text: Browser-Updates: Gefälschte SSL-Zertifikate für Google, Yahoo und Microsoft - TecChannel Workshop
  Wie Comodo - immerhin mit erfreulicher Offenheit, leider jedoch erst gestern - mitgeteilt hat , ist am 15. März ein Hacker bei einem Comodo-Vertriebspartner eingedrungen, hat sich ein Benutzerkonto angelegt und insgesamt neun SSL-Zertifikate für einige populäre Websites ausstellen lassen. Betroffen sind laut Comodo www.google.com, mail.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org (Mozillas Website für Browser-Erweiterungen) und login.live.com (Microsoft). Comodo zeigt mit dem Finger auf den Iran als Übeltäter.
  Google hat zwischen dem 11. und 17. März drei Updates für seinen Web-Browser Chrome verteilt, das letzte enthält eine Sperrliste für die von Comodo als ungültig deklarierten SSL-Zertifikate. Mozilla hat zum gleichen Zweck Firefox 3.6.16 und 3.5.18 sowie Seamonkey 2.0.13 bereit gestellt. In Firefox 4.0 sind die Sperrlisten bereits enthalten. Microsoft hat die Sicherheitsmeldung 2524375 veröffentlicht und ein Update bereit gestellt. Es installiert die Sperrliste in den Zertifikatsspeicher von Windows, auf den auch der Internet Explorer zugreift. Von Apple (Safari) und Opera ist eine derartige Maßnahme noch nicht bekannt.
  Doch beide Verfahren hängen von der Erreichbarkeit der Server ab, die diese Sperrlisten bereit halten. Wenn ein Angreifer den Zugriff auf diese Server verhindert, betrachten gängige Browser das fragliche Zertifikat weiterhin als gültig - jedenfalls in den Standardeinstellungen, die wohl kaum ein Benutzer ändert. So ist es ein richtiger erster Schritt der Browser-Hersteller, mit der Verteilung lokaler Sperrlisten auf diesen Designfehler der Vertrauenskette zu reagieren. Doch wer eine Zertifikatsprüfung verhindern kann, kann auch Browser-Updates blockieren. Das ganze System muss im Licht dieses Vorfalls grundsätzlich auf den Prüfstand. (PC-Welt/hal)