SSL in der Krise

SSL ist massiv in der Krise: Die Nachrichten, nachdem Zertifizierungsstellen gehackt und es Unbefugten gelang, sich selbst Zertifikate auszustellen, häufen sich. Nun meldet heise , daß es die niederländische Firma KPN Corporate Market getroffen hat. Diese Zertifikate sollen dazu dienen, sicherzustellen, daß sich bspw. hinter der aufgerufenen Webseite meiner Bank https://www.meine-bank.de tatsächlich die Bank verbirgt und nicht ein Krimineller, der nur meine Zugangsdaten abfischen will. Angesichts der Anzahl der Fälle in der Vergangenheit kann man den Zertifikaten offenbar nicht mehr trauen. Und weiter: Nicht nur Kriminelle, sondern auch Schurkenstaaten erschleichen sich Zertifikate, um die verschlüsselten SSL-Verbindungen Ihrer Untertanen abzuhören.

Zudem haben Cryptoexperten Ende September bewiesen (Stichwort: BEAST-Attacke ), daß eine längst bekannte Lücke in den derzeit weit verbreiteten Protokollen SSL3 und TLS 1.0 u.U. dazu genutzt werden kann, eine SSL-Verbindung zu kapern. Das in Bezug auf diese Sicherheitslücke immune TLS 1.1 ist zwar schon veröffentlicht, allerdings "spricht" der Großteil der Serverwelt im Internet noch die unsicheren Protokolle, da auch die wenigsten Browser (selbst in den aktuellen Versionen) das sichere TLS unterstützen - Chrome macht da wohl die positive Ausnahme.

Das sichere Internet-Surfen via SSL ist also massiv in die Krise gekommen. Doch wie kann man sich kurzfristig behelfen und wie sehen mittel- und langfristig Alternativen und Weiterentwicklungen aus? Ideen hierzu wurden in der Ausgabe 172 des Chaosradio besprochen. Die Sendung ist zwar zwei Stunden lang, aber sehr hörenswert.