Manchmal, wenn bei “heise online” keinem Redakteur mehr etwas zu irgendwelchen Kinoseifenopern einfällt (siehe hier, hier, hier u.a.), wagt einer von ihnen den geradezu frechen Vorschlag zu machen, man könne ja stattdessen etwas über diese komische Technik, von der gerade alle reden, berichten; hppt, Internett und wie das alles heißt. Dann kommt ein lustiger Artikel wie dieser hier heraus, dessen Autor Dennis Schirrmacher (“Medienwissenschaftler”, zuvor bei der auch nicht viel besseren Zeitschrift “AUDIO TEST” als Chefredakteur beschäftigt) schon in der Einleitung von einem Publikum ausgeht, das eigentlich auch viel lieber etwas über irgendwelche Filme lesen würde:
HTTPS-Webseiten wecken Vertrauen.
Da auch diese Webpräsenz hier, auf der ihr diesen Text lesen könnt, via https ausgeliefert wird (und damit wahrscheinlich eine “HTTPS-Webseite” ist), bedeutet das, ihr könnt mir vertrauen. Ich habe mir nämlich ein Zertifikat installiert, mit dem ich nachgewiesen habe, dass ich Schreibrechte auf dem Webserver habe, und das dafür sorgt, dass die Übertragung mancher Daten zwischen euch und meiner Webpräsenz verschlüsselt wird. Damit weise ich weder nach, dass ich keine böswillige Software auf eurem Rechner installieren möchte (na — JavaScript noch aktiviert?), noch, dass ich identisch mit dem Kasper im Impressum bin.
Aber in eurem Browser ist möglicherweise ein Schloss vor der Adresse zu sehen. Deswegen könnt ihr mir vertrauen.
Doch auch Online-Gauner können sich oft über Umwege vertrauenswürdige Zertifikate ausstellen.
Und zwar, indem sie für ihre Gaunerwebsite ein Zertifikat beantragen. Könnt ihr vertrauen, ist ein Schloss dran.
Nun haben Kriminelle das erste Let’s‑Encrypt-Zertifikat genutzt, um Vertrauenswürdigkeit vorzugaukeln.
Was Dennis Schirrmacher hier “vorgaukelt”, möchte ich gar nicht weiter bewerten, aber offenbar stellt es für zumindest ihn eine berichtenswerte Neuigkeit dar, dass eine Zertifizierungsstelle (CAcert, StartSSL, Let’s Encrypt, …) gar nicht wissen möchte, was der Empfänger mit dem Zertifikat vorhat, so lange seine Anfrage valide ist. Ob die Kriminellen damit “Vertrauenswürdigkeit vorgaukeln” wollen, weiß ich nicht, aber wenn sie über ein ausreichend viel technisches Wissen verfügen, um sturzfrei eine Website einzurichten, dann ist davon auszugehen, dass das Unsinn ist.
Online-Gauner waren in der Lage, sich eine Subdomain für eine legitime Domain einzurichten und dafür erfolgreich ein Let’s‑Encrypt-Zertifikat zu beantragen, warnt Trend Micro.
“Online-Gauner” — puh, wenigstens ist noch nicht von “Cyber-Gaunern” die Rede — haben also die DNS-Einträge für eine “legitime Domain” (wie genau sieht denn eine “illegitime Domain” aus?) ändern und für die unter ihrer Kontrolle stehende neue Subdomain ein Zertifikat beantragen können, da die Zertifizierungsstelle grundsätzlich davon ausgeht, dass dir eine Domain, die du verwaltest, auch gehören darf. Die eigentliche Meldung daran ist, dass eine Domain offensichtlich teilweise mit vollen Rechten gekapert werden konnte. Das passiert nicht übermäßig selten, hat aber mit Zertifikaten erst einmal nicht besonders viel zu tun. Das ist Dennis Schirrmacher aber vermutlich (zu Recht) nicht interessant genug, eben weil es recht häufig passiert, und so glaubt er einen ganz anderen Skandal gefunden zu haben: Let’s Encrypt verteilt wie bisher auch CAcert und StartSSL kostenlos Zertifikate an Leute, denen eine Domain zu gehören scheint. Kreisch!
Das Anlegen einer Subdomain ist nicht ohne weiteres möglich. Denkbar wäre, dass die Online-Gauner auf irgendeinem Weg an die Zugangsdaten für die Domain-Verwaltung gekommen sind.
Ja, denkbar ist sicherlich richtig, höchstwahrscheinlich bis beinahe als gesichert anzusehen ist für einen anständigen Redakteur von “heise online”, der sich mit der Materie, über die er berichten soll, nicht so recht auszukennen scheint, eben zu spezifisch. Unter der Überschrift “CA als Filter für gefährliche Inhalte?” — Spoiler: nein — findet er dafür schließlich doch noch einen Schuldigen daran, dass Kriminelle sich einfach irgendwelche Domains aneignen können:
Let’s Encrypt sieht den Aufgabenbereich einer CA nicht darin, Inhalte zu filtern.
Das ist aber ganz schön nachlässig von Let’s Encrypt, dass sie als Zertifikatsstelle nicht darauf achten, dass auf der zertifizierten Website kein Übel passiert. Man stelle sich vor, die Zulassungsstelle würde bei der Vergabe von Kennzeichen nicht dafür Sorge tragen, dass der Fahrzeughalter kein Übles im Schilde führt!
Was macht man nun eigentlich als einfacher Websurfer mit der Information, dass ein grünes Schloss in der Adressleiste des Browsers zu Dennis Schirrmachers Überraschung gar nicht bedeutet, dass da keine Kriminellen unterwegs sind? Die Lösung steht da eigentlich nur implizit:
Die Subdomain soll auf einen Server verweisen, der unter Kontrolle der Kriminellen steht und Werbung mit Schadcode verteilt.
Das wesentliche Problem mit dem Geschilderten ist also weder, dass “Online-Gauner” eine Subdomain eingerichtet haben, noch, dass eine fiese Zertifizierungsstelle einfach Domains validiert, sobald man nachweist, dass man sie administrieren kann; das wesentliche Problem ist es, dass schädliche Werbebanner von dieser zertifizierten Domain ausgeliefert werden. Dagegen indes gibt es wirksame Abhilfe: Einfach einen Werbeblocker wie Adguard oder uBlock installieren. Natürlich ist in Dennis Schirrmachers Artikel davon allerdings keine Rede, denn “heise online” will ja auch von irgendwas leben.
Der Artikel auf “heise online” ist übrigens nicht über https abrufbar. Was das wohl bedeutet?
