Forscher haben in einer systematischen Studie Umfang und Auswirkung der Überwachung von gesicherten HTTPS-Verbindungen untersucht. Um den Inhalt unter anderem auf Schad-Software untersuchen zu können, terminieren Firmen-Proxies und Antiviren-Software häufig die TLS-Verschlüsselung.

Die Ergebnisse der Studie sind erschreckend: Der Anteil der überwachten Verbindungen liegt zum einen deutlich höher als bisher angenommen und zum anderen führt das teilweise zu dramatischen Sicherheitsproblemen.

Untersucht wurden rund 8 Milliarden TLS-Verbindungen zum Firefox-Update-Dienst, bei Cloudflare und einigen E-Commerce-Sites. Die Forscher stellten dabei fest, dass bis zu 10 Prozent der gesicherten Verbindungen die typischen Verbindungsparameter des verwendeten Browsers nicht mehr aufwiesen – sie also unterwegs irgendwo unterbrochen wurden. Das reduziere fast immer die Sicherheit der Verbindungen.

13 von 29 untersuchten Antiviren-Programmen klinken sich in die verschlüsselten TLS-Verbindungen ein, wobei alle bis auf eines dabei die Sicherheit der Verbindung verschlechtern. in vielen Fällen konnten den angeblichen Schützern sogar massive Sicherheitsprobleme nachgewiesen werden. Gemäß der Studie erlaubten Produkte von Bitdefender, Avast, Bullguard, Eset, Dr.Web, Kaspersky und G Data direkte Angriffe auf die gesicherten Verbindungen. Besser sieht es bei den getesteten Security-Appliances für die Inspektion von TLS-Verbindungen auch nicht aus: Etwa durch die Hinzunahme von kaputten Verfahren wie RC4 schwächten 11 von 12 die Sicherheit.

Deshalb fordern die Forscher insbesondere die Hersteller von Antiviren-Software dazu auf, bei der TLS-Überwachung ihre Praxis dringend noch einmal zu überdenken.

Damit stoßen sie in das gleiche Horn wie kürzlich ein Ex-Firefox-Entwickler und sein noch aktiver Kollege bei Chrome: "Viele der Verwundbarkeiten in Antiviren-Produkten und Proxies in Firmenumgebungen [….] sind fahrlässig und ein weiteres Zeichen für den Trend, dass ausgerechnet Sicherheitsprodukte die Sicherheit verschlechtern statt sie zu verbessern" heißt es im Fazit.

(mt, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE