Wie nun bekannt geworden ist, verwendet die US-Regierung auf mehr als 200 ihrer offiziellen Webseiten abgelaufene Secure Sockets Layer (SSL) Zertifikate. Dies setzt jeden Webseiten-Besucher der erhöhten Gefahr aus, seiner persönlichen Daten durch sogenannte Man-In-The-Middle-Angriffe beraubt zu werden.

Diese Art von Attacken wären mit gültigen Zertifikaten nicht so leicht zu bewerkstelligen. Die Zertifikate erlauben es Hosts, im Internet sogenannte x.509 digitale Zertifikate auszutauschen, um ihre Identitäten zu verifizieren und den Datenfluss zu verschlüsseln und ihn auf diese Weise zu sichern.

Es könnte sein, dass einige der abgelaufenen Zertifikate dem Verwaltungsstillstand aufgrund des amerikanischen Haushaltsstreits zuzuschreiben sind. Der Stillstand hat womöglich die regulären systemtechnischen Wartungsarbeiten ebenso unterbrochen wie die öffentlichen Dienste selbst.

Zudem klicken, laut einer Studie der Universität von Kalifornien, zwischen 57 und 87 % aller Anwender die Warnung zu abgelaufenen Zertifikaten ohnehin weg. Ein Grund für dieses Verhalten ist, dass Regierungsangestellte und Bürger auf die Webseiten-Informationen angewiesen sind und ihnen so nichts anderes übrig bleibt, als die Warnhinweise zu überspringen. Den Angreifern ermöglicht dieses Verhalten, falsche und nicht vertrauenswürdige Zertifikate einzusetzen, die den Anwendern vorgaukeln, dass die Seite sicher sei, obwohl sie es nicht ist. Die Warnmeldungen sind dann ebenso gefälscht und nicht von echten Meldungen zu unterscheiden.

Die Schwachstellen haben auch damit zu tun, wie die Webseiten online Formulare verarbeiten, welche die Anwender an Regierungsbehörden übermitteln. Daher könnten die Gefahren noch länger lauern als die kurzzeitige Unterbrechung selbst.

Artikel von itnews.com.au, 17.10.2013: US govt left vulnerable by expired SSL certs
Artikel von nextgov.com, 16.10.2013: Security Flaw on 200 Government Websites Blamed on Shutdown