compelled certificate creation attack on SSL
Christopher Soghoian und Sid Stamm haben ein White Paper zu einem theoretischen Angriffs Szenario auf SSL veroeffentlicht.
Dabei gehen sie auf die Moeglichkeit ein, dass Regierungen (Bevorzugt China und USA) theoretisch mit CAs (certificate authorities) zusammenarbeiten und falsche SSL Zertifikate ausstellen koennten, die dann jeweils von den entsprechenden Erstellern untergraben werden koennen.
Das ganze ist sehr theoretisch, wird aber durch Stamm's Arbeit bei Mozilla und der damit verbundenen Erfahrung im Umgang mit Vertrauensvollen Uebernahmen von CAs, durchaus untermauert.
Seiner Erfahrung nach, vertrauen Browser viel zu vielen CAs und dies zu meist ohne groessere Kontrollen. Vor allem die CAs, welche direkt von Regierungsapparaten betrieben werden, haben keinerlei Pruefungen zu befuerchten.
Als Beweis fuer das existierende Risiko soll eine Konferenz zwischen CAs und Microsoft Vertretern von 2009 sein, bei der auch Packet Forensics vertreten war. Eine Firma, die dafuer bekannt ist, das die sehr kleine Ueberwachungssoftwares verkauft. Ideal fuer SSL Sniffing.
Tatsaechlich vertraut MS ueber 2 Duzend CAs fremder Regierungen aus dieser Liste von 100 CAs (PDF).
Das ist besonders dann schwierig, wenn CAs infunktionable verschluesselungs Technologien verwenden, Zertifikate Signieren ohne den Inhalt zu Verifizieren oder Zertifikate Signieren, die vom Browser falsch geparst wurden (PDF)
Durchaus eine interessante Theorie.
Gruesse
Falk
Posted at 23:03 by Falk Hammer
#1 foppi, 6 months ago