Studie: Viele Websites verwenden durch Heartbleed kompromittierte Schlüssel wieder

Viele Websitebetreiber haben offenbar nach Bekanntwerden der Heartbleed-Lücke in OpenSSL zwar neue SSL/TLS-Zertifikate ausgestellt, aber nicht die verwendeten und möglicherweise auch kompromittierten privaten Schlüssel ausgetauscht. Einer Studie von Netcraft zufolge sind von diesem Fehler mindestens 30.000 Zertifikate betroffen.

Heartbleed ermöglicht einem Angreifer den Zugriff auf den flüchtigen Speicher eines OpenSSL-basierten Webservers. Mit den Daten im Speicher konnte er möglicherweise kritische Informationen sammeln und den Server sogar gegenüber Dritten verkörpern, indem er sich den privaten Schlüssel des Originalservers verschafft. Webseitbetreiber mussten also nicht nur den eigentlichen Fehler beheben, sondern auch ihre alten Zertifikate zurückziehen und durch neue ersetzen.

Laut den Daten von Netcraft haben inzwischen 43 Prozent aller betroffenen Websites neue Zertifikate ausgestellt. Allerdings haben 7 Prozent denselben privaten Schlüssel verwendet. Nur 14 Prozent aller untersuchten Websites haben demnach ihre Zertifikate mit neuen Schlüsseln ausgestellt und damit alle Schritte durchgeführt, um einen Angriff zu verhindern.

„Durch die Wiederverwendung des privaten Schlüssel drohen einer vom Heartbleed-Bug betroffenen Website dieselben Risiken wie denen, die ihre Zertifikate noch nicht ersetzt haben“, heißt es in der Studie. Der Schlüssel eines zuvor kompromittierten Zertifikats könne auch dann noch benutzt werden, wenn es für ungültig erklärt worden sei.

57 Prozent aller betroffen Sites hätten auch nach rund einem Monat keinerlei Schritte unternommen. „Sie haben weder ihre alten Zertifikate zurückgezogen, noch neue ausgestellt“, so Netcraft weiter. Das Unternehmen weist zudem darauf hin, dass 21 Prozent zwar neue Zertifikate mit neuen privaten Schüssel ausgestellt hätten, allerdings ohne die alten Zertifikate für ungültig zu erklären.

Um diese Art von Fehlern zu verhindern, fordert Netcraft, dass die für die Vergabe der Zertifikate zuständigen Certificate Authorities die privaten Schlüssel von zurückgezogenen Zertifikaten auf eine schwarze Liste setzen. Damit sei es möglich, automatische Kontrollen durchzuführen und neue Anfragen mit den zu kompromittierten privaten Schlüssel gehörenden Public Keys zurückzuweisen.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de