartige Probleme, wie sich etwa in Russland , Kasachstan oder China gezeigt hat. Für Diskussionen sorgte auch das Verhalten der Firma Dark Matter aus den Vereinigten Arabischen Emirate . Vor Jahren geriet außerdem das Unternehmen Symantec in die Kritik wegen ihres Umgangs mit Zertifikaten.
In der Auseinandersetzung um eine mögliche Entfernung von Trustcor-Zertifikaten aus dem Browser hat Mozilla auch das Unternehmen selbst angehört und schreibt nun dazu(öffnet im neuen Fenster) : "Die Antworten von Trustcor über ihren Vice President of CA Operations untermauern die sachliche Grundlage für Mozillas Bedenken weiter." Ausräumen konnte Trustcor diese also nicht.