Indien stellte falsche Google-Zertifikate aus
Erneut kam es zu einem schwerwiegenden Zwischenfall bei einem Herausgeber von SSL-Zertifikaten: Die staatlich betriebene CA von Indien hat unter anderem Zertifikate für Google-Dienste herausgegeben. Diese eignen sich zum Ausspähen von SSL-Traffic.
- Ronald Eikenberg
Der staatliche Zertifikatsherausgeber von Indien hat offenbar falsche SSL-Zertifikate für Google-Dienste erstellt. Google berichtet in seinem Online Security Blog, dass Zertifikate für mehrere Google-Dienste im Umlauf sind, die vor der Zertifizierungsstelle (Certificate Authority, CA) des National Informatics Centre (NIC) ausgestellt wurden. Dies ist nicht im Auftrag von Google geschehen und hat durchaus ernste Folgen: Ruft etwa ein Google-Nutzer seine Mails ab, kann der verschlüsselte Datenaustausch mit den Google-Servern auf dem Transportweg entschlüsselt, mitgelesen und neu verschlüsselt werden; ohne dass der Nutzer davon etwas mitbekommt.
Nach Angaben von Google befindet sich das Stammzertifikat in der Liste der vertrauesnwürdigen Herausgeber von Windows, auf die unter anderem der Internet Explorer zurückgreift. Programme und Plattformen, die eine eigene Liste pflegen, wie etwa Mozilla Firefox, sind nicht betroffen. Der Chrome-Browser greift zwar unter Windows auf diese Liste zu, da er jedoch bei einigen Sites überprüft, ob ein Zertifikat von einer üblicherweise genutzten CA stammt (Public-Key-Pinning), sind zumindest die Google-Dienste nicht betroffen. Der Suchmaschinenriese gibt jedoch an, dass die CA nicht nur Google-Zertifikate ausgestellt habe.
Hintergründe unklar
Das indische National Informatics Centre (NIC) erklärte unterdessen, dass man die Herausgabe von Zertifikaten eingestellt habe und allzu bald nicht damit zu rechnen sei, dass der reguläre Betrieb wieder aufgenommen wird. Ob es sich bei dem Vorfall um eine staatliche Überwachungsaktion oder einen Hackerangriff handelt, ist bislang unklar. In der Vergangenheit haben bereits mehrfach CAs, denen Millionen Nutzer unwissentlich vertrauen, falsche Zertifikate für Dienste wie Google Mail ausgestellt. Das prominenteste Beispiel ist DigiNotar. (rei)
