Microsoft warnt in einem aktuellen Security Advisory vor gefälschten Google- und Yahoo-Domains. Sie nutzen Zertifikate, die von einer Certificate Authority des National Informatics Centre (NIC), einer Behörde der indischen Regierung, ausgestellt wurden. Mit einem Update für seine Certificate Trust List stuft der Softwarekonzern die „missbräuchlich ausgestellten digitalen Zertifikate“ als ungültig ein.
Zuerst hatte Google auf die falschen Zertifikate reagiert. Warum die Certificate Authority der indischen Behörde die Zertifikate für die unter anderem zu Google gehörenden Domains ausgestellt hat, ist weiterhin nicht bekannt. Sie lassen sich aber für Spoofing und Man-in-the-Middle-Angriffe nutzen, wenn beispielsweise ein Browser diesen Zertifikaten vertraut.
Google zufolge stand die Government of India Controller of Certifying Authorities (CCA) – unter diesem Namen betreibt die NIC die ihr unterstellten Certificate Authorities – nie auf der Liste der vertrauenswürdigen Zertifikate. Microsofts Trusted Root Store genanntes Verzeichnis habe der CCA jedoch vertraut.
Microsoft hat die Liste der vertrauenswürdigen Zertifikate nun nach eigenen Angaben aktualisiert und die fraglichen Zertifikate entfernt. Nutzer von Windows 8, 8.1, RT, RT 8.1, Server 2012, Server 2012 R2 sowie Windows Phone 8 und 8.1 erhalten die neue Liste automatisch. Für Windows Vista, 7, Server 2008 und Server 2008 R2 hatte Microsoft im vergangenen Jahr ein Update bereitgestellt, dass die Liste ebenfalls ohne Interaktion mit dem Nutzer aktuell hält. Nutzer, die dieses Update nicht installiert haben, finden in Microsofts Sicherheitswarnung eine Anleitung, wie sie die neue Liste einspielen können. Sie gilt auch für Windows Server 2003.
Das Advisory nennt zudem die Domains, für die die Zertifikate ausgestellt wurden. Betroffen waren 17 Google-Domains, darunter google.com, m.gmail.com und gstatic.com, sowie 27 Yahoo-Domains wie mail.yahoo.com, profile.yahoo.com und me.yahoo.com.
[mit Material von Larry Seltzer, ZDNet.com]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Check Point warnt vor offener Schwachstelle, die derzeit von Hackern für Phishing ausgenutzt wird.
Video-Babyphones sind ebenfalls betroffen. Cyberkriminelle nehmen vermehrt IoT-Hardware ins Visier.
Der Downloader hat hierzulande im April einen Anteil von 18,58 Prozent. Im Bereich Ransomware ist…
Unternehmen greifen von überall aus auf die Cloud und Applikationen zu. Dementsprechend reicht das Burg-Prinzip…
Hacker nutzen eine jetzt gepatchte Schwachstelle im Google-Browser bereits aktiv aus. Die neue Chrome-Version stopft…
Microsoft bietet seit Anfang der Woche einen Patch für die Lücke. Kaspersky-Forscher gehen davon aus,…
