Auf der Black Hat ® Konferenz 2009 hat Moxie Marlinspike eine neue viel versprechende Attacke auf das System der SSL-Zertifikate vorgestellt. Es ist bei der Beantragung derartiger Zertifikate möglich beim CSR im Namensfeld (CN, Common Name) ein Nullzeichen (\0) einzufügen und den Automatismus der Zertifizierungsstellen beim Bearbeiten und Ausstellen auszutricksen. Das Nullzeichen wird hierbei zwischen den zu attackierenden Domainnamen und einen eigenen gültigen FQDN [ www.bankofamerica.com\0.eigenedomain.tld ] gesetzt. Ein derartiges SSL-Zertifikat wird im Windows Internet Explorer für den vorangestellten Domainnamen als gültig angesehen und kann bei man-in-the-middle Attacken zum Einsatz kommen. Wer über weniger kriminelle Energie verfügt, kann sich immerhin güstige Wildcard-Zertifikate erstellen, welche nach dem Muster *\0.eigenedomain.tld aufgebaut sind und sonst größere Geldsummen in der Anschaffung verschlingen… Firefox 3.5 macht jedoch Sparfüchsen einen Strich durch die Rechnung und auch für die 3.0er-Serie ist ein Patch in Arbeit…
July 31, 2009
More Tricks For Defeating SSL
Filed under: Unauthorized — atari @ 1:18 am
2 Comments »
RSS feed for comments on this post. TrackBack URL
[...] die Firefox 3.0.x-Serie wurde mit Updates bedacht, der gravierende SSL-Bug ist jedoch nach wie vor in Firefox 3.0.13 enthalten und ließe sich sogar ausnutzen um den [...]
Pingback by Firefox 3.5.2 « hep-cat.de — August 4, 2009 @ 10:45 am
[...] Thunderbird 2.0.0.23 wurden die Probleme mit der Verarbeitung von bestimmten SSL-Zertifikaten behoben, welche dazu geführt haben, dass in bestimmten Szenarien die Versendung von Benutzerdaten [...]
Pingback by Thunderbird 2.0.0.23 « hep-cat.de — August 21, 2009 @ 12:46 pm