Gastkommentar: „Gefälschte SSL-Zertifikate sind nichts Neues“

Ein Statement von Kevin Bocek, VP Security Strategy und Threat Intelligence, Venafi zum Thema Rogue-Zertifikate von Symantec. [...]

Gefälschte SSL-Zertifikate ‚in the wild‘? Das ist nichts Neues. Zertifizierungsstellen (Certificate Authorities; CAs) werden ständig mit Aufforderungen bombardiert, neue Zertifikate für Cyber-Kriminelle auszustellen, die versuchen Webseiten zu spoofen und Man-in-the-Middle-Angriffe auszuführen. Obwohl diese Zertifikate scheinbar nicht gestohlen wurden oder dazu gedacht waren, Schaden anzurichten, ist Googles Reaktion auf die Alarmsignale angebracht.

Immer mehr Verschlüsselung führt dazu, dass Unternehmen in aller Welt mehr Zertifikate anfordern. Je mehr Zertifikate im Umlauf sind, desto einfacher wird es für gefälschte Zertifikate durch die Sicherheitsmechanismen durchzurutschen. In diesem Fall ging es um Extended Validation-Zertifikate, denen höchste Sicherheit unterstellt wird. Wären es aber keine Extended Validation-Zertifikate, die wegen Google Chrome im Certificate-Transparency-Log verzeichnet sein müssen, wüssten wir über ihre Ausgabe möglicherweise gar nicht Bescheid. Dies ist einer der Gründe, warum Certificate Reputation, die über bloße Certificate Transparency hinausgeht und die Suche nach bösartigen Zertifikaten im Internet mit einschließt, so wichtig ist.

Größere CAs wie Symantec und ihre CA-Marken verfügen vielleicht über hervorragende Programme gegen Fälschungsversuche und haben gute Teams im Einsatz. Was aber ist mit den anderen 200 CAs, bei denen ein solches Niveau an Sicherheitskontrollen nicht gegeben ist? Ihren Zertifikaten wird genauso vertraut wie denen von Symantec. Cyber-Kriminelle, die schneller an Zertifikate herankommen möchten, können diese ganz einfach von anderen CAs bekommen, die nur minimale Betrugsüberwachung oder unzureichende Sicherheitskontrollen durchführen oder über weniger und schlechter ausgestattete Mitarbeiter verfügen.

Wenn wir Verschlüsselung zu unserem Standard machen, werden wir mehr solcher Vorfälle erleben, und dabei wird es sich nicht um Versehen handeln, insbesondere nicht auf Regierungsebene, da Regierungsbehörden dazu angehalten sind, verstärkt Verschlüsselung einzusetzen. Das wirft eine wichtige Frage auf: Wie kann ich verhindern, dass eine weitere staatliche CA ein Zertifikat ausstellt, oder eine CA in ihrem Land dazu zwingt, ein .gov oder .mil-Zertifikat auszustellen? Die Antwort lautet: Leider gar nicht und das ist ein Problem.

* Kevin Bocek ist VP Security Strategy und Threat Intelligence bei Venafi.