Zertifizierung: Let's Encrypt validiert Domains mehrfach

Der Dienst Let's Encrypt will die Sicherheit und Integrität der Web-PKI verbessern und hat nun eine Mehrperspektiv-Validierung für Domains eingeführt.

Artikel veröffentlicht am , Kristian Kißling/Linux Magazin
Für die TLS-Verschlüsselung braucht es Zertifikate. Die CA Let's Encrypt will deren Vergabe weiter absichern.
Für die TLS-Verschlüsselung braucht es Zertifikate. Die CA Let's Encrypt will deren Vergabe weiter absichern. (Bild: Diego Torres Silvestre, flickr.com/CC-BY 2.0)

Die kostenfreie Zertifizierungsstelle (Certification Authority, CA) Let's Encrypt ist einer eigenen Ankündigung zufolge die erste CA, die im großen Stil Domains aus mehreren Blickwinkeln validiert. Was das konkret bedeutet, beschreibt ein aktueller Blogpost der Organisation.

Stellenmarkt
  1. Abteilungsleiter Entwicklung / Charge Controller Software (m/w/d)
    Ebee Smart Technologies GmbH, Berlin-Schöneberg
  2. Linux Systemadministrator (m/w/d)
    Stiftung Kirchliches Rechenzentrum Südwestdeutschland, Eggenstein-Leopoldshafen
Detailsuche

Bislang kommt demnach eine einfache Domain-Validierung zum Einsatz. Das heißt: Ein Nutzer beantragt bei Let's Encrypt automatisiert ein Zertifikat für seine Domain und muss dafür in einer sogenannten Challenge nachweisen, dass er auch tatsächlich den Zugriff auf diese Domain besitzt. Das umfasst mehrere Schritte: In einem davon prüft Let's Encrypt über eine bestimmte Route (den Validierungspfad) und anhand der gestellten Aufgabe (der Challenge), ob der Antragsteller tatsächlich im Besitz der Domain ist (Challenge Validation).

Verbesserte Validierung gegen gefälschte Pfade

Dabei gibt es aber ein Problem: Wie die Uni Princeton gezeigt hat, lässt sich über das BGP (Border Gateway Protocol) der Validierungspfad so manipulieren, dass ein Angreifer die Challenge der Validierungsserver erfüllen kann, ohne dass ihm die Domain gehört. Zwar sei das umständlich und daher bislang nur ein seltenes Angriffsszenario, doch könnte sich das ändern. Das BGP sei per se ein unsicheres Protokoll. Es gibt Versuche, dies zu ändern, doch dürfte sich der Umbauprozess noch eine Weile hinziehen. Bis es so weit ist, hilft die Multiperspektiv-Validierung, solche Angriffe zu erschweren.

Dabei prüfen zusätzlich drei unabhängige Cloud-Server, ob der Antragsteller die Challenge erfüllt hat, übernehmen also nur den Schritt der Challenge Validation. Um die restlichen Schritte kümmert sich weiterhin der Let's-Encrypt-Server. Aktuell verwendet das Projekt zusätzliche Server in verschiedenen Regionen, allerdings bei nur einem Cloud Provider. Das Projekt will das Modell künftig auf weitere Cloud Provider ausdehnen. Ein Angreifer müsste also mehrere Validierungspfade zugleich fälschen, um die Challenge zu bestehen. Entstanden ist die Multi-Perspective-Validation in Zusammenarbeit mit den Princeton-Forschern, die das Problem entdeckt haben.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


tsp 24. Feb 2020

Sofern sich Browser an RFC2818 halten dürfte das nicht der Fall sein: "If more than one...

tsp 22. Feb 2020

Die Antwort darauf ist meiner Meinung nach extremst einfach: Weil IP Adressen keine...

tsp 22. Feb 2020

Naja genau DNSSEC & SSL ist ja prinzipiell da um das grundlegend unsichere Netz zu...

rubberduck09 21. Feb 2020

Bei Verlängerung kann man doch dann via https prüfen und auch gleich schauen ob das hier...

sme (Golem.de) 21. Feb 2020

Hallo, vielen Dank für den Hinweis. Konntest du evtl. auch ein Screenshot vom Werbebanner...



Aktuell auf der Startseite von Golem.de
Feldversuch E-Mobility-Chaussee
So schnell bringen E-Autos das Stromnetz ans Limit

Das Laden von Elektroautos stellt Netzbetreiber auf dem Land vor besondere Herausforderungen. Ein Pilotprojekt hat verschiedene Lösungen getestet.
Ein Bericht von Friedhelm Greis

Feldversuch E-Mobility-Chaussee: So schnell bringen E-Autos das Stromnetz ans Limit
Artikel
  1. Encrochat-Hack: Damit würde man keinen Geschwindigkeitsverstoß verurteilen
    Encrochat-Hack
    "Damit würde man keinen Geschwindigkeitsverstoß verurteilen"

    Der Anwalt Johannes Eisenberg hat sich die Daten aus dem Encrochat-Hack genauer angesehen und viel Merkwürdiges entdeckt.
    Ein Interview von Moritz Tremmel

  2. Geforce Now (RTX 3080) im Test: 1440p120 mit Raytracing aus der Cloud
    Geforce Now (RTX 3080) im Test
    1440p120 mit Raytracing aus der Cloud

    Höhere Auflösung, mehr Bilder pro Sekunde, kürzere Latenzen: Geforce Now mit virtueller Geforce RTX 3080 ist Cloud-Gaming par excellence.
    Ein Test von Marc Sauter

  3. SpaceX: Starlink testet Satelliteninternet in Flugzeugen
    SpaceX
    Starlink testet Satelliteninternet in Flugzeugen

    Bald dürften mehrere Flugesellschaften Starlink-Service anbieten. Laut einem Manager soll es so schnell wie möglich gehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gaming-Monitore zu Bestpreisen (u. a. Samsung G9 49" 32:9 Curved QLED 240Hz 1.149€) • Spiele günstiger: PC, PS5, Xbox, Switch • Zurück in die Zukunft Trilogie 4K 31,97€ • be quiet 750W-PC-Netzteil 87,90€ • Cambridge Audio Melomonia Touch 89,95€ • Gaming-Stühle zu Bestpreisen [Werbung]
    •  /