alphaspirit - Fotolia
Wie will Google Chrome künftig vor MitM-Angriffen schützen?
Die sichere Überprüfung von Zertifikaten gehört zu den Säulen des Internets. Nur so lassen sich Man-in-the-Middle-Angriffe verhindern. Google hat für den Chrome-Browser neue Pläne.
Eine der nächsten Versionen des Chrome-Browsers wird nach Angaben von Google das bislang nur wenig genutzte Public Key Pinning nicht mehr unterstützen. Stattdessen will das Unternehmen eine neue Vorgehensweise einführen, um das Surfen im Internet besser gegen Man-in-the-Middle-Angriffe abzusichern. Aber was sind nach Ansicht von Google die Nachteile von Public Key Pinning und wie sieht die neue Methode aus?
Google hat angekündigt, HTTP Public Key Pinning (HPKP) mit Chrome 67 abschaffen zu wollen. Eine erste Beta dieser Browser-Version wird voraussichtlich im April 2018 erscheinen. Das fertige Release wird dann für den Folgemonat erwartet. Die Entscheidung des Suchmaschinenanbieters und Browserherstellers kommt für viele Beobachter nicht überraschend. Das Unternehmen selbst hatte HPKP vor etwa zwei Jahren eingeführt. Nun steht Google wieder an der Spitze der Bewegung, die Sicherheitstechnik abzuschaffen. Anstelle von HPKP rät das Unternehmen Entwicklern jetzt dazu, Expect-CT Header einzusetzen, um sich und ihre Webseiten vor einem Missbrauch von Zertifikaten zu schützen.
Der Einsatz von HPKP soll einem Host eigentlich dabei helfen, herauszufinden, ob der Browser eines Anwenders in einem bestimmten Zeitraum den richtigen Public Key verwendet, um mit dem Server sicher zu kommunizieren. Der dabei verwendete Prozess ist jedoch schwierig und aufwendig umzusetzen, auch wenn er eine Möglichkeit bietet, eine sichere Verbindung mit dem Host aufzunehmen.
Dazu kommt ein Problem, das sich „HPKP Suicide“ nennt. Darunter versteht man eine Situation, die in besonderen Fällen auftritt. Beispielsweise immer dann, wenn ein Key gelöscht oder gestohlen wird und nicht mehr zur Kommunikation mit der „gepinnten“ Seite genutzt werden kann. Mittlerweile ist klar geworden, dass die technischen und organisatorischen Nachteile eines Einsatzes von HPKP die Vorteile auf der Sicherheitsseite überwiegen. Nur wenige Webseiten-Betreiber setzen HPKP deswegen bislang ein.
Google Certificate Transparency
Google empfiehlt nun Webentwicklern, so genannte Expect-CT Header zu verwenden. Bei dieser Technik werden alle vor April 2018 und ohne Certificate Transparency (CT) erstellten Zertifikate als nicht mehr vertrauenswürdig eingestuft. Mit dem neuen Header soll sich gewährleisten lassen, dass Chrome eine Verbindung zuverlässiger als sicher – oder unsicher – einstufen kann. Dank Certificate Transparency sollen Zertifikate zudem nicht nur einfacher überprüft werden können, sie sollen sich auch leichter überwachen lassen.
Mit Hilfe von CT-Logs soll sich herausfinden lassen, ob andere bereits Zertifikate für eine bestimmte Domain erstellt haben. Diese CT-Logs sollen in Zukunft von den Certificate Authorities (CAs) immer dann befüllt werden, wenn ein neues Zertifikat erteilt wird. So soll sich bestimmen lassen, ob jemand anderes als der Besitzer einer Domain ein Zertifikat hat ausstellen lassen. Sowohl die CAs als auch die Besitzer der Domains können dann schneller reagieren, um die betreffenden Zertifikate zurückzurufen und unschädlich zu machen. Chrome wird, wie bereits erwähnt, ab Version 67 CT-Logs unterstützen. Wann die anderen Browserhersteller nachziehen, ist nicht bekannt.
Der neue Standard erfordert nach Ansicht von Google weit weniger Aufwand für Administratoren, um die Manipulation von Zertifikaten zu verhindern. Nun müssen sich aber vor allem auch die Certificate Authorities darum kümmern und dafür sorgen, dass die CT-Logs erstellt und genutzt werden können. Letztlich, so hofft zumindest Google, wird aber die gesamte Internetindustrie von der zusätzlichen Sicherheit bei Zertifikaten profitieren.
Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!
