• IT-Karriere:
  • Services:

Zertifikatsfälschungen: Microsoft-Update sperrt indische Zertifizierungsstelle

Nach dem Auftauchen von Zertifikatsfälschungen des indischen National Informatics Centre (NIC) liefert Microsoft ein Windows-Update, welches die Zertifikate sperrt. Ursprünglich war nur von vier gefälschten Zertifikaten die Rede, inzwischen sind 45 bekannt.

Artikel veröffentlicht am , Hanno Böck
Nach dem Update sperrt Windows die betroffene Zertifizierungsstelle.
Nach dem Update sperrt Windows die betroffene Zertifizierungsstelle. (Bild: Screenshot)

Microsoft hat auf das Auftauchen von gefälschten Zertifikaten, die vom indischen National Informatics Centre (NIC) ausgestellt wurden, reagiert. Im Microsoft Security Advisory 2982792 schreibt der Softwarekonzern, dass für alle aktuellen Windows-Versionen nun Updates bereitstehen, die das Zwischenzertifikat der NIC-Zertifizierungsstelle sperren. Aus dem Advisory geht auch hervor, dass das Ausmaß der Zertifikatsfälschungen weit größer ist, als die Verantwortlichen bislang zugegeben haben.

Stellenmarkt
  1. Deutsches Elektronen-Synchrotron DESY, Hamburg
  2. Statistisches Landesamt Rheinland-Pfalz, Bad Ems

Ursprünglich hatte Google auf das Auftauchen der gefälschten Zertifikate aufmerksam gemacht. Demnach hat das indische National Informatics Centre mehrere Zertifikate für Domains von Yahoo und Google ausgestellt. Das Zertifikat des National Informatics Centre wiederum ist von einer der indischen Regierung unterstellten Zertifizierungsstelle namens India CCA signiert. India CCA wird seit 2011 im Zertifikats-Store von Microsoft Windows mitgeliefert.

45 Domains von Google und Yahoo betroffen

Gegenüber Google hatte India CCA behauptet, dass es insgesamt vier gefälschte Zertifikate gebe. Google selbst hatte in einem Blog-Beitrag bereits darauf hingewiesen, dass sie von mehr gefälschten Zertifikaten wissen. Aus dem Microsoft-Advisory geht nun hervor, dass offenbar bislang 45 gefälschte Zertifikate für unterschiedliche Domainnamen aufgetaucht sind. Alle betreffen verschiedene Services von Google und Yahoo.

Unklar ist bislang, was der Hintergrund der Zertifikatsfälschungen ist. Es ist daher durchaus möglich, dass noch weitere gefälschte Zertifikate im Umlauf sind. Auch ist bisher nicht bekannt, ob und in welcher Form die Zertifikate für Angriffe auf Nutzer eingesetzt wurden. Mit einem gefälschten Zertifikat könnte man mittels einer Man-in-the-Middle-Attacke beliebige Inhalte bei verschlüsselten HTTPS-Verbindungen mitlesen oder manipulieren.

India CCA wird weiterhin von Windows akzeptiert

Microsoft hat mit dem Update nur das Zertifikat des National Informatics Centre (NIC) gesperrt. Andere Zertifikate, die direkt oder indirekt von India CCA ausgestellt werden, werden weiterhin ohne Einschränkung akzeptiert. Google hat in seinen Chrome-Browser eine zusätzliche Beschränkung eingebaut: India CCA darf künftig nur noch Zertifikate für bestimmte indische Subdomains ausstellen.

Das Microsoft-Update für die Zertifikatssperre wird in Windows 8 und Windows Server 2012 automatisch installiert. In Windows 7 und Windows Server 2008 wurde der Update-Mechanismus für Zertifikate 2012 eingeführt. Wer ein aktuelles System besitzt, sollte daher das Update ebenfalls automatisch erhalten. Bislang gibt es kein Update für Windows Server 2003, das soll aber in Kürze folgen. Für das nicht mehr unterstützte Windows XP wird es überhaupt kein Update geben.

Außer Microsoft hat bislang niemand das Root-Zertifikat von India CCA in seine Zertifikatslisten aufgenommen. Andere Betriebssysteme sind daher nicht betroffen. Mozilla Firefox und Opera haben eigene Zertifikatslisten und sind daher auch unter Windows nicht von dem Vorfall betroffen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-74%) 12,99€
  2. 42,49€
  3. 39,99€ (Release: 25. Juni)
  4. 31,49€

elgooG 14. Jul 2014

Die werden auch nicht mehr verteilt. Updates kommen nur mehr über Microsoft Update und...

elgooG 14. Jul 2014

Was glaubst du warum die Updates für Windows waren und nicht für den IE ? Windows...


Folgen Sie uns
       


Cirrus7 Incus A300 - Test

Wir testen den Incus A300 von Cirrus7, einen passiv gekühlten Mini-PC für AMDs Ryzen 2000G/3000G.

Cirrus7 Incus A300 - Test Video aufrufen
Change-Management: Wie man Mitarbeiter mitnimmt
Change-Management
Wie man Mitarbeiter mitnimmt

Wenn eine Firma neue Software einführt oder Prozesse digitalisiert, stößt sie intern oft auf Skepsis. Häufig heißt es dann, man müsse "die Mitarbeiter mitnehmen" - aber wie?
Von Markus Kammermeier

  1. Digitalisierung in Deutschland Wer stand hier "auf der Leitung"?
  2. Workflows Wenn Digitalisierung aus 2 Papierseiten 20 macht
  3. Digitalisierung Aber das Faxgerät muss bleiben!

Minecraft Dungeons im Test: Diablo im Quadrat
Minecraft Dungeons im Test
Diablo im Quadrat

Minecraft Dungeons sieht aus wie ein Re-Skin von Diablo, ist viel einfacher aufgebaut - und fesselt uns trotzdem an den Bildschirm.
Ein Test von Peter Steinlechner

  1. Mojang Studios Mehr als 200 Millionen Einheiten von Minecraft verkauft
  2. Minecraft RTX im Test Klötzchen klotzen mit Pathtracing
  3. Raytracing Beta von Minecraft RTX startet am 16. April

Maneater im Test: Bissiger Blödsinn
Maneater im Test
Bissiger Blödsinn

Wer schon immer als Bullenhai auf Menschenjagd gehen wollte - hier entlang schwimmen bitte. Maneater legt aber auch die Flosse in die Wunde.
Ein Test von Marc Sauter

  1. Mount and Blade 2 angespielt Der König ist tot, lang lebe der Bannerlord
  2. Arkade Blaster 3D-Shooter mit der Plastikkanone spielen
  3. Wolcen im Test Düster, lootig, wuchtig!

    •  /