Nach Heartbleed: Websites verwenden weiterhin alte Schlüssel

Nach dem Bekanntwerden des Heartbleed-Bugs in OpenSSL haben viele Betreiber von Websites zwar neue SSL/TLS-Zertifikate ausgestellt, allerdings setzen sie offenbar weiterhin die alten und kompromittierten privaten Schlüssel ein. Von dem Fehler sind einer Studie von Netcraft zufolge mindestens 30.000 Zertifikate betroffen.

Angreifer können Heartbleed ausnutzen, um sich Zugriff auf den flüchtigen Speicher eines OpenSSL-basierten Webservers zu verschaffen. Dadurch könnten vermutlich kritische Informationen gesammelt werden. Zudem besteht die Möglichkeit für den Angreifer, den Server gegenüber Dritten zu verkörpern. Dafür muss er den privaten Schlüssel des Originalservers entwenden. Somit mussten Webseitbetreiber nicht nur den eigentlichen Fehler beheben, sondern auch die alten Zertifikate zurückziehen und durch neue ersetzen.

Aus der Studie von Netcraft geht hervor, dass mittlerweile 43 Prozent aller betroffenen Websites neue Zertifikate ausgestellt haben. Jedoch verwenden 7 Prozent denselben privaten Schlüssel. Ein neues Zertifikat samt neuen Schlüsseln haben demnach nur 14 Prozent aller untersuchten Websites ausgestellt. Diese Schritte sind nötig, um weitere Angriffe zu verhindern.

“Durch die Wiederverwendung des privaten Schlüssel drohen einer vom Heartbleed-Bug betroffenen Website dieselben Risiken wie denen, die ihre Zertifikate noch nicht ersetzt haben”, heißt es in der Studie. Der Schlüssel eines zuvor kompromittierten Zertifikats könne auch dann noch benutzt werden, wenn es für ungültig erklärt worden sei.

Darüber hinaus hätten auch nach etwa einem Monat 57 Prozent aller betroffenen Websites überhaupt keine Maßnahmen ergriffen. “Sie haben weder ihre alten Zertifikate zurückgezogen, noch neue ausgestellt”, so Netcraft weiter. Neue Zertifikate mit neuen privaten Schlüssel hätten 21 Prozent ausgestellt, aber dabei die alten Zertifikate nicht für ungültig erklärt.

Netcraft fordert, dass die für die Vergabe der Zertifikate zuständigen Certificate Authorities die privaten Schlüssel von zurückgezogenen Zertifikaten auf eine schwarze Liste setzen. Nur so lasse sich diese Art von Fehlern vermeiden. Somit bestehe auch die Möglichkeit, automatische Kontrollen durchzuführen und neue Anfragen mit den zu kompromittierten privaten Schlüssel gehörenden Public Keys zurückzuweisen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de