Nachdem fast alle Betriebssystem- und Browser-Hersteller auf ein signifikantes Sicherheitsproblem mit einigen Zertifikaten für SSL/TLS-Verbindungen reagiert und diese über Software-Aktualisierungen entfernt haben, steht Apple wegen seiner fehlenden Sicherheitsaktualisierung in der Kritik. In OS X und vermutlich auch in iOS wird das "DigiNotar Root CA"-Zertifikat weiterhin akzeptiert. Vergangene Woche wurde bekannt, dass das Zertifikat offenbar von der iranischen Regierung dazu missbraucht wurde, Nutzer von Google-Diensten zu überwachen. Hierzu wurde über das Internet in die niederländische Zertifizierungsstelle eingebrochen und der Hauptschlüssel entwendet, mit dem die Verschlüsselung von beliebigen Verbindungen zertifiziert werden kann, selbst wenn sich ein Angreifer zwischen den Verbindungen befindet. Ungefähr 500 Zertifikate für bekannte Internet-Adressen wurden den Berichten nach so erstellt und ermöglichten den Angreifern das Abhören der verschlüsselten Verbindungen, beispielsweise auch von Bankseiten oder eben E-Mail-Diensten. Apple-Nutzer befinden sich aber weiterhin in Gefahr, abgehört zu werden, wenn sie nicht selbst aktiv werden. Um das Zertifikat zu entfernen, muss das Dienstprogramm "Schlüsselbundverwaltung" gestartet werden. Im Schlüsselbund "System-Roots" findet man über das Suchfeld schließlich das Zertifikat "DigiNotar Root CA", welches es als Administrator zu entfernen gilt. Wann Apple dies mit einer Sicherheitsaktualisierung für alle Anwender umsetzen wird, ist nicht abzusehen. Für den letzten derartigen Fall hatte Apple rund einen Monat bis zur Entfernung des kritischen Zertifikats benötigt.

Weiterführende Links:

• Computerworld