Zertifikatsmissbrauch weit verbreitet
Nicht nur gefälschte digitale Unterschriften sind eine Gefahr, vielmehr scheint der Missbrauch legitimer Zertifikate weiter verbreitet als angenommen, berichtet golem.de unter Berufung auf Erkenntnisse von Forschern der University of Maryland.
Details dazu hatten diese auf der ACM Conference on Computer and Communications Security (CCS) im texanischen Dallas vorgestellt. Sie fanden heraus, dass 189 Malware-Proben legitime Zertifikate enthielten und damit beispielsweise Windows User Account Control bei der Installation aushebeln können. Die Untersuchungen ergaben auch, dass Stuxnet noch früher im Umlauf war als bislang bekannt. Er war einer der ersten Würmer, der mit gestohlenen validen Windows-Treiber-Zertifikaten unterschrieben war. Die von Jmicron und Realtek entwendeten Zertifikate stammen aus dem Jahr 2003. Wie weiter dazu bekannt wurde nutzte auch der Trojaner Duqu 2.0 gestohlenen Zertifikate von Foxconn für die Installation seiner Treiber.
Keine zentrale Erfassung für Zertifikate
Es ist offensichtlich das Fehlen einer zentralen Datenbank für die Unterschriften für Software, die eine Übersicht erschwert. Verbreitet sind einmalige Zertifikate, die bereits für die Legitimierung anderer Software verwendet wurden. Hier haben die Besitzer offenbar die Kontrolle über ihre privaten Schlüssel verloren, ohne es selbst zu bemerken.
Wie weiter dazu verlautet geht ein etwas kleinerer Prozentsatz missbrauchter Zertifikate geht auf die Fahrlässigkeit der Aussteller zurück, die offenbar nicht genügend Sorgfalt bei der Verifizierung des Antragstellers haben walten lassen. Einige Zertifikate wurden auf den Namen großer Unternehmen nach einem Identitätsdiebstahl ausgestellt.
Ungenügende Abwehr von Zertifikatsmissbrauch
Im Rahmen einer Prüfung von Sicherheitssoftware mit illegitimen Zertifikaten wurde deutlich, dass kein AV-Programm die von den Forschern präparierten Proben entdeckte. Die Forscher führen dieses Ergebnis unter anderem auf eine unzureichende Implementierung von Microsofts Authenticode-Spezifizierung zurück.
