Nicht vertrauenswürdige Zertifikate: Security-Experten ergreifen keine Maßnahmen

Venafi: Eine Black Hat USA-Befragung von über 300 IT-Sicherheitsexperten bestätigt Unwissen dabei, Schwachstellen durch nicht vertrauenswürdige Zertifizierungsstellen zu erkennen und darauf zu reagieren. [...]

Venafi veröffentlicht die Ergebnisse seiner 2015 Black Hat-Befragung. Die Daten wurden in der Woche vom 3. August in Las Vegas, NV, bei über 300 IT-Sicherheitsexperten erhoben. Die Umfrage zeigt, dass die meisten IT-Sicherheitsexperten die Risiken, die mit nicht vertrauenswürdigen Zertifikaten und Schlüsseln verbundenen sind, zwar verstehen, aber keine Maßnahmen dagegen ergreifen.
Die Befragung offenbart darüber hinaus, dass einige Informationssicherheitsexperten nicht verstehen, welche Sicherheitsdienste Zertifizierungsstellen (CAs) leisten und welche nicht.

Server und andere Sicherheitsanwendungen trauen kryptographischen Schlüsseln und digitalen Zertifikaten von Natur aus und liefern Authentifizierung und Autorisierung für alles, was heutzutage IP-basiert ist, darunter alle Internet-of-Things (IoT)-Geräte. Dieses blinde Vertrauen wird jedoch von Cyberkriminellen missbraucht, denn sie haben damit die Möglichkeit, Unternehmen zu kontrollieren und zu imitieren, um Daten zu stehlen.

Jüngste Beispiele sind der Hack der General Motors (GM) RemoteLink-App- hier erleichterte das Fehlen der SSL/TLS-Validierung den Hack – sowie die Federal Reserve Bank of St. Louis, deren inkonsequente Nutzung von SSL/TLS und mehreren CAs (einschließlich GoDaddy) es den Angreifern leicht machte, gefälschte Webseiten einzurichten, Besucher umzuleiten und Fed-Nutzer ins Visier zu nehmen.

Es gibt Hunderte CAs, die weltweit digitales Vertrauen ausstellen, und der Studie des Ponemon Institute zufolge hält das durchschnittliche Unternehmen über 23.000 Schlüssel und Zertifikate. Wird eine große CA erfolgreich angegriffen oder stellt eine CA einer Organisation in betrügerischer Weise nicht genehmigte Zertifikate aus, können Angreifer die ins Visier genommene Unternehmen nachahmen, überwachen und kontrollieren sowie Traffic entschlüsseln und Webseiten, Codes oder Administratoren imitieren.

Ungesicherte Schlüssel und Zertifikate bieten Angreifern vertrauenswürdigen Zugriff auf die Netzwerke ihrer Ziele und ermöglichen ihnen, lange Zeit unentdeckt zu bleiben.

Venafis 2015 Black Hat USA-Umfrage zeigte:

• •    90 Prozent der Befragten glauben, dass innerhalb der nächsten zwei Jahre eine führende Zertifizierungsstelle, Hauptanbieter für Vertrauen im Internet, erfolgreich angegriffen werden wird. Obwohl 90 Prozent der Befragten glauben, dass eine führende CA, wie Symantec, Entrust oder Comodo, in den kommenden zwei Jahren kompromittiert wird, verfügen nur 13 Prozent über automatisierte Problembehebungsverfahren. Ohne vorhandenen CA-Migrationsplan und ohne Automatisierung müssen alle Organisationen, die auf eine bereits erfolgreich angegriffene, öffentliche CA zurückgreifen, die von dieser CA ausgestellten Zertifikate schnellstens zu einer anderen migrieren – und zwar manuell. Angesichts der Tatsache, dass die durchschnittliche Organisation über 23,000 Zertifikate hat und es ungefähr vier Stunden dauert, die erforderlichen Schritte zum Austausch eines einzigen Zertifikats in einem einzigen System durchzuführen, ist die manuelle Migration aller Zertifikate und der dazugehörigen Schlüssel undenkbar.
• Überraschende drei Viertel (74 Prozent) der Befragten verstehen nicht, dass CNNIC eine eindeutige und aktuelle Gefahr darstellt, und haben nichts unternommen, nicht einmal, nachdem Google und Mozilla verkündet haben, dass CNNIC nicht mehr vertrauenswürdig ist.Nach den Maßnahmen gefragt, die Infosec-Experten ergriffen haben, nachdem Google und Mozilla verkündeten, der offiziellen chinesischen Regierungs-CA  CNNIC aufgrund nicht vertrauenswürdiger Praktiken beim Ausstellen von Zertifikaten nicht mehr zu trauen, gaben nur 26 Prozent an, CNNIC tatsächlich von allen Desktops, Laptops und Mobilgeräten entfernt zu haben. Der Rest der Befragten hatte entweder nichts unternommen (23 %), wartet darauf, dass Apple und Microsoft etwas unternehmen(17 %) oder weiß es einfach nicht (34 %).
• Rund zwei Drittel der Infosec-Experten verstehen die Risiken, die mit nicht vertrauenswürdigen CAs, wie CNNIC, verbunden sind.  Auf die Frage nach den Sicherheitsrisiken, die aus Zertifikaten resultieren, die nicht vertrauenswürdige CAs für ihre Browser, Anwendungen oder Mobilgeräte ausstellen, gaben 58 Prozent der Befragten an, MITM-Angriffe zu fürchten, und 14 Prozent sagten aus, über Replay-Angriffe besorgt zu sein. Diese Daten weisen auf eine große Kluft hin – die Experten verstehen das Risiko, unternehmen jedoch überhaupt nichts dagegen.
• 63 Prozent der Infosec-Experten wissen nicht ob, oder glauben fälschlicherweise, dass eine Zertifizierungsstelle Zertifikate und kryptographische Schlüssel sichert. Auf die Frage, ob eine CA sie vor Diebstahl, Missbrauch oder Fälschung digitaler Zertifikate schützt, antworteten nur 37 Prozent korrekterweise mit nein. Der Rest der Befragten sagte entweder ja (29 Prozent) oder gab an, es nicht zu wissen (34 Prozent). CAs stellen nur Zertifikate aus und entziehen sie – sie überwachen nicht ihre Nutzung, die über die „in the wild““ hinausgeht, und können letztlich keine Sicherheit für sie bieten.
• Obwohl Mobilgeräte Hunderten von CAs vertrauen, glauben die Befragten der Studie fälschlicherweise, ihre Mobilgeräte vertrauten lediglich 3. Auf die Frage, wie vielen CAs auf Mobilgeräten vertraut würde, vermuteten die Befragten einen Mittelwert von 3. Bei Apple iOS-Geräten war der angegebene Mittelwert 2, in Wirklichkeit liegt er bei über 240.

„Die Ergebnisse dieser Studie sind beunruhigend, angesichts der Zahl der IT-Sicherheitsexperten, die die Bedrohungen durch CAs und missbrauchte Zertifikate zwar erkennen, aber nicht über das Knowhow, das Verständnis und die Automatisierung verfügen, das Problem zu lösen und das Risiko eines Angriffs zu verringern“, sagt Kevin Bocek, Vizepräsident Security Strategy und Threat Intelligence bei Venafi. „Trotz des erfolgreichen DigiNotar-Angriffs und der Angriffe auf MCS Holdings und Google vertrauen Organisationen Zertifikaten weiterhin blind und sind nicht in der Lage, effektiv zu reagieren und Schutzvorkehrungen für die Zukunft zu entwickeln. Cyberkriminelle kennen die gravierenden Auswirkungen der betrügerischen Ausstellung und des Missbrauchs von Schlüsseln und Zertifikaten und werden sie weiterhin für Angriffe nach APT-Muster nutzen, weil sie wissen, dass sie wirksam sein.“