Falsches Zertifikat ermöglicht das Faken von Google Diensten

5 Wochen wurde das falsche Zertifikat nicht bemerkt

Scheinbar ist es einem schwarzen Scharf gelungen ein falsches SSL Zertifikat zu bekommen, welches als beglaubigtes Zertifikat für Google Dienste interpretiert wurde. Dadurch sind Angriffe auf Passwort und Nutzernamen möglich. Doch wie könnte solch ein Angriff aussehen?

Zum Beispiel wäre es denkbar eine Tippfehlerdomain zu einem bekannten Googledienst zu registrieren auf welcher dann eine Kopie der Originalwebseite zu sehen ist. Der Browser würde dann diese Seite als reguläre Googleseite erkennen. Dort trägt der unschuldige Nutzer seine Daten ein und schon sind diese für den Betreiber der Fake-Googleseite nutzbar.

Doch wie konnte dieser Fehler entstehen?
Dies ist noch nicht so ganz klar – denn der Zertifikatsanbieter DigiNotar hat bislang noch keine Stellung zu diesem Vorfall genommen. Entweder  das Zertifikat wurde aus versehen regulär genehmigt oder es wurde beim Anbieter eingebrochen und das Zertifikat illegal erstellt.