|
Firefox
soll ab der nächsten Version 32, um vor missbräuchlich
ausgestellten Zertifikaten vertrauenswürdiger Herausgeber zu
warnen, auch das sogenannte "Public Key Pinning" beherrschen.
Mozilla wandelt damit in den Spuren von Google, dessen Chrome-Browser
dieses Verfahren bereits seit längerem beherrscht.
Grundsätzlich können Zertifikatsherausgeber (Certificate
Authorities, CAs) für jede beliebige Domain wie etwa Google.com
gültige Zertifikate ausstellen. Eigentlich müssen sie
dabei überprüfen, ob der legitime Besitzer der Domain
das Zertifikat beantragt hat. Jedoch kam es schon mehrfach vor,
dass diese Überprüfung, teilweise unter mysteriösen
Umständen, nicht stattgefunden hat. Fatale Folgen kann es haben,
wenn sich die betroffene CA etwa auf der Liste der vertrauenswürdigen
Herausgeber des Browsers befindet: Ein Angreifer kann sich unbemerkt
in den verschlüsselten Datenverkehr einklinken, ihn mitlesen
und manipulieren, wenn es ihm gelingt, den Traffic seines Opfers
umzuleiten.
Beim Public Key Pinning gibt es eine Liste, in der verzeichnet
ist, welcher Herausgeber für eine bestimmte Domain Zertifikate
ausstellen darf. Der Browser bewertet es als ungültig, wenn
das Zertifikat von einer anderen CA ausgestellt wurde. Vorgegeben
wird diese Liste vom Browser-Hersteller. Offenbar plant Mozilla,
die Liste von Google Chrome nach und nach zu übernehmen. Mit
Version 32 machen diverse Twitter-Domains sowie die Domains von
Mozillas Addon-Verzeichnis und Content Delivery Network den Anfang.
Die Google-Domains
sowie weitere von Twitter folgen mit Version 33 und mit Version
34 sollen schließlich auch TOR, Dropbox,
und *.accounts.firefox.com aufgenommen werden. Die Public Key Pinning
Extension for HTTP soll Firefox künftig auch unterstützen.
Welche CAs sie üblicherweise benutzen, können Webseitenbetreiber
damit dann über den HTTP-Header festlegen, was der Browser
ab dem nächsten Besuch beachtet.
(mt, hannover)
(siehe auch Heise-News-Ticker:)
Hannover · EDV-Beratung ·
Linux · Novell · Microsoft · Seminar ·
IT-Consult · Netzwerk · LPIC · CLE
|
