Categories: Sicherheit

CERT: Warnung vor HTTPS-Inspektion

Das US-CERT warnt, dass alle Systeme nach einer HTTPS-Unterbrechung potentiell unsicher sind, da die TLS-Verschlüsselung geschwächt sein kann. Das bezieht sich auf HTTPS-Unterbrechung, wie sie beispielsweise oft durch Antivirus-Software erfolgt, um Malware zu erkennen.

Auch wenn eine solche HTTPS-Inspektion sinnvoll sein kann, erfordert sie eine Abwägung der damit verbundenen Risiken, wie zuvor ein Blogeintrag der Carnegie Mellon University darlegte. Nicht selten kommt es demnach vor, dass Sicherheitsprodukte durch eine fehlerhafte Implementierung erst für neue Angriffsvektoren sorgen.

„HTTPS-Inspektion erfolgt durch Unterbrechung des HTTPS-Netzwerkverkehrs und eine Man-in-The-Middle-Attacke auf die Verbindung“, erklärt das CERT. Zu ihrer Durchführung müssen Administratoren vertrauenswürdige Zertifikate auf den Client-Geräten installieren. Das führt aber dazu, dass ein Client-System eine HTTPS-Verbindung nicht mehr unabhängig validieren kann, sondern nur die Verbindung zwischen sich und dem Produkt, das HTTPS unterbricht. Clients müssen sich also auf die HTTPS-Prüfung durch das jeweilige Produkt verlassen, das sich in die Verbindung gedrängt hat.

Aus der kürzlich veröffentlichten Studie The Security Impact of HTTPS Interception (PDF) geht aber hervor, dass viele HTTPS-Inspektion-Produkte die Zertifikatskette des Servers nicht ordentlich verifizieren, bevor sie erneut verschlüsseln und die Daten an Clients weiterleiten – was wiederum anderen einen MITM-Angriff ermöglichen kann. Darüber hinaus werden Hinweise auf Verifizierungsprobleme in der Zertifikatskette nicht immer an den Client weitergereicht, der dann vielleicht fälschlicherweise von einer korrekten Verbindung mit dem richtigen Server ausgeht.

Grundsätzlich empfiehlt das CERT Organisationen, die HTTPS-Inspektion in Betracht ziehen, vorher eine sorgfältige Abwägung der Vorteile und Nachteile solcher Produkte vorzunehmen. Um zu ermitteln, ob ein unterbrechendes Produkt Zertifikate vorschriftsmäßig validiert und Verbindungen zu Sites mit schwacher Verschlüsselung verhindert, könnte sich die Website Badssl.com eignen. Sie stellt eine Reihe von Tests für gründliche Überprüfung bereit.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Bernd Kling

Recent Posts

Schnäppchen: Xiaomi Mi 10 für 662 Euro

Gegenüber dem offiziellen Verkaufspreis bietet der chinesische Online-Shop Gearbest das Mi 10 fast 140 Euro günstiger an. Leider gilt das…

7 Stunden ago

Xiaomi spendet 120.000 Atemschutzmasken

Das Deutsche Rote Kreuz nimmt die Lieferungen in Empfang und übernimmt die Verteilung in Abstimmung mit den lokalen Behörden. Weitere…

10 Stunden ago

Factsheet zur Einrichtung von Kurzarbeitergeld (Kug) in SAP HCM

SAP Full-Service-Provider Nexus / Enterprise Solutions erweitert angesichts von Corona Support und Kundenbetreuung – Neues Factsheet zu Kurzarbeitergeld und SAP…

11 Stunden ago

Windows 10: KB4535996 sorgt für Probleme bei VPN-Verbindungen

Betroffen sind sämtliche Windows-Versionen, die seit Herbst 2017 erschienen sind. Ein Neustart soll das Problem temprorär beheben. Anfang April will…

12 Stunden ago

Galaxy S7 und Galaxy S7 Edge: März-Patch wird ausgeliefert

Das Update steht für die freien Geräte parat. Vor knapp zwei Monaten hatte Samsung die Provider-Modelle mit dem Januar-Sicherheitspatch versorgt.

13 Stunden ago

Microsoft: Nutzung der Clouddienste steigt um 775 Prozent

In den Regionen mit Ausgangsbeschränkungen steigt die Nutzund der Cloudienste erheblich. Vor allem Teams, Windows Virtual Desktop und Power BI…

15 Stunden ago