Gehackte Zertifikate: Google entfernt Sicherheitsschloss
Google will sicherer werden. Bisher wurden sensible Daten auf Webseiten durch die "SSL"-Technik gesichert. Die kann aber gehackt werden. Alternativen werden gesucht.
Jeder Internet-Nutzer kennt das kleine Sicherheitsschloss. Es taucht auf, wenn man sich auf geschützten Seiten bewegt: Mit dem sogenannten "Secure Sockets Layer" (SSL) werden Tag für Tag millionenfach Verbindungen im Netz abgesichert. Doch die Verfahren, mit denen die Integrität von SSL sichergestellt wird, bekamen in den letzten beiden Jahren gleich mehrfach eins auf die Mütze. Es zeigte sich, dass sich die Technik durch die Hintertür aushebeln lässt.
Die Grundlagentechnik, die in ihrer ersten Version bereits Mitte der 1990er Jahre beim amerikanischen Surfwerkzeughersteller Netscape entstand, ist mittlerweile in die Jahre gekommen. Damit SSL funktioniert, muss sichergestellt sein, dass die Website, die man ansurft, auch wirklich der entspricht, die man sehen möchte. Sonst gibt man seine Bankdaten bei Gaunern ein, obwohl es so aussieht, als sei die Verbindung sicher.
Dazu werden von zentralen Stellen, die von kommerziellen Unternehmen betrieben werden, digitale Zertifikate ausgegeben. Doch diese Stellen lassen sich hacken: 2011 kam heraus, dass es Angreifern gelungen war, eigene Zertifikate für große Websites wie Google oder Yahoo zu erstellen, die dann in Kombination mit weiteren Tricks zum Abhören eigentlich geschützter Verbindungen genutzt werden konnten. Regime im nahen Osten sollen sich der Technik bedient haben.
Einmal Zertifikat, immer zertifiziert
Ein anderes Problem ist die extrem schwere Rücknahme eines einmal ausgestellten Zertifikats. Wird eine ganze Zertifizierungsstelle kompromittiert, muss diese in jedem Browser der Welt entfernt werden. Doch bieten nicht alle Hersteller Updates an, mobile Geräte bekommen oft gar keine Aktualisierungen und die Nutzer wissen nichts davon. Das führt dann dazu, dass gefälschte Zertifikate über Jahre verwendet werden.
Es gibt zwar Verfahren, mit denen sich einzelne Zertifikate auch nachträglich zurückziehen lassen - dazu werden von den Ausstellern sogenannte Certificate Revocation Lists, kurz CRLs, ausgegeben. Deren Abfrage dauert aber mindestens eine Sekunde beim Aufruf einer gesicherten Adresse, was dem Nutzer als Verlangsamung vorkommt.
Die meisten Browser sind sogar so eingestellt, dass sie die Abfrage einfach weglassen, wenn der Listenserver sie nicht erreicht. "Das ist so wie ein Sicherheitsgurt, der im Falle eines Unfalls reißt. Obwohl es 99 Prozent der Zeit funktioniert, ist es wertlos, weil es nur funktioniert, wenn man es nicht braucht", sagt Adam Langley, Sicherheitsforscher bei Google. Kriminelle könnten die Abfrage lahmlegen, um sicherzustellen, dass sie nicht funktioniere.
Chrome ohne Abfrage
Deshalb habe sich Google mittlerweile entschieden, die Abfrage der Listen aus seinem hauseigenen Browser Chrome zu entfernen, sagt Langley. Stattdessen will das Unternehmen eine eigene, hochverfügbare Liste führen, die ständig aktualisiert wird. Sie werde dann mit Browser-Updates automatisch übertragen. Langley forderte die Zertifikateaussteller auf, Google zeitnah zurückgezogene Zertifikate mitzuteilen. Derzeit dauere so etwas oft Monate, heißt es bei dem Internet-Konzern.
Nutzerseitig lässt sich derzeit nur wenig tun - die Browserhersteller und die Zertifikateaussteller müssen reagieren. Der Sicherheitsforscher Christopher Soghoian hatte schon vor fast zwei Jahren vorgeschlagen, eine Browser-Zusatzsoftware anzubieten, die prüfen kann, ob Zertifikate ungewöhnlicher Herkunft sind. So ließe sich der Nutzer beispielsweise darauf aufmerksam machen, dass er zwar bei Google USA eingeloggt ist, aber das Zertifikat aus einem Regimeland in Nahost stammt.
Bislang ist die Technik aber noch nicht auf dem Markt. Hilfreich sind allerdings bereits jetzt Werkzeuge wie die kostenlose Toolbar von Netcraft für Firefox, die unter anderem das Alter eines Angebots prüft und auf Merkwürdigkeiten aufmerksam macht. Die Netzbürgerrechtsorganisation SSL betreibt zudem ein sogenanntes SSL-Observatorium, das Manipulationsversuche aufdecken soll.
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
meistkommentiert
MLPD droht Nichtzulassung zur Wahl
Scheitert der „echte Sozialismus“ am Parteiengesetz?
Mord an UnitedHealthcare-CEO in New York
Mörder-Model Mangione
Geschasste UN-Sonderberaterin
Sie weigerte sich, Israel „Genozid“ vorzuwerfen
Fake News liegen im Trend
Lügen mutiert zur Machtstrategie Nummer eins
Förderung von E-Mobilität
Habeck plant Hilfspaket mit 1.000 Euro Ladestromguthaben
Vertrauensfrage von Scholz
Der AfD ist nicht zu trauen