1994 traf Netscape eine Entscheidung, die zum Fundament des Vertrauens im Internet wurde und die Welt für immer veränderte. Damals nahm ihr Browser Navigator gerade Fahrt auf, doch es waren die frühen Tage des Webs, als die gesamte Kommunikation im Klartext erfolgte. Netscape ergriff die Initiative, entwickelte das SSL-Protokoll und damit das Vertrauensmodell, das wir bis heute verwenden … im Guten wie im Schlechten.
Das Vertrauensmodell war einfach: a) eine ausgewählte Gruppe von Organisationen darf Zertifikate für Websites ausstellen, während b) wir ihnen vorbehaltlos vertrauen. Diese Einfachheit trieb das explosive Wachstum des Webs voran.
Eine Zeit lang lief alles weiter, doch das Ökosystem wurde schließlich unüberschaubar. 2011 gab es einen Angriff auf eine kleine Zertifizierungsstelle (CA) namens DigiNotar, der zu Hunderten betrügerischer Zertifikate für einige der größten Websites der Welt führte. Es war so gravierend, dass wir nicht einmal zuverlässig nachvollziehen konnten, wer betroffen war. Die Situation war untragbar, führte jedoch zur Entstehung eines neuen Paradigmas: Transparenz in Sicherheitssystemen.
Certificate Transparency macht CAs rechenschaftspflichtig
Certificate Transparency (CT), entwickelt bei Google, ist ein Mechanismus, der alle öffentlichen Zertifikate erfasst, die von CAs ausgestellt werden. Der Gedanke dahinter: Wenn wir diesen Organisationen bereits vertrauen, das Vertrauen in unserem Namen zu verwalten, sollten wir zumindest vollständigen Einblick in ihr Handeln haben. CT wurde 2018 für Websites obligatorisch und verschob das Kräfteverhältnis zurück zur Mitte.
Diese Sichtbarkeit machte den entscheidenden Unterschied und ermöglichte es uns, die Governance der öffentlichen PKI kontinuierlich zu verbessern und zu verfeinern. Entscheidend war, dass jede Organisation weltweit nun in Echtzeit die Ausstellungsaktivitäten für ihre Domains überwachen kann. Ausgestattet mit einer Liste ihrer registrierten Domainnamen können sie nun die weltweite CT-Aktivität überwachen, um Zertifikate zu finden, die sie betreffen. Der Nutzen ist zweifach: Organisationen können a) Einblick in ihre eigene Aktivität gewinnen und b) auch etwaige Fehlausstellungen erkennen, sollten diese auftreten.
Certificate Transparency als Mechanismus zur Diensterkennung
CT bietet nicht nur Einblick in ausgestellte Zertifikate, sondern indirekt auch in laufende Dienste. Das ist möglich, weil jedes Zertifikat eine Liste der Domains enthält, für die es gilt. Wenn Sie also die CT-Aktivität für jedes Zertifikat überwachen, das Ihren registrierbaren Domainnamen entspricht, erhalten Sie als Ergebnis ein vollständiges Inventar Ihrer Zertifikate sowie aller Subdomains in Ihrem gesamten Domainbestand.
Diese einfache Tatsache ist unglaublich wirkungsvoll, denn die meisten Organisationen nicht trivialer Größe haben Schwierigkeiten, den Überblick über ihre eigene Infrastruktur zu behalten. Mit CT verfügen wir plötzlich über eine Art Herzschlag-Mechanismus, der uns mitteilt, welche Subdomains wir haben. Durch die Überwachung dieser Signale bauen Sie ein umfassenderes Inventar der Subdomains auf. Wenn Sie diese aktiv per Netzwerk-Scanning überprüfen, erstellen Sie ein umfassendes Inventar der Dienste. Und – so einfach ist das – der Traum von kontinuierlichem, automatisiertem Asset-Inventar-Management wird möglich.
Zu viel Sichtbarkeit kann auch ein Problem sein
Die Kehrseite der öffentlichen Zertifikatsprotokollierung und -überwachung ist, dass sie eben öffentlich ist. Jeder auf der Welt, nicht nur Sie, kann Ihre Zertifikate bei ihrer Ausstellung überwachen und dadurch auch Ihre Subdomain-Aktivitäten beobachten. Diese Funktion wird oft für gute Zwecke genutzt, etwa von Cybersicherheitsunternehmen wie Red Sift, um automatisierte Asset-Inventare für ihre Kunden bereitzustellen. Sie wird jedoch häufig auch von Kriminellen genutzt, um neue Angriffsziele zu finden – oft innerhalb von Minuten nach Ausstellung der Zertifikate. Für sie ergänzt die CT-Überwachung das kontinuierliche Scannen von Netzwerkports als Mittel, um schneller mehr Ziele zu finden.
Die Tatsache, dass Ihre unauffälligen öffentlichen Dienste entdeckt werden können, ist nicht neu. Internetweites Netzwerk-Scanning nach aktiven IP-Adressen und offenen Ports wird schon lange eingesetzt, insbesondere bei hochsensiblen Ports wie 22 (SSH) und 3389 (RDP). Die Antwort damals wie heute ist dieselbe: Stellen Sie keine ungesicherten Dienste online.
Ivan Ristic is the Chief Scientist for Red Sift and former founder of Hardenize. Learn more about how Red Sift helps organizations with their Certificate Monitoring.