Gastkommentar: "Gefälschte SSL-Zertifikate sind nichts Neues" Gastkommentar: "Gefälschte SSL-Zertifikate sind nichts Neues" - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


22.09.2015 Kevin Bocek*

Gastkommentar: "Gefälschte SSL-Zertifikate sind nichts Neues"

Ein Statement von Kevin Bocek, VP Security Strategy und Threat Intelligence, Venafi zum Thema Rogue-Zertifikate von Symantec.

Kevin Bocek ist VP Security Strategy und Threat Intelligence bei Venafi.

Kevin Bocek ist VP Security Strategy und Threat Intelligence bei Venafi.

© Venafi

Gefälschte SSL-Zertifikate 'in the wild'? Das ist nichts Neues. Zertifizierungsstellen (Certificate Authorities; CAs) werden ständig mit Aufforderungen bombardiert, neue Zertifikate für Cyber-Kriminelle auszustellen, die versuchen Webseiten zu spoofen und Man-in-the-Middle-Angriffe auszuführen. Obwohl diese Zertifikate scheinbar nicht gestohlen wurden oder dazu gedacht waren, Schaden anzurichten, ist Googles Reaktion auf die Alarmsignale angebracht.

Immer mehr Verschlüsselung führt dazu, dass Unternehmen in aller Welt mehr Zertifikate anfordern. Je mehr Zertifikate im Umlauf sind, desto einfacher wird es für gefälschte Zertifikate durch die Sicherheitsmechanismen durchzurutschen. In diesem Fall ging es um Extended Validation-Zertifikate, denen höchste Sicherheit unterstellt wird. Wären es aber keine Extended Validation-Zertifikate, die wegen Google Chrome im Certificate-Transparency-Log verzeichnet sein müssen, wüssten wir über ihre Ausgabe möglicherweise gar nicht Bescheid. Dies ist einer der Gründe, warum Certificate Reputation, die über bloße Certificate Transparency hinausgeht und die Suche nach bösartigen Zertifikaten im Internet mit einschließt, so wichtig ist.

Größere CAs wie Symantec und ihre CA-Marken verfügen vielleicht über hervorragende Programme gegen Fälschungsversuche und haben gute Teams im Einsatz. Was aber ist mit den anderen 200 CAs, bei denen ein solches Niveau an Sicherheitskontrollen nicht gegeben ist? Ihren Zertifikaten wird genauso vertraut wie denen von Symantec. Cyber-Kriminelle, die schneller an Zertifikate herankommen möchten, können diese ganz einfach von anderen CAs bekommen, die nur minimale Betrugsüberwachung oder unzureichende Sicherheitskontrollen durchführen oder über weniger und schlechter ausgestattete Mitarbeiter verfügen.

Wenn wir Verschlüsselung zu unserem Standard machen, werden wir mehr solcher Vorfälle erleben, und dabei wird es sich nicht um Versehen handeln, insbesondere nicht auf Regierungsebene, da Regierungsbehörden dazu angehalten sind, verstärkt Verschlüsselung einzusetzen. Das wirft eine wichtige Frage auf: Wie kann ich verhindern, dass eine weitere staatliche CA ein Zertifikat ausstellt, oder eine CA in ihrem Land dazu zwingt, ein .gov oder .mil-Zertifikat auszustellen? Die Antwort lautet: Leider gar nicht und das ist ein Problem.

* Kevin Bocek ist VP Security Strategy und Threat Intelligence bei Venafi.

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • HATAHET productivity solutions GmbH

    HATAHET productivity solutions GmbH Individual-Softwareentwicklung, Migrations-Management, Programmierung, System- und Netzwerk-Tuning, Systemintegration und Systemmanagement, Übernahme von Softwareprojekten, User Helpdesk-Systeme und Hotlines,... mehr
  • Dicom Computer VertriebsgesmbH

    Dicom Computer VertriebsgesmbH WLAN-Systeme, VPN, Netzwerk-Systeme (LAN, MAN, WAN), Netzwerk-Management, Netzwerk-Diagnose-Systeme, Netzkomponenten, Mobile Lösungen und Applikationen,... mehr
  • Rittal GmbH

    Rittal GmbH Netzwerk-Management, Netzkomponenten, Zugangs- und Zutrittskontrolle, Unterbrechungsfreie Stromversorgung (USV), Überwachungssysteme, Notfalls-Rechenzentren, Netzwerk- und Systemüberwachung,... mehr
  • MIC – managing international customs & trade compliance

    MIC – managing international customs & trade compliance Supply Chain Management, Kaufmännische Software (ERP), Expertensysteme, E-Procurement und Supply Chain Management, B2B Dienste und Lösungen mehr

Hosted by:    Security Monitoring by: