HTTPS-Zertifikate kompromittiert: Firefox und Chrome sperren eMudhra-Schlüssel

Acht private Schlüssel von eMudhra-Zwischenzertifikaten sind kompromittiert worden. Mozilla und Google haben deshalb kurzfristige Gegenmaßnahmen für ihre Browser eingeleitet. Der Fall berührt einen zentralen Teil der Internet-Sicherheit: Wer einem HTTPS-Zertifikat vertraut, muss sich darauf verlassen können, dass die ausstellende Zertifizierungsstelle ihren eigenen geheimen Schlüssel schützt.

Warum ein Schlüsselverlust mehr ist als eine Browser-Panne

HTTPS verschlüsselt nicht nur die Verbindung. Das Zertifikat der Website soll auch bestätigen, mit welchem Server der Browser tatsächlich spricht. Dazu existiert eine Vertrauenskette aus Stamm- und Zwischenzertifizierungsstellen. Gelangt ein privater Schlüssel einer Zwischenstelle in fremde Hände, können damit grundsätzlich Zertifikate signiert werden, die ohne wirksame Sperren vertrauenswürdig erscheinen könnten.

Das heißt nicht, dass nachgewiesen wurde, dass Angreifer massenhaft betrügerische Website-Zertifikate ausgestellt haben. Die Hersteller reagieren gerade deshalb vorsorglich, weil das theoretische Missbrauchspotenzial hoch ist.

Welche Maßnahmen Firefox und Chrome bereits getroffen haben

Mozilla erläutert in seinem Sicherheitsblog, dass die betroffenen Zertifikate schon am 17. Oktober über den zentralen Sperrmechanismus OneCRL blockiert wurden – innerhalb von weniger als drei Stunden. Zusätzlich veröffentlichte Mozilla am 20. Oktober Firefox 158.0.1 sowie entsprechende ESR-Sicherheitsversionen, um auch Sonderkonfigurationen zu erreichen. Google beschreibt Gegenmaßnahmen über Chromes eigene Sperrlisten. Solche Schutzlisten können unabhängig davon aktualisiert werden, ob der Nutzer gerade ein großes Betriebssystem-Update installiert.

Was normale Internetnutzer sinnvoll prüfen können

• Browser aktuell halten: In Firefox unter Hilfe → Über Firefox, in Chrome unter Hilfe → Über Google Chrome die Updatefunktion prüfen.
• HTTPS-Warnungen ernst nehmen: Taucht eine Zertifikatswarnung auf, die Website nicht mit einer Ausnahme freischalten, nur weil sie normalerweise bekannt ist.
• Keine hektische Zertifikatslöschung: Die Vertrauenskette auf dem eigenen Windows- oder Android-Gerät nicht ohne konkreten Befund manuell umbauen.
• Firmenumgebungen separat prüfen: Proxy-Systeme, eigene Truststores und eingebettete Anwendungen übernehmen Browser-Sperrlisten nicht zwingend im selben Tempo.

Für Betreiber betroffener Zertifikate sind Austausch und Widerruf der relevanten Zertifikate Aufgabe der zuständigen CA beziehungsweise des Administrators. Welche eigenen Systeme betroffen sind, lässt sich erst anhand der konkreten Zertifikatskette beurteilen. Das ist eine gezielte Prüfung, kein Grund zur Abschaltung von HTTPS.

Die schnelle Reaktion zeigt, warum Browser-Updates über den eigentlichen Funktionsumfang hinaus wichtig bleiben. Weitere Beispiele ordnet der Beitrag zu Chrome-Sicherheitsupdates ein.

Primärquellen: Mozilla Security Blog · Google Security Blog.