Das Internet geht nach Entdeckung von 8 kompromittierten TLS-Zertifikaten auf hohe Alarmstufe
ars ·
Die Sicherheitskräfte weltweit sind in Alarmbereitschaft, nachdem acht kompromittierte TLS-Zwischenzertifikate entdeckt wurden, die von der in Indien ansässigen eMudhra Limited ausgestellt wurden. Die mit diesen Zertifikaten verbundenen privaten Schlüssel erwiesen sich als kritisch schwach und reichten von 3 bis 237 Bit, was weit unter der Standard-Entropie von 384 Bit für die NIST P-384-elliptische-Kurven-Kryptografie liegt. Diese Schwachstelle ermöglicht es jedem, vertrauenswürdige Browser- und Anwendungsanmeldeinformationen für jede Website im Internet zu erstellen, was ein schwerwiegendes Risiko für die digitale Sicherheit darstellt. Große Browser haben die betroffenen Zertifikate bereits blockiert, obwohl einige Updates für Linux-Distributionen und IoT-Geräte noch ausstehen. Kryptografie-Experten vergleichen den Umfang der erforderlichen Bereinigung mit dem Heartbleed-Vorfall und weisen darauf hin, dass die Heterogenität der beteiligten Systeme die Wiederherstellung besonders zeitaufwändig machen wird. Obwohl in den Transparenzprotokollen für Zertifikate bisher keine böswillige Nutzung gemeldet wurde, bleibt die Bedrohung aktiv, solange nicht alle abhängigen Systeme aktualisiert sind. Anwendern wird geraten, bei nicht-Browser-TLS-Kommunikationen, insbesondere beim Einsatz von VPNs in Regionen mit aggressiver Überwachung, Vorsicht walten zu lassen. Der Vorfall verdeutlicht die Zerbrechlichkeit des TLS-Ökosystems, in dem ein einziges schwaches Glied die globale Vertrauensinfrastruktur kompromittieren kann.
ars