Web-Sicherheitsforscher haben gravierende Schwachstellen bei der indischen Zertifizierungsstelle eMudhra aufgedeckt.
Dort waren die privaten kryptografischen Schlüssel von ganzen acht Zwischenzertifikaten gefährdet. Potenzielle Angreifer hätten die kompromittierten Schlüssel nutzen können, um gefälschte Webseiten als legitim zu tarnen und sensible Nutzerdaten abzufangen.
Kein Missbrauch der Sicherheitslücke bekannt
Bislang gibt es keine Hinweise auf Missbrauch. Nach dem Vorfall haben die Entwickler großer Webbrowser wie Chrome, Edge und Firefox umgehend Gegenmaßnahmen ergriffen, um die Vertrauenswürdigkeit der betroffenen Web-Zertifikate zu widerrufen.
Auch Apple sperrt die betroffenen TLS-Zertifikate seit dem 19. Oktober automatisch in Safari, Mail und allen System-Apps, sodass für gewöhnliche Anwender kein manuelles Handeln oder Software-Update erforderlich ist.
Eine Ausnahme bilden Systemadministratoren und Entwickler, die Kommandozeilen-Werkzeuge am Mac nutzen: Da diese Tools die Zertifikate bis zu einem künftigen System-Update noch akzeptieren können, rät Apple zur manuellen Entfernung der Root-Zertifikate aus der Pfaddatei /etc/ssl/cert.pem.
Ein konkretes Veröffentlichungsdatum für ein entsprechendes, umfangreiches macOS-Sicherheitsupdate hat Apple bislang nicht genannt.
Hinweis: Artikel enthält Affiliate-Links. Was ist das? Foto: Apple/iTopnews