Neues SSL-Problem
Erschlichenes SSL-Zertifikat zwingt zu Updates
Wie in verschiedenen Blogs berichtet wird, ist es der Iranischen Regierung offensichtlich gelungen, ein SSL-Zertifikat des holländischen Unternehmens DigiNotar zu erschleichen. Dieses Zertifkat war für alle google.com-Domains gültig. Somit bestand auch die Möglichkeit, verschlüsselte Nachrichten auf google-mail zu entschlüsseln. Die führenden Browser-Hersteller haben das kompromittierte Zertifikat bereits gesperrt.
Aufgefallen ist das Problem offenbar durch die Nutzung des Google-Browsers Chrome. Dieser hat seit einiger Zeit eine zusätzliche Prüfung implementiert, die nicht nur das Zertifikat selber prüft, sondern auch, ob es dem richtigen Aussteller zugeordnet ist. Durch diese Gegencheck des CA konnte ein google-Mail-Nutzer, der als Aufenthaltsort den Iran angibt, den Zertifikatsfehler entdecken und melden. Damit schien es klar zu sein, dass die iranische Regierung über das gekaperte Zertifikat den Emailverkehr über Googlemail überwachen konnte.
In den meisten Fällen ist das kompromittierte Zertifikat bereits unschädlich gemacht. So hat es Microsoft aus der Windows-Certificate Trust List gelöscht. Auch Google hat den Bereich von DigiNotar bereits als nicht vertrauenswürdig definiert. Ebenso haben Mozilla, Firefox, Sea Monkey und Thunderbird bereits nachgezogen oder werden dies beim nächsten Update tun. Auf der Mozilla/Firefox Help-Seite gibt es Anleitungen, wie das unsichere Zertifikat händisch entfernt werden kann.
Weiter zur Startseite
