Aktualisierungen gibt es im Changelog, als RSS-Feed
oder im [matrix] Raum #prhdb-changes:nitro.chat

Privacy-Handbuch

Vertrauenswürdigkeit von HTTPS

IT-Sicherheitsforscher der EFF.org kamen bereits 2009 in der wiss. Arbeit Certified Lies - Detecting and Defeating Government Interception Attacks against SSL zu dem Schluss, dass Geheimdienste schwer erkennbare man-in-the-middle Angriffe mit gültigen SSL-Zertifikaten durchführen können. Diese Angriffe können routinemäßig ausgeführt werden.

"Certificate-based attacks are a concern all over the world, including in the U.S., since governments everywhere are eagerly adopting spying technology to eavesdrop on the public. Vendors of this technology seem to suggest the attacks can be done routinely."

Anbieter von fertige Appliances für diesen auch als "Lawful SSL Interception" bezeichneten Angriff findet man beim Stöbern in den SpyFiles von Wikileaks. Auf der Messe für Überwachungstechnik ISS World jährlich im März in Dubai wurden im Track 4: Encrypted Traffic Monitoring and IT Intrusion die neuesten Techniken zu SSL-Interception und TLS-Downgrade Angriffen präsentiert. Anhänger der Open Source Bewegung können mit mitm-proxy oder dsniff man-in-the-middle Angriffe mit gefälschten Zertifikaten durchführen. Man braucht nur passende Zertifikate.

Für staatliche Schnüffler gibt es mehrere Möglichkeiten, um diese Technik mit gültigen SSL-Zertifikate für schwer erkennbare man-in-the-middle Angriffe zu kombinieren:

Für einen großflächiger Angriff gegen iranische Internet Nutzer wurden im August 2011 mehrere CAs gehackt, um gültige SSL-Zertifikate zu erstellen (DigiNotar, Comodo, InstantSSL und zwei Sub-Registrare von Comodo). Bei DigiNotar wurden 531 Zertifikate kompromittiert. Neben den Webseiten von Google, Yahoo, Mozilla, Skype, TorProject.org u.a. waren auch die Webdienste von MI6, CIA und Mossad betroffen.
Certification Authorities könnten unter Druck gesetzt werden, um staatlichen Stellen SubCA-Zertifikate auszustellen, mit denen die Zertifikate für man-in-the-middle Angriffe signiert werden könnten. Ein Kommentar zum TürkTRUST Desaster von Adi Shamir:
I think you will see more and more events like this, where a CA under pressure from a government will behave in strange ways.
Im Juni 2014 signierte die staatliche indische Certification Authority gefälschte SSL-Zertifikate für Google und Yahoo!. 45 gefakte Zertifikate wurden nachgewiesen. Ob es sich um staatliche Überwachung, Hackerangriff oder einen Konfigurationsfehler(?) handelte, ist unklar.
Die Anbieter von Webdiensten können zur Herausgabe der eigenen Zertifikate und Keys gezwungen werden, wie am Beispiel des E-Mail Providers Lavabit bekannt wurde. Die betroffenen Provider sind zum Stillschweigen verpflichtet. Der Angreifer kann mit diesen Zertifikate einen Angriff auf die SSL-Verschlüsselung durchführen, der nicht erkennbar ist.
Verisign ist nicht nur die größte Certification Authority. Die Abteilung NetDiscovery von Verisign ist ein Global Player in der Überwachungstechnik und unterstützt die Behörden und westliche Geheimdienste seit 2002 bei SSL Interception.

Kriminelle Subjekte haben ebenfalls nachgewiesen, dass sie für man-in-the-middle Angriffe auf die SSL-Verschlüsselung gültige Zertifikate verwenden können:

Beim Angriff auf das Forum Bitcointalk (2013) konnten Angreifer die Kontrolle über die Domain erlangen sich dann Domain-validierte echte Zertifikate ausstellen.
Beim Angriff auf Bitcoinbörsen (2022) konnten Angreifer die BGP Routen umlenken. Damit wurde die automatische Verifizierung der Domain Validierung bei den CAs getäuscht.
Wenn Administratoren schlampig arbeiten und die E-Mail Adressen ssladministrator@domain.tld, webmaster@domain.tld, postmaster@domain.tld oder ssladmin@domain.tld nicht schützen, kann ein Angreifer sich E-Mail verifizierte SSL-Zertifikate ausstellen lassen, wie bereits demonstriert wurde. Eine unverschlüsselte E-Mail mit einem Verification Link an eine der genannten E-Mail Adressen ist oft die einzige Prüfung auf Rechtmäßigkeit durch die CAs.

Lizenz: Public Domain