Microsoft Warnt Ehe Gefälschten Google- Sowie Yahoo-Domains

Microsoft warnt in einem aktuellen Security Advisory ehe gefälschten Google- und Yahoo-Domains. Sie nutzen Zertifikate, die von einer Certificate Authority des National Informatics Centre (NIC), einer Behörde die indischen Regierung, ausgestellt wurden. Mit einem Update für seine Certificate Trust Kniff stuft die Softwarekonzern die “missbräuchlich ausgestellten digitalen Zertifikate” als ungültig ein.



Zuerst hatte Google auf die falschen Zertifikate reagiert. Warum die Certificate Authority der
indischen Behörde die Zertifikate für die mitten unter anderem zu Google gehörenden Domains ausgestellt hat, ist weiterhin nicht bekannt. Sie lassen sich selbst nichtsdestotrotz für Spoofing und Man-in-the-Middle-Angriffe nutzen, wenn beispielsweise beliebig Browser diesen Zertifikaten vertraut.
Google zufolge stand die Government of India Controller of Certifying Authorities (CCA) – mitten unter diesem Namen betreibt die NIC die ihr unterstellten Certificate Authorities – nie auf die Liste die vertrauenswürdigen Zertifikate. Microsofts Trusted Root Store genanntes Verzeichnis habe die CCA jedoch vertraut.

Microsoft hat die Liste die vertrauenswürdigen Zertifikate jetzt später eigenen Angaben aktualisiert und die fraglichen Zertifikate entfernt. Nutzer von Windows 8, 8.1, RT, RT 8.1, Server 2012, Server 2012 R2 und Windows Phone 8 und 8.1 bekommen die neue Liste automatisch. Für Windows Vista, 7, Server 2008 und Server 2008 R2 hatte Microsoft hinein vergangenen Erdenjahr ein Update bereitgestellt, dass die Liste ebenfalls ohne Interaktion mit dem Nutzer aktuell hält. Nutzer, die dieses Update nicht installiert haben, preisgeben in Microsofts Sicherheitswarnung eine Anleitung, wie sie die neue Liste einspielen können. Sie gilt auch für Windows Server 2003.

Das Advisory nennt zudem die Domains, für die die Zertifikate ausgestellt wurden. Betroffen waren 17 Google-Domains, darunter google.com, m.gmail.com und gstatic.com, und 27 Yahoo-Domains wie mail.yahoo.com, profile.yahoo.com und me.yahoo.com.

Quelle:ZDNet/News 

Share this post