TL;DR: Das Wichtigste
- Angreifer haben sich Zugang zu den nationalen Registrierungsstellen von Ghana, Sierra Leone und Amerikanisch-Samoa verschafft, um die Weiterleitung der betroffenen Webadressen zu manipulieren.
- Durch diese Manipulation wurden die Zertifizierungsstellen getäuscht, sodass sie glaubten, die Hacker seien die rechtmässigen Eigentümer der angegriffenen Websites.
- Google hat diese irreführenden Berechtigungen in Chrome mithilfe des CRLSets-Systems umgehend gesperrt, ohne dass ein Einbruch in die eigenen Server festgestellt wurde.
- Der Vorfall belegt, dass ein Hacker, der in der Lage ist, das Internet-Verzeichnis zu manipulieren, eine gefälschte Website anzeigen kann, die in den Augen der Öffentlichkeit vollkommen sicher erscheint.
Ein HTTPS-Zertifikat fungiert als digitaler Ausweis einer Website und gewährleistet, dass der Besucher tatsächlich mit dem richtigen Unternehmen kommuniziert. Wenn dieser offizielle Ausweis in die Hände eines Hackers gelangt, leuchten alle Vertrauensanzeigen des Browsers grün, obwohl die Verbindung in Wirklichkeit manipuliert ist. Das technische Team des Browsers Google Chrome hat daher auf einen kritischen Vorfall hingewiesen: Durch die Übernahme der Kontrolle über nationale Internetverzeichnisse konnten gefälschte Sicherheitszertifikate für Seiten von Google und mehreren globalen Unternehmen erstellt werden.
Der Hackerangriff auf das Webverzeichnis führt die Aufsichtsbehörden in die Irre
Um ein Sicherheitszertifikat zu erhalten, muss eine Website ihre Identität gegenüber einer offiziellen Zertifizierungsstelle nachweisen – ähnlich wie ein Bürger im Rathaus einen Wohnsitznachweis vorlegt. Die Zertifizierungsstelle fordert den Betreiber der Website in der Regel auf, einen geheimen Code in ihrem technischen Verzeichnis, der sogenannten DNS-Zone, zu hinterlegen. Durch das direkte Hacken der Register, die die geografischen Endungen von Ghana (.gh), Sierra Leone (.sl) und Amerikanisch-Samoa (.as) verwalten, konnten die Angreifer diesen vorübergehenden Zugangsschlüssel selbst eintragen.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Dank dieser Manipulation konnten sich die Hacker als rechtmässige Eigentümer der betroffenen Adressen ausgeben, ohne Verdacht zu erregen. Den von GBHackers Security gemeldeten technischen Details zufolge blieben die internen Systeme von Google völlig unversehrt. Die Zertifizierungsstellen haben lediglich die angeforderten Sicherheitszertifikate ausgestellt, die durch vollständig an der Quelle gefälschte Weiterleitungseinstellungen missbraucht wurden.
Da sie sowohl die Adressumleitung als auch das dazugehörige offizielle Zertifikat besitzen, können Angreifer ein offizielles Portal originalgetreu nachbilden. Für den Internetnutzer wird das Sicherheitsschloss wie gewohnt angezeigt, ohne dass ein Alarm ausgelöst wird, was es Hackern ermöglicht, Passwörter abzufangen oder Spyware zu installieren, wie The Register ausführlich berichtet.
Analyse
An dieser Stelle ist es interessant, sich erneut bewusst zu machen, welche Bedeutung Zertifikate für die Sicherheit im Internet haben. Sie sind die wesentlichen Garanten für die Integrität der Informationsquellen. Der Besitz der entsprechenden Schlüssel ermöglicht böswillige Manipulationen, die unsichtbar bleiben und durch grüne Anzeigen im Browser vollständig verschleiert werden.
Chrome blockiert den Zugriff im Notfall mithilfe des CRLSets-Systems
Um der Gefahr Einhalt zu gebieten, haben die Entwickler den im Chrome-Browser integrierten Notfallmechanismus „CRLSets“ aktiviert. Dieses Tool fungiert als eine in Echtzeit an alle Nutzer verteilte Sperrliste, um gefälschte Zugangsberechtigungen sofort zurückzuweisen, ohne dass es zu den üblichen Verzögerungen bei den üblichen Überprüfungen kommt. Dieser Schutz sicherte zunächst die Domains von Google, bevor er auf andere Organisationen ausgeweitet wurde, die von derselben Angriffswelle betroffen waren.
Die Überprüfung der öffentlichen „Certificate Transparency“-Register ergab rasch, dass auch mehrere internationale Marken und stark frequentierte Online-Dienste ins Visier genommen worden waren. Nach Angaben von BleepingComputer haben die Administratoren die betroffenen Unternehmen benachrichtigt und gleichzeitig die unrechtmässigen Zertifikate bei den ausstellenden Stellen widerrufen. Der Herausgeber weist jedoch darauf hin, dass dieser Schutz in erster Linie Chrome absichert, wodurch Nutzer anderer Browser potenziell gefährdet bleiben.
Diese öffentlichen Register bilden ein offenes Zivillstandsregister, in dem jedes weltweit ausgestellte Zertifikat erfasst wird. Dank ihrer kontinuierlichen Überwachung können die IT-Teams verdächtige digitale Ausweisdokumente sofort erkennen, auch auf sekundären oder inaktivierten Webadressen.
Die CAA-Einstellungen verhindern die Wiederverwendung gestohlener Zugangsdaten
Um sich vor dieser Art von Missbrauch zu schützen, können Unternehmen in ihrem technischen Verzeichnis eine sogenannte CAA-Regel veröffentlichen. Diese Einstellung fungiert als ausdrückliche Vorgabe, in der genau die Stellen aufgeführt sind, die zur Herstellung von Ausweisdokumenten für ihre Marke berechtigt sind. Der technische Standard RFC 8657 verstärkt diese Sicherheitsmassnahme noch weiter, indem er die Berechtigung an eine eindeutige Kunden-ID und an sehr strenge Überprüfungsverfahren knüpft.
Diese Anweisung kann zwar keinen Betrug verhindern, solange sich die Domain in den Händen der Hacker befindet, verhindert jedoch, dass diese alte temporäre Berechtigungen erneut verwenden, sobald die Sicherheitslücke geschlossen wurde. Dank dieser Sperre können Angreifer nach der Wiedererlangung der Kontrolle über die Domain keine neuen betrügerischen Zertifikate mehr heimlich erstellen. Google setzt sich übrigens dafür ein, die Gültigkeitsdauer dieser Zertifikate zu verkürzen, um die Auswirkungen eines Diebstahls von Anmeldedaten zu begrenzen.
Der Angriff auf die Domainendungen .gh, .sl und .as macht deutlich, dass die Sicherheit unserer verschlüsselten Verbindungen vollständig auf dem Vertrauen in die Grundlagen des Internet-Verzeichnisses beruht. Sicherheitszertifikate bilden die Grundlage dieses Vertrauens im Internet: Sobald es Hackern gelingt, die Schlüssel legal zu generieren, ist das Gefühl der Sicherheit nichts weiter als eine Illusion, hinter der sich das Abfangen unserer Kommunikation verbirgt.
Häufig gestellte Fragen zum Missbrauch von Webzertifikaten
Wie konnten die Hacker Zertifikate für Google erstellen?
Die Hacker haben die Kontrolle über die nationalen Verzeichnisse übernommen, die die Webadressen verwalten. Durch die Änderung dieser offiziellen Register haben sie die Prüfstellen dazu gebracht, zu glauben, sie seien die rechtmässigen Inhaber der beantragten Domains.
Warum haben die Browser keine Warnung angezeigt?
Der Browser überprüft lediglich, ob das vorgelegte Zertifikat von einer anerkannten Stelle validiert wurde und mit der angeforderten Adresse übereinstimmt. Da die Hacker über ein echtes, von einer offiziellen Behörde ausgestelltes Dokument verfügten, wurde keine Warnmeldung ausgelöst.
Was ist das CRLSets-Sicherheitssystem von Chrome?
CRLSets ist eine von Chrome verwaltete Notfallliste, mit der Zertifikate, die zu einer Gefahr geworden sind, sofort gesperrt werden können. Sie ermöglicht es, ein gehacktes Zertifikat zu deaktivieren, ohne auf die mitunter sehr langwierigen Routineüberprüfungen warten zu müssen.
Wozu dient die CAA-Eintragung für einen Domainnamen?
Mithilfe des CAA-Eintrags kann ein Unternehmen im Voraus festlegen, welche Stellen ausschliesslich zur Erstellung seiner Sicherheitszertifikate berechtigt sind. In Verbindung mit der RFC-8657-Regel verhindert diese Sicherheitsmassnahme, dass Hacker nach dem Vorfall veraltete Validierungen nutzen, um gefälschte Zugriffe zu generieren.
Wie erkennen Unternehmen die missbräuchliche Verwendung ihrer Adressen?
Die Organisationen überwachen die „Certificate Transparency“-Register, in denen jedes im Internet neu erstellte Zertifikat öffentlich und in Echtzeit erfasst wird. Durch die Einsicht in diese Verzeichnisse lassen sich unerwartete oder betrügerische Zertifikatsausstellungen unverzüglich erkennen.
Hat Ihnen dieses Monitoring Zeit gespart?
Helfen Sie DCOD, die Server zu bezahlen und zu 100 % kostenlos und unabhängig zu bleiben.
