Gehackte Zertifikate: Google entfernt Sicherheitsschloss
Google will sicherer werden. Bisher wurden sensible Daten auf Webseiten durch die "SSL"-Technik gesichert. Die kann aber gehackt werden. Alternativen werden gesucht.
Jeder Internet-Nutzer kennt das kleine Sicherheitsschloss. Es taucht auf, wenn man sich auf geschützten Seiten bewegt: Mit dem sogenannten "Secure Sockets Layer" (SSL) werden Tag für Tag millionenfach Verbindungen im Netz abgesichert. Doch die Verfahren, mit denen die Integrität von SSL sichergestellt wird, bekamen in den letzten beiden Jahren gleich mehrfach eins auf die Mütze. Es zeigte sich, dass sich die Technik durch die Hintertür aushebeln lässt.
Die Grundlagentechnik, die in ihrer ersten Version bereits Mitte der 1990er Jahre beim amerikanischen Surfwerkzeughersteller Netscape entstand, ist mittlerweile in die Jahre gekommen. Damit SSL funktioniert, muss sichergestellt sein, dass die Website, die man ansurft, auch wirklich der entspricht, die man sehen möchte. Sonst gibt man seine Bankdaten bei Gaunern ein, obwohl es so aussieht, als sei die Verbindung sicher.
Dazu werden von zentralen Stellen, die von kommerziellen Unternehmen betrieben werden, digitale Zertifikate ausgegeben. Doch diese Stellen lassen sich hacken: 2011 kam heraus, dass es Angreifern gelungen war, eigene Zertifikate für große Websites wie Google oder Yahoo zu erstellen, die dann in Kombination mit weiteren Tricks zum Abhören eigentlich geschützter Verbindungen genutzt werden konnten. Regime im nahen Osten sollen sich der Technik bedient haben.
Einmal Zertifikat, immer zertifiziert
Ein anderes Problem ist die extrem schwere Rücknahme eines einmal ausgestellten Zertifikats. Wird eine ganze Zertifizierungsstelle kompromittiert, muss diese in jedem Browser der Welt entfernt werden. Doch bieten nicht alle Hersteller Updates an, mobile Geräte bekommen oft gar keine Aktualisierungen und die Nutzer wissen nichts davon. Das führt dann dazu, dass gefälschte Zertifikate über Jahre verwendet werden.
Es gibt zwar Verfahren, mit denen sich einzelne Zertifikate auch nachträglich zurückziehen lassen - dazu werden von den Ausstellern sogenannte Certificate Revocation Lists, kurz CRLs, ausgegeben. Deren Abfrage dauert aber mindestens eine Sekunde beim Aufruf einer gesicherten Adresse, was dem Nutzer als Verlangsamung vorkommt.
Die meisten Browser sind sogar so eingestellt, dass sie die Abfrage einfach weglassen, wenn der Listenserver sie nicht erreicht. "Das ist so wie ein Sicherheitsgurt, der im Falle eines Unfalls reißt. Obwohl es 99 Prozent der Zeit funktioniert, ist es wertlos, weil es nur funktioniert, wenn man es nicht braucht", sagt Adam Langley, Sicherheitsforscher bei Google. Kriminelle könnten die Abfrage lahmlegen, um sicherzustellen, dass sie nicht funktioniere.
Chrome ohne Abfrage
Deshalb habe sich Google mittlerweile entschieden, die Abfrage der Listen aus seinem hauseigenen Browser Chrome zu entfernen, sagt Langley. Stattdessen will das Unternehmen eine eigene, hochverfügbare Liste führen, die ständig aktualisiert wird. Sie werde dann mit Browser-Updates automatisch übertragen. Langley forderte die Zertifikateaussteller auf, Google zeitnah zurückgezogene Zertifikate mitzuteilen. Derzeit dauere so etwas oft Monate, heißt es bei dem Internet-Konzern.
Nutzerseitig lässt sich derzeit nur wenig tun - die Browserhersteller und die Zertifikateaussteller müssen reagieren. Der Sicherheitsforscher Christopher Soghoian hatte schon vor fast zwei Jahren vorgeschlagen, eine Browser-Zusatzsoftware anzubieten, die prüfen kann, ob Zertifikate ungewöhnlicher Herkunft sind. So ließe sich der Nutzer beispielsweise darauf aufmerksam machen, dass er zwar bei Google USA eingeloggt ist, aber das Zertifikat aus einem Regimeland in Nahost stammt.
Bislang ist die Technik aber noch nicht auf dem Markt. Hilfreich sind allerdings bereits jetzt Werkzeuge wie die kostenlose Toolbar von Netcraft für Firefox, die unter anderem das Alter eines Angebots prüft und auf Merkwürdigkeiten aufmerksam macht. Die Netzbürgerrechtsorganisation SSL betreibt zudem ein sogenanntes SSL-Observatorium, das Manipulationsversuche aufdecken soll.
Links lesen, Rechts bekämpfen
Gerade jetzt, wo der Rechtsextremismus weiter erstarkt, braucht es Zusammenhalt und Solidarität. Auch und vor allem mit den Menschen, die sich vor Ort für eine starke Zivilgesellschaft einsetzen. Die taz kooperiert deshalb mit Polylux. Das Netzwerk engagiert sich seit 2018 gegen den Rechtsruck in Ostdeutschland und unterstützt Projekte, die sich für Demokratie und Toleranz einsetzen. Eine offene Gesellschaft braucht guten, frei zugänglichen Journalismus – und zivilgesellschaftliches Engagement. Finden Sie auch? Dann machen Sie mit und unterstützen Sie unsere Aktion. Noch bis zum 31. Oktober gehen 50 Prozent aller Einnahmen aus den Anmeldungen bei taz zahl ich an das Netzwerk gegen Rechts. In Zeiten wie diesen brauchen alle, die für eine offene Gesellschaft eintreten, unsere Unterstützung. Sind Sie dabei? Jetzt unterstützen
