Die Sicherheit der HTTPS-Verbindungen im Internet hängt von einem vertrauenswürdigen System von Zertifizierungsstellen (CAs) ab, die digitale Zertifikate ausstellen und signieren. Diese Zertifikate versichern Browsern und Clients, dass eine Website wirklich das ist, was sie vorgibt zu sein. Jetzt zeigt sich ein kritisches Problem bei der indischen Zertifizierungsstelle Emudhra: Acht private Schlüssel, mit denen Zertifikate signiert werden, können mit einfachen Methoden geknackt werden.
Das ist ein erhebliches Sicherheitsrisiko. Wenn private Schlüssel einer Zertifizierungsstelle kompromittiert sind, können Angreifer gefälschte Zertifikate ausstellen, die von Browsern als legitim akzeptiert werden. Ein Angreifer könnte dann beispielsweise ein gefälschtes Zertifikat für die Website einer Bank erstellen, Nutzer auf seine bösartige Seite umleiten, und diese hätten keinen visuellen Hinweis, dass etwas falsch ist. Die Browser würden das gefälschte Zertifikat als vertrauenswürdig einstufen.
Die Tatsache, dass die Schlüssel mit "trivialen Methoden" geknackt werden können, deutet darauf hin, dass sie nicht mit angemessener Sicherheit generiert, gespeichert oder geschützt wurden. Das ist ein grundlegender Fehler in der Infrastruktur einer Zertifizierungsstelle. Emudhra hätte strengste Sicherheitsstandards implementieren müssen, um diese Schlüssel zu schützen.
Die Industrie reagiert bereits. Browserhersteller und Betriebssystem-Hersteller werden Massnahmen einleiten, um Emudhras Zertifikate aus ihren Vertrauensspeichern zu entfernen oder deren Validität einzuschränken. Websites, die Zertifikate von Emudhra nutzen, müssen schnell auf andere Zertifizierungsstellen wechseln.
Für Unternehmen ist dieser Vorfall ein mahnendes Beispiel: Die Sicherheit von Zertifizierungsstellen ist fundamental. Beim Kauf von SSL/TLS-Zertifikaten sollten Unternehmen darauf achten, Zertifikate von etablierten, regulierten und überprüften Anbietern zu beziehen, nicht von beliebigen Anbietern, die möglicherweise weniger strenge Sicherheitsstandards erfüllen.