531 gefälschte Zertifikate legten 300.000 E-Mail-Konten offen. Diesmal sind es nur 8 – doch die Gefahr sitzt tiefer 🦖
🕐 最新解读群里更新
Die privaten Schlüssel von 8 Zwischenzertifikaten der indischen Zertifizierungsstelle eMudhra wurden von einem Sicherheitsteam unabhängig rekonstruiert. Der Mozilla-Kryptografieingenieur Dennis Jackson schreibt im Bericht zum Vorfall, dass der Schlüsselgenerierungsprozess fehlerhaft und so einfach ausnutzbar war, dass es praktisch jeder hätte tun können ⚠️
Die Meldung ging am Samstag, dem 17. Oktober, ein. Bis zu diesem Dienstag hatten Google, Apple, Microsoft und Firefox die Sicherheitslücke in ihren Browsern vollständig geschlossen. Die Offenlegung des Vorfalls war für den 19. Oktober angesetzt.
Zunächst: Was ist ein Zertifikat? Es ist der Ausweis einer Website. HTTPS funktioniert nur, weil der Browser diesem Zertifikat vertraut. Ist das Zertifikat gültig, zeigt die Adressleiste die Verbindung als sicher an – und Nutzer gehen davon aus, dass es sich um die echte Website handelt.
Wenn sich also der private Schlüssel einer Zertifizierungsstelle rekonstruieren lässt, können Angreifer für beliebige Domains Zertifikate ausstellen und sich dann in die Verbindung der Nutzer einklinken. Sie können Passwörter abgreifen oder die Zieladresse einer Überweisung ändern – und der Browser schlägt während des gesamten Vorgangs nicht Alarm 🔐
Die Sicherheitsmaßnahmen kamen diesmal eigentlich recht schnell: Google setzte die Zertifikate noch am Samstag auf die Sperrliste, Apple folgte am Montag und Microsoft am Dienstag. Firefox ergänzte die Sperrliste um Updates für Desktop- und Android-Versionen, damit Nutzer die Schutzmaßnahmen nicht durch eigene Einstellungen umgehen können. Der Cloud-Sicherheitsanbieter Cloudflare erfuhr am Montag davon und aktualisierte am Dienstag seine One- und WARP-Clients sowie den Tunnel-Dienst.
Noch wichtiger: Seit April 2025 gibt es in den Certificate-Transparency-Protokollen keinerlei Einträge zu diesen Zwischenzertifikaten. Das heißt, es gibt derzeit keine Belege dafür, dass die 8 Zertifikate tatsächlich verwendet wurden 💥
Aber nicht verwendet worden zu sein heißt nicht, dass mit dem System alles in Ordnung ist.
Viele Programme außerhalb des Browsers prüfen die Certificate Transparency überhaupt nicht. Dazu gehören Wallet-Apps, Desktop-Software von Börsen, Kurs-Plugins und automatisierte Trading-Skripte. Sie überprüfen nur die Zertifikatskette, nicht aber, ob das Zertifikat in einem Protokoll eingetragen ist. Anders gesagt: Im Browser bist du schon sicher – bei den Apps auf deinem Handy ist das nicht unbedingt der Fall.
Der DigiNotar-Vorfall von 2011 ist eine Warnung: Damals übernahmen Hacker die niederländische Zertifizierungsstelle und stellten 531 gefälschte Zertifikate aus, mit denen sie sich unter anderem als Google ausgaben. Rund 300.000 iranische Gmail-Konten wurden überwacht. Die Zertifizierungsstelle musste schließlich schließen.
Meine Einschätzung: Das eigentliche Risiko solcher Vorfälle hat sich vom Browser auf Wallets und andere Clients verlagert. Browserhersteller haben eigene Teams, Sperrlisten und verpflichtende Protokolle – sie reagieren innerhalb von Stunden. Wallets und Trading-Software werden dagegen langsam aktualisiert, selten geprüft, und niemand kümmert sich für sie um Certificate-Transparency-Kontrollen.
Wer täglich Börsenseiten aufruft, sollte sich vor allem eines merken: Ein gültiges Zertifikat heißt nicht, dass die Website echt ist. Überprüfe die Domain von Hand, klicke nicht auf Anzeigen in den Suchergebnissen und installiere keine Desktop-Software aus unbekannten Quellen. Das bringt mehr als alles andere.
Wie stellst du normalerweise sicher, dass du wirklich auf der offiziellen Website bist? Schreib’s in die Kommentare.
Tippe auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halten wir dich über die wichtigsten Themen am Kryptomarkt auf dem Laufenden. Wir berichten nicht nur, was passiert, sondern erklären dir auch die Logik und die Chancen dahinter 👀🚀
🕐 最新解读群里更新
Die privaten Schlüssel von 8 Zwischenzertifikaten der indischen Zertifizierungsstelle eMudhra wurden von einem Sicherheitsteam unabhängig rekonstruiert. Der Mozilla-Kryptografieingenieur Dennis Jackson schreibt im Bericht zum Vorfall, dass der Schlüsselgenerierungsprozess fehlerhaft und so einfach ausnutzbar war, dass es praktisch jeder hätte tun können ⚠️
Die Meldung ging am Samstag, dem 17. Oktober, ein. Bis zu diesem Dienstag hatten Google, Apple, Microsoft und Firefox die Sicherheitslücke in ihren Browsern vollständig geschlossen. Die Offenlegung des Vorfalls war für den 19. Oktober angesetzt.
Zunächst: Was ist ein Zertifikat? Es ist der Ausweis einer Website. HTTPS funktioniert nur, weil der Browser diesem Zertifikat vertraut. Ist das Zertifikat gültig, zeigt die Adressleiste die Verbindung als sicher an – und Nutzer gehen davon aus, dass es sich um die echte Website handelt.
Wenn sich also der private Schlüssel einer Zertifizierungsstelle rekonstruieren lässt, können Angreifer für beliebige Domains Zertifikate ausstellen und sich dann in die Verbindung der Nutzer einklinken. Sie können Passwörter abgreifen oder die Zieladresse einer Überweisung ändern – und der Browser schlägt während des gesamten Vorgangs nicht Alarm 🔐
Die Sicherheitsmaßnahmen kamen diesmal eigentlich recht schnell: Google setzte die Zertifikate noch am Samstag auf die Sperrliste, Apple folgte am Montag und Microsoft am Dienstag. Firefox ergänzte die Sperrliste um Updates für Desktop- und Android-Versionen, damit Nutzer die Schutzmaßnahmen nicht durch eigene Einstellungen umgehen können. Der Cloud-Sicherheitsanbieter Cloudflare erfuhr am Montag davon und aktualisierte am Dienstag seine One- und WARP-Clients sowie den Tunnel-Dienst.
Noch wichtiger: Seit April 2025 gibt es in den Certificate-Transparency-Protokollen keinerlei Einträge zu diesen Zwischenzertifikaten. Das heißt, es gibt derzeit keine Belege dafür, dass die 8 Zertifikate tatsächlich verwendet wurden 💥
Aber nicht verwendet worden zu sein heißt nicht, dass mit dem System alles in Ordnung ist.
Viele Programme außerhalb des Browsers prüfen die Certificate Transparency überhaupt nicht. Dazu gehören Wallet-Apps, Desktop-Software von Börsen, Kurs-Plugins und automatisierte Trading-Skripte. Sie überprüfen nur die Zertifikatskette, nicht aber, ob das Zertifikat in einem Protokoll eingetragen ist. Anders gesagt: Im Browser bist du schon sicher – bei den Apps auf deinem Handy ist das nicht unbedingt der Fall.
Der DigiNotar-Vorfall von 2011 ist eine Warnung: Damals übernahmen Hacker die niederländische Zertifizierungsstelle und stellten 531 gefälschte Zertifikate aus, mit denen sie sich unter anderem als Google ausgaben. Rund 300.000 iranische Gmail-Konten wurden überwacht. Die Zertifizierungsstelle musste schließlich schließen.
Meine Einschätzung: Das eigentliche Risiko solcher Vorfälle hat sich vom Browser auf Wallets und andere Clients verlagert. Browserhersteller haben eigene Teams, Sperrlisten und verpflichtende Protokolle – sie reagieren innerhalb von Stunden. Wallets und Trading-Software werden dagegen langsam aktualisiert, selten geprüft, und niemand kümmert sich für sie um Certificate-Transparency-Kontrollen.
Wer täglich Börsenseiten aufruft, sollte sich vor allem eines merken: Ein gültiges Zertifikat heißt nicht, dass die Website echt ist. Überprüfe die Domain von Hand, klicke nicht auf Anzeigen in den Suchergebnissen und installiere keine Desktop-Software aus unbekannten Quellen. Das bringt mehr als alles andere.
Wie stellst du normalerweise sicher, dass du wirklich auf der offiziellen Website bist? Schreib’s in die Kommentare.
Tippe auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halten wir dich über die wichtigsten Themen am Kryptomarkt auf dem Laufenden. Wir berichten nicht nur, was passiert, sondern erklären dir auch die Logik und die Chancen dahinter 👀🚀