• IT-Karriere:
  • Services:

Überwachung: Aufregung um Intermediate-Zertifikat für Bluecoat

Kritiker sprechen von unbegrenzten Überwachungsmöglichkeiten, Symantec und Bluecoat von internen Tests: Dass Bluecoat mit einem neuen TLS-Zertifikat faktisch als Zertifikatsausgabestelle handeln kann, sorgt für Diskussionen.

Artikel veröffentlicht am ,
Ausschnitt aus dem Certificate Transparency Log
Ausschnitt aus dem Certificate Transparency Log (Bild: Screenshot Golem.de)

Wie jetzt erst bekanntwurde, hat das umstrittene Überwachungstechnikunternehmen Bluecoat aus den USA von der Sicherheitsfirma Symantec im vergangenen Herbst ein Zertifikat ausgestellt bekommen, mit dem das Unternehmen faktisch als Intermediate-Certificate-Authority handeln könnte, also gültige Zertifikate für HTTPS-Verbindungen ausstellen könnte.

Stellenmarkt
  1. Compana Software GmbH, Feucht
  2. alpha Tonträger Vertriebs GmbH, Erding

Kritiker befürchten nun, Bluecoat könnte über Man-in-the-Middle-Angriffe mit vertrauten Zertifikaten den eigentlich verschlüsselten Webtraffic von Nutzern mitlesen. Das Unternehmen ist ohnehin umstritten, weil die Deep-Packet-Inspection-Technologie auch in autoritäre Länder wie Syrien verkauft wurde und dort zur Überwachung von Dissidenten genutzt werden kann.

Über das neue Zertifikat hatte zunächst Filippo Valsorda in seinem Blog berichtet. Es wurde im vergangenen September ausgestellt. Bislang gibt es keine Hinweise darauf, dass mit dem Zertifikat tatsächlich gültige Zertifikate signiert wurden. Valsorda arbeitet für Cloudflare und hat im Zuge der Heartbleed-Entdeckungen eine Testwebseite aufgesetzt. In dem Blogpost erklärt er auch, wie Nutzer dem Bluecoat-Zertifikat das Vertrauen entziehen können.

Kritiker befürchten Überwachung

Die Befürchtung von Kritikern ist, dass Bluecoat mit dem Intermediate-Zertifikat in die Lage versetzt würde, HTTPS-Verbindungen von Nutzern anzugreifen und so Überwachungsmaßnahmen durchführen könnte. Sowohl Bluecoat als auch Symantec selbst widersprechen dieser Kritik: Das Zertifikat werde von Bluecoat nur zu internen Testzwecken eingesetzt und nicht genutzt, um selbstständig Zertifikate auszustellen.

"In Übereinstimmung mit den Protokollen hatte Symantec zu jeder Zeit die volle Kontrolle über den privaten Schlüssel und Bluecoat hatte niemals Zugriff darauf. Bluecoat hat bestätigt, dass das Zertifikat nur für interne Testzwecke eingesetzt wurde und nicht mehr genutzt wird", heißt es in einem Statement der beiden Unternehmen. "Spekulationen" um eine missbräuchliche Nutzung seien aus diesem Grund nicht fundiert.

Nicht nur Bluecoat ist umstritten, auch Symantec musste sich wegen seiner Zertifikatsvergabepraxis schon öffentlich rechtfertigen. Das Unternehmen hatte im vergangenen Jahr mehr als 2.000 TLS-Zertifikate unberechtigt ausgestellt und wurde dafür von Google kritisiert. Google hatte daraufhin eine unabhängige Untersuchung des Vorganges gefordert, außerdem müsse Symantec künftige Zertifikate bei dem Certificate-Transparency-System registrieren.

Nachtrag vom 30. Mai 2016, 13:08 Uhr

Der Einstieg in den Artikel wurde präzisiert.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 51,99€
  2. 39,99€
  3. (-8%) 45,99€
  4. 4,96€

My1 30. Mai 2016

es ist aber auch risky. was wenn ich ne domain kaufe dessen vorbesitzer HPKP drin hatte...

pythoneer 30. Mai 2016

LOL :D

dasa 30. Mai 2016

Wenn du auf die Verwendung einer CSR verzichtest und somit alles von der CA erstellen...

My1 30. Mai 2016

Naja n 10 jahre public intermediate is mehr als genug um das zu widerlegen.

Wallbreaker 30. Mai 2016

Und ich dachte schon es wäre etwas Wichtiges betroffen. Ihre mit Lücken verseuchte...


Folgen Sie uns
       


E-Trofit elektrifiziert Dieselbusse - Bericht

Die Ingolstädter Firma E-Trofit elektrifiziert Dieselbusse. Golem.de hat sich die Umrüstung vorführen lassen.

E-Trofit elektrifiziert Dieselbusse - Bericht Video aufrufen
Social Engineering: Die Mitarbeiter sind unsere Verteidigung
Social Engineering
"Die Mitarbeiter sind unsere Verteidigung"

Prävention reicht nicht gegen Social Engineering und die derzeitigen Trainings sind nutzlos, sagt der Sophos-Sicherheitsexperte Chester Wisniewski. Seine Lösung: Mitarbeiter je nach Bedrohungslevel schulen - und so schneller sein als die Kriminellen.
Ein Interview von Moritz Tremmel

  1. Social Engineering Mit künstlicher Intelligenz 220.000 Euro erbeutet
  2. Social Engineering Die unterschätzte Gefahr

Mi Note 10 im Hands on: Fünf Kameras, die sich lohnen
Mi Note 10 im Hands on
Fünf Kameras, die sich lohnen

Mit dem Mi Note 10 versucht Xiaomi, der Variabilität von Huaweis Vierfachkameras noch eins draufzusetzen - mit Erfolg: Die Fünffachkamera bietet in fast jeder Situation ein passendes Objektiv, auch die Bildqualität kann sich sehen lassen. Der Preis dafür ist ein recht hohes Gewicht.
Ein Hands on von Tobias Költzsch

  1. Sicherheitslücke Forscherin kann smarte Futterstationen von Xiaomi übernehmen
  2. Mi 9 Lite Xiaomi bringt Smartphone mit Dreifachkamera für 300 Euro
  3. Mi Smart Band 4 Xiaomis neues Fitness-Armband kostet 35 Euro

Tesla-Fabrik in Brandenburg: Remote, Germany
Tesla-Fabrik in Brandenburg
Remote, Germany

Elon Musk steht auf Berlin, doch industrielle Großprojekte sind nicht die Stärke der Region. Ausgerechnet in die Nähe der ewigen Flughafen-Baustelle BER will Tesla seine Gigafactory 4 platzieren. Was spricht für und gegen den Standort Berlin/Brandenburg?
Eine Analyse von Dirk Kunde

  1. Gigafactory Tesla soll 4 Milliarden Euro in Brandenburg investieren
  2. 7.000 Arbeitsplätze Tesla will Gigafactory bei Berlin bauen
  3. Irreführende Angaben Wettbewerbszentrale verklagt Tesla wegen Autopilot-Werbung

    •  /