Suche   Â
Warnung vor gefälschtem Microsoft SSL-Zertifikat
ID: 1188489
(PresseBox) - Einem Experten ist es gelungen sich für die finnische Microsoft Domain "live.fi" ein SSL Zertifikat ausstellen zu lassen. Um nicht Opfer eines Man-in-the-Middle Angriff zu werden, wird dringend dazu geraten das Zertifikat zu blockieren.
Dem Finnen war es gelungen sich eine Email-Adresse unterhalb der Domain "live.fi" zu registrieren, mit welcher er sich ein SSL Zertifikat für die Windows Live Services ausstellen lassen konnte. Die hostmaster-Adresse die scheinbar verwendet wurde, war hierzu in der Lage den von Comodo versendeten Link zu empfangen und zu bestätigen.
Möglich macht dies die Domainvalidierung, bei welcher die Zertifizierungsstelle die Email-Adressen admin/administrator/webmaster/hostmaster/postmaster(at)domain.de als Indikator für die Domaininhaberschaft anerkennt.
Laut dem Experten wurde Microsoft mehrmals auf diesen Fehler hingewiesen, die Kontaktversuchen liefen allerdings ins Leere. Die CA Comodo hat derweil das gefälschte Zertifikat zurückgezogen.
Obwohl die Ausstellung des SSL Zertifikates ein reiner Test gewesen sein soll und nicht für Angriffe gedacht sei, empfiehlt Microsoft das gefälschte Zertifikat umgehend zu blockieren.
Windows-Nutzer aktueller Versionen (ab Windows 8) erhalten hierzu ein automatisches Update, Nutzer von älteren Versionen sollten das Update KB2917500 manuell durchführen. Dies betrifft die Browser Internet Explorer und Google Chrome.
Nutzer von anderen Browsern wird ebenfalls dringend empfohlen auf die neusten Updates der Hersteller zu achten.
Bleibt abschließend die Frage offen, ob die Emailvalidierung als Methode genügt, um die Signierung einer Zertifikatsanfrage zu veranlassen oder ob über alternative Methoden nachgedacht werden sollte. Denn Microsoft steht nicht alleine da, wenn es um die Vorbelegung generischer Emailadressen geht, die für die Adressierung von Postmastern und Hostmastern gedacht sind (Vgl. RFC2142).
Gegenwärtig bieten die meisten CAs die Möglichkeit an, eine Validierung des Anfragenden über Einträge im DNS vorzunehmen. Auch die Überprüfung des Anfragenden an Hand von Dateien mit speziellen Inhalten oder Namen auf Webservern, welche die entsprechende Domain bereitstellen, ist möglich.
icertificate bietet unter folgendem Link im eigenen Wiki weitere Informationen, Neuigkeiten und weiterführende Links zu den Microsoft.
Die icertificate GmbH ist ein führender Distributor für digitale Verschlüsselung. Das Unternehmen bietet privaten wie gewerblichen Webseitenbetreibern günstige Konditionen für namhafte SSL-Zertifikate, PKI, Emailsignaturen und Trust-Seals. Das heutige Angebot umfasst unter anderem Produkte von Symantec, GeoTrust, Comodo, DigiCert, Thawte, GlobalSign, RapidSSL und AlphaSSL.
Die icertificate GmbH ist ein führender Distributor für digitale Verschlüsselung. Das Unternehmen bietet privaten wie gewerblichen Webseitenbetreibern günstige Konditionen für namhafte SSL-Zertifikate, PKI, Emailsignaturen und Trust-Seals. Das heutige Angebot umfasst unter anderem Produkte von Symantec, GeoTrust, Comodo, DigiCert, Thawte, GlobalSign, RapidSSL und AlphaSSL.
  
  
  
Datum: 19.03.2015 - 12:02 Uhr
Sprache: Deutsch
News-ID 1188489
Anzahl Zeichen: 2959
Kontakt-Informationen:
Stadt:
Bonn
Kategorie:
New Media & Software
Diese Pressemitteilung wurde bisher 0 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"Warnung vor gefälschtem Microsoft SSL-Zertifikat"
steht unter der journalistisch-redaktionellen Verantwortung von
icertificate GmbH (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).