Abo
  • IT-Karriere:

Zertifikatsfälschungen: Microsoft-Update sperrt indische Zertifizierungsstelle

Nach dem Auftauchen von Zertifikatsfälschungen des indischen National Informatics Centre (NIC) liefert Microsoft ein Windows-Update, welches die Zertifikate sperrt. Ursprünglich war nur von vier gefälschten Zertifikaten die Rede, inzwischen sind 45 bekannt.

Artikel veröffentlicht am , Hanno Böck
Nach dem Update sperrt Windows die betroffene Zertifizierungsstelle.
Nach dem Update sperrt Windows die betroffene Zertifizierungsstelle. (Bild: Screenshot)

Microsoft hat auf das Auftauchen von gefälschten Zertifikaten, die vom indischen National Informatics Centre (NIC) ausgestellt wurden, reagiert. Im Microsoft Security Advisory 2982792 schreibt der Softwarekonzern, dass für alle aktuellen Windows-Versionen nun Updates bereitstehen, die das Zwischenzertifikat der NIC-Zertifizierungsstelle sperren. Aus dem Advisory geht auch hervor, dass das Ausmaß der Zertifikatsfälschungen weit größer ist, als die Verantwortlichen bislang zugegeben haben.

Stellenmarkt
  1. Modis GmbH, Kiel
  2. Tecan Software Competence Center GmbH, Mainz-Kastel

Ursprünglich hatte Google auf das Auftauchen der gefälschten Zertifikate aufmerksam gemacht. Demnach hat das indische National Informatics Centre mehrere Zertifikate für Domains von Yahoo und Google ausgestellt. Das Zertifikat des National Informatics Centre wiederum ist von einer der indischen Regierung unterstellten Zertifizierungsstelle namens India CCA signiert. India CCA wird seit 2011 im Zertifikats-Store von Microsoft Windows mitgeliefert.

45 Domains von Google und Yahoo betroffen

Gegenüber Google hatte India CCA behauptet, dass es insgesamt vier gefälschte Zertifikate gebe. Google selbst hatte in einem Blog-Beitrag bereits darauf hingewiesen, dass sie von mehr gefälschten Zertifikaten wissen. Aus dem Microsoft-Advisory geht nun hervor, dass offenbar bislang 45 gefälschte Zertifikate für unterschiedliche Domainnamen aufgetaucht sind. Alle betreffen verschiedene Services von Google und Yahoo.

Unklar ist bislang, was der Hintergrund der Zertifikatsfälschungen ist. Es ist daher durchaus möglich, dass noch weitere gefälschte Zertifikate im Umlauf sind. Auch ist bisher nicht bekannt, ob und in welcher Form die Zertifikate für Angriffe auf Nutzer eingesetzt wurden. Mit einem gefälschten Zertifikat könnte man mittels einer Man-in-the-Middle-Attacke beliebige Inhalte bei verschlüsselten HTTPS-Verbindungen mitlesen oder manipulieren.

India CCA wird weiterhin von Windows akzeptiert

Microsoft hat mit dem Update nur das Zertifikat des National Informatics Centre (NIC) gesperrt. Andere Zertifikate, die direkt oder indirekt von India CCA ausgestellt werden, werden weiterhin ohne Einschränkung akzeptiert. Google hat in seinen Chrome-Browser eine zusätzliche Beschränkung eingebaut: India CCA darf künftig nur noch Zertifikate für bestimmte indische Subdomains ausstellen.

Das Microsoft-Update für die Zertifikatssperre wird in Windows 8 und Windows Server 2012 automatisch installiert. In Windows 7 und Windows Server 2008 wurde der Update-Mechanismus für Zertifikate 2012 eingeführt. Wer ein aktuelles System besitzt, sollte daher das Update ebenfalls automatisch erhalten. Bislang gibt es kein Update für Windows Server 2003, das soll aber in Kürze folgen. Für das nicht mehr unterstützte Windows XP wird es überhaupt kein Update geben.

Außer Microsoft hat bislang niemand das Root-Zertifikat von India CCA in seine Zertifikatslisten aufgenommen. Andere Betriebssysteme sind daher nicht betroffen. Mozilla Firefox und Opera haben eigene Zertifikatslisten und sind daher auch unter Windows nicht von dem Vorfall betroffen.



Anzeige
Spiele-Angebote
  1. (-80%) 9,99€
  2. 4,99€
  3. 20,99€
  4. 26,99€

elgooG 14. Jul 2014

Die werden auch nicht mehr verteilt. Updates kommen nur mehr über Microsoft Update und...

elgooG 14. Jul 2014

Was glaubst du warum die Updates für Windows waren und nicht für den IE ? Windows...


Folgen Sie uns
       


Red Magic 3 - Test

Das Red Magic 3 richtet sich an Gamer - dank der Topausstattung und eines Preises von nur 480 Euro ist das Smartphone aber generell lohnenswert.

Red Magic 3 - Test Video aufrufen
Mobile-Games-Auslese: Magischer Dieb trifft mogelnden Doktor
Mobile-Games-Auslese
Magischer Dieb trifft mogelnden Doktor

Ein Dieb mit Dolch in Daggerhood, dazu ein (historisch verbürgter) Arzt in Astrologaster sowie wunderschön aufbereitetes Free-to-Play-Mittelalter in Marginalia Hero: Golem.de stellt die spannendsten neuen Mobile Games vor.
Von Rainer Sigl

  1. Hyper Casual Games 30 Sekunden spielen, 30 Sekunden Werbung
  2. Mobile-Games-Auslese Rollenspiel-Frühling mit leichten Schusswechseln
  3. Gaming Apple Arcade wird Spiele-Flatrate für iOS und MacOS

WD Blue SN500 ausprobiert: Die flotte günstige Blaue
WD Blue SN500 ausprobiert
Die flotte günstige Blaue

Mit der WD Blue SN500 bietet Western Digital eine spannende NVMe-SSD an: Das M.2-Kärtchen basiert auf einem selbst entwickelten Controller und eigenem Flash-Speicher. Das Resultat ist ein schnelles, vor allem aber günstiges Modell als bessere Alternative zu Sata-SSDs.
Von Marc Sauter

  1. WD Black SN750 ausprobiert Direkt hinter Samsungs SSDs
  2. WD Black SN750 Leicht optimierte NVMe-SSD mit 2 TByte
  3. Ultrastar DC ME200 Western Digital baut PCIe-Arbeitsspeicher mit 4 TByte

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein

    •  /