Sicherheitsexperten haben ein gefälschtes Zertifikat für *.google.com entdeckt. Das Zertifikat wurde am 10. Juli 2011 ausgestellt und war vermutlich 40 Tage in Verwendung.

SSL-Zertifikate bestätigen, dass der Benutzer auf der Seite ist, für den das Zertifikat ausgestellt wurde. So ist es möglich, Benutzer auf andere Seiten umzuleiten, ohne dass Benutzer es merken, um z. B. den Web- und E-Mailverkehr mitzulesen. Das Zertifikat wurde vom niederländischen Anbieter DigiNotar ausgestellt. Google und Mozilla haben einen bemerkenswerten Schritt gesetzt, um in ihren Browserupdates alle Zertifikate von DigiNotar zu blockieren.

Beachtlich ist, wo das gefälschte Zertifikat aufgetaucht ist: im Iran. Es gibt Vermutungen, dass die iranische Regierung E-Mails von regierungskritischen Personen so mitgelesen hat. Folterung von Kritikern der iranischen Regierung unter Ahmadinedschad sind dokumentiert.

Wer nicht bis zum Update warten will, Firefox beschreibt hier, wie das DigiNotar-Rootzertifikat gelöscht werden kann: Deleting the DigiNotar CA certificate

Moxie Marlinspike, ein Kritiker von SSL: „Es ist kein Wunder, dass dies passiert ist. Das war zu erwarten gewesen. Was ein Wunder ist, ist dass das gefälschte Zertifikat jemandem aufgefallen ist.“ Eine andere Methode, um die Authentifizierung der Server zu gewährleisten, kann das noch junge Covergence (Betastadium) sein. Marlinspike demonstrierte schon 2009, wie auch zurückgezogene Zertifikate von Angreifern als gültige ausgewiesen werden können. Convergence ist als Browser-Addon zu Firefox erhältlich. Es erzeugt eine Art Web-of-Trust wie z. B. GPG beim E-Mailverkehr.

Artikel von theregister.co.uk, 29.08.2011: Fraudulent Google credential found in the wild