{"id":1354,"date":"2016-01-09T16:03:57","date_gmt":"2016-01-09T15:03:57","guid":{"rendered":"https:\/\/www.my-it-brain.de\/wordpress\/?p=1354"},"modified":"2016-01-09T16:03:57","modified_gmt":"2016-01-09T15:03:57","slug":"erster-bekannter-missbrauch-eines-lets-encrypt-zertifikats","status":"publish","type":"post","link":"https:\/\/www.my-it-brain.de\/wordpress\/erster-bekannter-missbrauch-eines-lets-encrypt-zertifikats\/","title":{"rendered":"Erster bekannter Missbrauch eines Let’s Encrypt Zertifikats"},"content":{"rendered":"

Dennis Schirrmacher berichtet in seinem heise-Artikel „Erste Malvertising-Kampagne mit Let’s-Encrypt-Zertifikat“<\/a> \u00fcber die missbr\u00e4uchliche Verwendung eines Let’s Encrypt Zertifikats.<\/p>\n

Laut dem Artikel ist es Online-Gaunern gelungen, eine Subdomain f\u00fcr eine legitime Domain einzurichten und f\u00fcr diese ein Let’s Encrypt Zertifikat zu beantragen. Mit Hilfe der legitimen Domain und des vertrauensw\u00fcrdigen Zertifikats wird Besuchern der Webseite Schadcode untergeschoben. Im konkreten Fall wird ein Online-Banking-Trojaner auf den Computern der Opfer installiert.<\/p>\n

Die missbr\u00e4uchliche Nutzung ist kein spezielles Problem von Let’s Encrypt. Es handelt sich vielmehr um ein generelles Designproblem der \u00f6ffentlichen TLS\/SSL-Infrastruktur, welches ich bereits in der Einleitung von „Certificate Pinning mit NGINX“<\/a> beschrieben habe.<\/p>\n

Let’s Encrypt versucht den Missbrauch durch den Einsatz kurzlebiger Zertifikate einzuschr\u00e4nken. Dieser Versuch l\u00e4uft meiner Ansicht nach jedoch weitgehend ins Leere. Denn auch Online-Gauner k\u00f6nnen die Erneuerung der ergaunerten Zertifikate mit dem Let’s Encrypt Client automatisieren.<\/p>\n

Einen deutlich effektiveren Schutz gegen die genannte Art von Missbrauch bieten Verfahren wie „Public Key Pinning Extension for HTTP“[1. RFC 7469 – Public Key Pinning Extension for HTTP<\/a>] [2. HTTP Public Key Pinning – Wikipedia (de)<\/a>] und „HTTP Strict Transport Security (HSTS)“[3. RFC 6796 – HTTP Strict Transport Security (HSTS)<\/a>] [4. HTTP Strict Transport Security – Wikipedia (de)<\/a>]. Speziell mit Hilfe des Certificate Pinning kann ein Browser erkennen, ob ein TLS\/SSL-Zertifikat zur besuchten Domain geh\u00f6rt oder nicht. N\u00e4here Informationen dazu und wie das Certificate Pinning f\u00fcr den Webserver NGINX konfiguriert werden kann, finden sich im Artikel „Certificate Pinning mit NGINX“<\/a>. Viel Spa\u00df beim Lesen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Dennis Schirrmacher berichtet in seinem heise-Artikel „Erste Malvertising-Kampagne mit Let’s-Encrypt-Zertifikat“ \u00fcber die missbr\u00e4uchliche Verwendung eines Let’s Encrypt Zertifikats. Laut dem Artikel ist es Online-Gaunern gelungen, eine Subdomain f\u00fcr eine legitime Domain einzurichten und f\u00fcr diese ein Let’s Encrypt Zertifikat zu beantragen. Mit Hilfe der legitimen Domain und des vertrauensw\u00fcrdigen Zertifikats wird Besuchern der Webseite Schadcode [Weiterlesen…]<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_metis_text_type":"","_metis_text_length":0,"_post_count":0,"footnotes":""},"categories":[1],"tags":[380,381,379,305,378],"class_list":["post-1354","post","type-post","status-publish","format-standard","hentry","category-allgemein","tag-certificate-pinning","tag-hpkp","tag-lets-encrypt","tag-planet","tag-rfc7469"],"_links":{"self":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1354","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/comments?post=1354"}],"version-history":[{"count":1,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1354\/revisions"}],"predecessor-version":[{"id":1355,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/posts\/1354\/revisions\/1355"}],"wp:attachment":[{"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/media?parent=1354"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/categories?post=1354"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.my-it-brain.de\/wordpress\/wp-json\/wp\/v2\/tags?post=1354"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}