Falsches Google-Zertifikat für Spionage missbraucht

Ein von der niederländischen Zertifizierungsstelle DigiNotar herausgegebenes SSL-Zertifikat wurde möglicherweise durch die iranische Regierung missbraucht. Das berichten verschiedene Quellen, wie etwa Heise und die EFF. Das Zertifikat galt für Google-Domains und wäre geeignet gewesen, Google-Nutzer auszuspionieren. Solche Zertifikate dienen normalerweise der Authentifizierung von Benutzern und Inhaltsanbietern sowie zur Verschlüsselung des Datenverkehrs. Es ist im Moment noch unklar, an wen genau das Zertifikat ursprünglich abgegeben wurde und ob noch weitere betroffen sind. Das finnische Sicherheitsunternehmen F-Secure entdeckte zudem Hinweise, dass zumindest der Webauftritt der Ausstellerin DigiNotar selbst gehackt wurde. Und das gleich mehrmals in letzter Zeit. Was bedeutet das nun für Anwender? In Google Chrome sowie im Internet Explorer ab Windows Vista wird das missbrauchte Zertifikat inzwischen automatisch blockiert. Bei Firefox- und Thunderbird-Anwendern wird das nächste Update das Zertifikat deaktivieren, wie Mozilla verspricht. Wer nicht so lange warten möchte, kann das auch selbst tun. Mozilla hat eine Anleitung veröffentlicht, wie man das betroffene Zertifikat löschen kann. Auf der nächsten Seite gehts weiter. Und so gehts im Firefox mit deutschsprachiger Oberfläche: Zunächst öffnet man oben links das orange Firefox-Menü, dann gehts via Einstellungen zu Einstellungen. Nun wechselt man im neuen Fenster oben rechts zu Erweitert und klicken auf den Reiter Verschlüsselung. Darin verwendet man den Button Zertifikate anzeigen. Es öffnet sich ein weiteres Fenster mit dem Zertifikatmanager. Nun wechselt man zum Reiter Zertifizierungsstellen. Hier sind für gewöhnlich vertrauenswürdige Zertifizierungsstellen aus aller Welt aufgelistet sowie die vorhandenen Zertifikate. Anschliessend scrollt man bis zu DigiNotar, klickt darunter das Zertifikat namens «DigiNotar Root CA» an und geht zu Löschen oder Vertrauen entziehen. Die  Rückfrage bestätigt man mit OK, dann wird das Zertifikat gelöscht. Harald Schodl