IT Blog - w3Projekt.com

Kriminellen wird es bislang bei der Vielzahl an existenten Online-Shops oft leicht gemacht, sensible Daten wie Passwörter oder Kreditkartennummern mitzulesen. Dazu gehörte bis vor wenigen Tagen auch das Telekom-Bezahlsystem T-Pay. Mit der von Heise entwickelten Software SSL-Wächter kann man das Risiko beim Online-Einkauf aber deutlich minimieren, so c’t 15/08 vor.

Der c’t-SSL-Wächter warnt den Nutzer, wenn er eine vermeintlich sichere Webseite ansurft, die mit einem schwachen Zertifikat ausgestattet ist. Diese Seite könnte gehackt sein. Das Programm bietet an, die Verbindung im Zweifelsfall zu kappen. Zertifikate sind eine Art Identitätsnachweise, die normalerweise sicherstellen, dass man sich tatsächlich auf der gewünschten Seite befindet und eine verschlüsselte, also sichere Verbindung besteht. Profis sind durchaus in der Lage, den Schlüssel schwacher Zertifikate zu ermitteln und die Anwender anschließend auf gefälschte Webseiten zu lotsen, die auch das für Sicherheit stehende Schloss im Browser anzeigen.

Bis vor kurzem war selbst die Telekom-Webseite www.sicherbezahlen.t-pay.de betroffen: Betrüger hätten einen Server aufsetzen können, der sich als T-Pay-System ausgibt und diese Identität dem Browser über sein Zertifikat beweist. Inzwischen hat T-Pay das Zertifikat widerrufen und ein neues eingesetzt. Wer das widerrufene Zertifikat allerdings hat, kann noch immer sein Unwesen damit treiben, denn es läuft erst am 11. November ab.

In den vergangenen Wochen waren bei einem Test von rund 30.000 Servern zehn Prozent mit unsicheren Zertifikaten ausgestattet. Schuld an der Misere sind bestimmte Linux- Systeme, die über anderthalb Jahre hinweg schwache Schlüssel für Zertifikate erstellt haben.

“Will man das Problem in den Griff bekommen, muss man am Browser ansetzen”, so c’t-Redakteur Jürgen Schmidt. “Genau das tut der SSL-Wächter. Er gleicht das Zertifikat mit einer Liste von schwachen Zertifikaten ab. Dabei kann es unter Umständen zu kurzen Verzögerungen beim Aufbau einer Webseite kommen.” Der SSL-Wächter eignet sich für den Internet Explorer, Outlook Express und andere Windows-Programme. Für den Firefox gibt es bereits eine ähnliche Erweiterung, entstanden aus einer Privatinitiative.

Den SSL-Wächter zum Schutz vor unsicheren SSL-Zertifikaten findet sich zum kostenlosen Download unter www.heise.de/ct/projekte/sslwaechter/. FAQ und Hilfe bei der Installation sind dort auch zu finden.