Google reagiert jetzt mit dem Holzhammer auf Zertifikat-Missbrauch

Den Sicherheits-Experten beim Suchmaschinenkonzern Google reicht es offensichtlich. Auf den jüngsten Zwischenfall, bei dem ein Zertifikat für Google-Domains durch Unbefugte eingesetzt wurde, reagiert das Unternehmen jetzt mit dem Holzhammer und will gleich die ganze Vertrauenskette abstrafen.
Infografik: Wie funktionier SSL?
Das fragliche Zertifikat stammt von der ägyptischen MCS Holding. Das Unternehmen bietet unter anderem Systeme an, mit denen Firmen das Nutzungsverhalten ihrer Mitarbeiter kontrollieren können - auch wenn diese vom Arbeitsplatz-Rechner SSL-verschlüsselte Verbindungen aufbauen. Dafür wird vorübergehend ein Zwischenzertifikat erstellt, mit dem dann quasi ein Man-in-the-Middle-Angriff möglich ist. So kann die Firmen-IT also im verschlüsselten Datenstrom nachsehen, ob ein Angestellter auf Google-Seiten beruflichen Recherchen nachgeht oder private Zwecke verfolgt.

Google fiel vor einigen Tagen auf, dass Zertifikate für die eigenen Domains aktiv sind - was eigentlich nicht sein sollte. Die Verantwortlichen bei dem Suchmaschinenkonzern verfolgten die Vertrauenskette nach und fanden heraus, dass das MCS-Zertifikat auf dem Root-Zertifikat der chinesischen CNNIC beruht. Diese hat also offenbar nicht ausreichend geprüft, für welche Zwecke die von ihr ausgegebenen Schlüssel eingesetzt werden. Wie Google nun ankündigte, werde man als Konsequenz gleich das Root-Zertifikat selbst auf die schwarze Liste setzen und als nicht mehr vertrauenswürdig einstufen.

Gleiches gilt dann automatisch für alle Zertifikate, die auf diesem beruhen. Das wird zur Folge haben, dass vor allem zahlreiche Chrome-Nutzer im chinesischen Raum nicht mehr auf die Webseiten ihrer Banken oder verschiedenste Online-Angebote kommen, wenn diese sich nicht bis dahin neue Zertifikate besorgen, die auf einem anderen Root basieren. Bei Microsoft und Mozilla wurden die MCS-Zertifikate bereits gesperrt - und zumindest bei Mozilla läuft auch die Diskussion darüber, das CNNIC-Root ebenfalls auszuschließen.

CNNIC: Das ist nicht akzeptabel

In China ist man über Googles Ankündigung natürlich alles andere als glücklich. In einer Stellungnahme bezeichnete die CNNIC die Entscheidung als nicht akzeptabel und unverständlich. Immerhin wären viele Millionen chinesische Nutzer betroffen. Chrome hat in dem Land einen Marktanteil von 52 Prozent.

Zumindest eine Handreichung erfolgte seitens des Suchmaschinenkonzerns inzwischen. Das CNNIC könne, so hieß es, sich wieder um einen Platz in der Liste der vertrauenswürdigen Roots bewerben - müsse dafür aber einen Nachweis liefern, dass angemessene Prozesse und technische Maßnahmen ergriffen wurden, um solche Vorfälle zukünftig zu verhindern.