Google reagiert jetzt mit dem Holzhammer auf Zertifikat-Missbrauch

Sicherheit, Security, Verschlüsselung, schloss, Heartbleed, Tunnel Bildquelle: Softonic
Den Sicherheits-Experten beim Suchmaschinenkonzern Google reicht es offensichtlich. Auf den jüngsten Zwischenfall, bei dem ein Zertifikat für Google-Domains durch Unbefugte eingesetzt wurde, reagiert das Unternehmen jetzt mit dem Holzhammer und will gleich die ganze Vertrauenskette abstrafen.

Infografik: Wie funktionier SSL?Wie funktionier SSL?
Das fragliche Zertifikat stammt von der ägyptischen MCS Holding. Das Unternehmen bietet unter anderem Systeme an, mit denen Firmen das Nutzungsverhalten ihrer Mitarbeiter kontrollieren können - auch wenn diese vom Arbeitsplatz-Rechner SSL-verschlüsselte Verbindungen aufbauen. Dafür wird vorübergehend ein Zwischenzertifikat erstellt, mit dem dann quasi ein Man-in-the-Middle-Angriff möglich ist. So kann die Firmen-IT also im verschlüsselten Datenstrom nachsehen, ob ein Angestellter auf Google-Seiten beruflichen Recherchen nachgeht oder private Zwecke verfolgt.

Google fiel vor einigen Tagen auf, dass Zertifikate für die eigenen Domains aktiv sind - was eigentlich nicht sein sollte. Die Verantwortlichen bei dem Suchmaschinenkonzern verfolgten die Vertrauenskette nach und fanden heraus, dass das MCS-Zertifikat auf dem Root-Zertifikat der chinesischen CNNIC beruht. Diese hat also offenbar nicht ausreichend geprüft, für welche Zwecke die von ihr ausgegebenen Schlüssel eingesetzt werden. Wie Google nun ankündigte, werde man als Konsequenz gleich das Root-Zertifikat selbst auf die schwarze Liste setzen und als nicht mehr vertrauenswürdig einstufen.

Gleiches gilt dann automatisch für alle Zertifikate, die auf diesem beruhen. Das wird zur Folge haben, dass vor allem zahlreiche Chrome-Nutzer im chinesischen Raum nicht mehr auf die Webseiten ihrer Banken oder verschiedenste Online-Angebote kommen, wenn diese sich nicht bis dahin neue Zertifikate besorgen, die auf einem anderen Root basieren. Bei Microsoft und Mozilla wurden die MCS-Zertifikate bereits gesperrt - und zumindest bei Mozilla läuft auch die Diskussion darüber, das CNNIC-Root ebenfalls auszuschließen.

CNNIC: Das ist nicht akzeptabel

In China ist man über Googles Ankündigung natürlich alles andere als glücklich. In einer Stellungnahme bezeichnete die CNNIC die Entscheidung als nicht akzeptabel und unverständlich. Immerhin wären viele Millionen chinesische Nutzer betroffen. Chrome hat in dem Land einen Marktanteil von 52 Prozent.

Zumindest eine Handreichung erfolgte seitens des Suchmaschinenkonzerns inzwischen. Das CNNIC könne, so hieß es, sich wieder um einen Platz in der Liste der vertrauenswürdigen Roots bewerben - müsse dafür aber einen Nachweis liefern, dass angemessene Prozesse und technische Maßnahmen ergriffen wurden, um solche Vorfälle zukünftig zu verhindern. Verschlüsselung, Ssl, Key Verschlüsselung, Ssl, Key Public Domain
Mehr zum Thema: Chrome
Diese Nachricht empfehlen
Kommentieren22
Jetzt einen Kommentar schreiben


Alle Kommentare zu dieser News anzeigen
Kommentar abgeben Netiquette beachten!

Jetzt als Amazon Blitzangebot

Ab 00:00 Uhr Bosch DIY Schlagbohrmaschine PSB 500 RE, Tiefenanschlag, Zusatzhandgriff, Koffer (500 Watt, max. Bohr-I: Holz: 25 mm, Beton: 10 mm)
Bosch DIY Schlagbohrmaschine PSB 500 RE, Tiefenanschlag, Zusatzhandgriff, Koffer (500 Watt, max. Bohr-I: Holz: 25 mm, Beton: 10 mm)
Original Amazon-Preis
42,50
Im Preisvergleich ab
42,50
Blitzangebot-Preis
35,99
Ersparnis zu Amazon 15% oder 6,51

Tipp einsenden