PSW Group: Zusätzliche Absicherung des HTTPS-Protokolls
Unterschätzte Bedrohungen im World Wide Web
Fortsetzung des Artikels von Teil 1
Neue Sicherheitsverfahren
In den vergangenen Jahren habe man zusätzliche Mechanismen entwickelt, den verschlüsselten Internetverkehr weiter zu stärken, wenngleich sich nicht alle durchgesetzt haben. Das HTTP Public Key Pinning ist etwa als Verfahren eingeführt, um insbesondere MitM-Angriffe zu verhindern. Der Browser soll dabei die Mitteilung erhalten, dass ein SSL-Zertifikat aus der Zertifikatskette vertrauenswürdig ist. „Die Erweiterung für das HTTP-Protokoll erlaubt es, Public-Key-Sets für künftige verschlüsselte Verbindungen zu bestimmten Hosts festzulegen. Ein Client, der auf einen Server zugreift, erfährt dadurch erst bei der Kontaktaufnahme, welcher öffentliche Schlüssel des Hosts vertrauenswürdig ist“, erklärt Tulinska. Sie kritisiert jedoch, dass das Verfahren nicht den ersten Besuch schützen kann, bei dem es darum geht, die öffentlichen Schlüssel zu übermitteln. „Eine hohe Komplexität bei der Konfiguration, die sogar zur langfristigen Aussperrung von Nutzern führen kann, sowie eine geringe Verbreitung sind weitere Probleme des Verfahrens.“ Aus diesem Grund habe Google mit der Chrome-Version 72 die Unterstützung für HPKP beendet, und auch andere modernen Browser unterstützen das Verfahren nicht mehr.
Eine weitere Maßnahme, Verschlüsselung sicherer werden zu lassen, stammt von Google selbst und nennt sich Certificate Transparency (CT). Vereinfacht gesagt, sollen damit Zertifikate, die von Certificate Authorities (CAs) ausgestellt wurden, protokolliert, kontrolliert und überwacht werden. Versäumen es Zertifizierungsstellen, Zertifikate gemäß IETF-RFC 6962 auszustellen, zeigt Chrome beim Besuch einer solchen Website eine entsprechende CT-Warnung an. „CT ist vergleichbar mit einem öffentlichen Logbuch, in dem Zertifizierungsstellen ihre Aktivitäten eintragen müssen. Kryptografisch gesichert, lassen sich diese Einträge rückwirkend nicht mehr ändern. So soll es gelingen, missbräuchlicher Verwendung von Zertifikaten auf die Spur zu kommen“; erklärt Tulinska.
Durch die Erweiterung von HTTP um Strict Transport Security, HSTS genannt, sollen Browser für eine bestimmte Zeit ausschließlich auf sichere, also verschlüsselte Verbindungen zugreifen. Damit werde schon zu Beginn einer Verbindung eine HTTPS-Verschlüsselung erzwungen, sodass die Gefahr von MitM-Angriffen sinkt. Tatsächlich konnte sich HSTS etablieren: Neben Facebook nutzen beispielsweise auch Google, Twitter oder PayPal diese Erweiterung.
Allerdings gibt es ein Problem mit dem Datenschutz: Damit sich der Browser des Anwenders merken kann, auf welchen Sites HSTS zum Einsatz kommt, werden Einträge, die Cookies ähneln, in Browserdatenbanken gespeichert. Aufgrund der Schutzfunktion von HSTS sind HSTS-Einträge auch im privaten Modus aktiviert, sodass sie sich von besuchten Sites überprüfen lassen. „Genau hier liegt die Gefahr, denn so wird HSTS zu einer effizienten Methode der Nutzerverfolgung. HSTS-Einträge sind somit als sogenannte Super-Cookies zu bezeichnen“, macht Tulinska aufmerksam. Sie beruhigt jedoch: „Es gibt Maßnahmen, die das Tracking unterbinden, aber die Schutzwirkung von HSTS nicht herabsetzen.“ Beispielsweise sei die HSTS-Implementierung in WebKit, die in Apples Browser Safari zum Einsatz kommt, mit zwei Einschränkungen versehen. WebKit hat den Einsatz von HSTS beschränkt auf den jeweils aktuellen Host-Namen oder auf die Top Level Domain, anstatt HSTS auf jede Subdomain einzusetzen: Blockt WebKit bereits Third-Party-Cookies auf Domains, werde auch der HSTS-Zustand von Subressource-Requests ignoriert.
Weitere Informationen unter sind unter https://www.psw-group.de/blog/absichern-des-https-protokolls/7748 verfügbar.
- Unterschätzte Bedrohungen im World Wide Web
- Neue Sicherheitsverfahren
Lesen Sie mehr zum Thema
