Netzwerksicherheit - Zertifikate

Jüngst in der Coronakrise fiel es wieder auf, Betrüger konnten Anwender dazu verleiten auf optisch gut aufgemachten Webseiten sensitive Daten einzugeben. Diese Daten wurden dann missbraucht, um an Fördergelder heranzukommen (Quelle 1). Diesen und viele andere Fälle könnte man als Anwender sehr leicht aufdecken, wenn man sich den Ausweis einer Webseite näher anschauen würde. Doch es scheinen sich nur sehr wenige Anwender damit auszukennen, dabei gehört etwas Hintergrundwissen über die Ausweise des Internets zum ein mal eins der digitalen Bildung. Dieser Artikel vermittelt Ihnen kurz und knapp das notwendigste was Sie über Zertifikate, die Ausweise im Internet, wissen sollten.

• Grundlegendes Prinzip von Zertifikaten
  
• Zertifikatstypen
  
• Zertifikate unter Firefox, Edge und Chrome prüfen
  
• Ein Zertifikat einer Webseite im Detail prüfen
  
• Chain of Trust

Notiz: In diesem Artikel wird auf Zertifikate eingegangen welche beim Surfen im Web gebräuchlich sind. Sie können somit das gelernte direkt praktisch nachvollziehen und besser verstehen. Zertifikate sind aber im digitalen Bereich allgegenwärtig. Wenn Sie sich dessen einmal bewusst sind, werden Sie das oft erkennen und das einmal erlangte Wissen wird sich auch für andere Bereiche als nützlich erweisen.

Quelle [1]: https://www.merkur.de/wirtschaft/coronavirus-nrw-betrug-soforthilfe-wirtschaftsministerium-website-zr-13648937.html

Grundlegendes Prinzip von Zertifikaten

Eine Person kommt zu Ihnen stellt sich vor und weist sich mit einem Ausweis aus. Mit einer Kontrolle des Ausweises erhöhen Sie Ihre Gewissheit deutlich, dass die Person vor Ihnen tatsächlich auch die ist welche sie zu sein vorgibt.

Jetzt könnte sich die Person selbst einen schicken Ausweis basteln und Ihnen zeigen, wie erkennen Sie nun das der Ausweis echt ist?

Zum ersten haben Sie eine Erwartungshaltung was die Gestaltung eines Ausweises angeht. Dieser sollte irgendwie offiziell und formell gültig wirken. Das ist natürlich nicht wirklich ein solides Kriterium, entspricht aber der Praxis. Etwas akkurater wird die Kontrolle, wenn man sich anschaut wer den Ausweis ausgestellt hat. Ist es eine Behörde oder eine andere Organisation, welche man kennt und vertraut? Wer sich mit den Sicherheitsmerkmalen eines Ausweises auskennt, der kann diese genauer in Augenschein nehmen. Das erhöht deutlich die Wahrscheinlichkeit das der Ausweis echt ist. Eine hunderprozentige Sicherheit hat man immer noch nicht. So wirklich sicher ist man nur wenn man letztlich die Echtheit des Ausweises bei einer externen Stelle prüft. Amtspersonen wie z.B. Grenzpolizisten können das schnell und genau mit elektronischen Hilfsmitteln durchführen, für Privatpersonen bleibt oft nur sich telefonisch zu erkundigen.

Was hat das jetzt mit einem Zertifikat zu tun, welcher ja als Ausweis im Internet dienen soll?

Die Antwort ist, dass diese grundlegenden Mechanismen, wie man sie von Personenausweisen kennt, erhalten bleiben.

Bei einem Verbindungsaufbau zu z.B. einer Webseite liefert diese Ihnen automatisch ihren Ausweis, ein elektronisches Zerifikat. Voraussetzung, die Verbindung wird über das verschlüsselte https Protokoll aufgebaut. Dieses Zertifikat enthält alle Daten und Sicherheitsmerkmale, welche es ermöglichen sollen die Echtheit der Webseite festzustellen. Die geläufigen Webbrowser wie Firefox, Edge oder Chrome prüfen die in einem Zertifikat enthaltenen Daten automatisch. Bei Verdacht wird Ihnen eine Meldung ausgegeben ob Sie mit der Verbindungsaufnahme fortfahren oder abbrechen möchten.

Der ein oder andere könnte sich jetzt fragen, alles super also, wofür dieser Artikel. Dafür gibt es drei Gründe:

1. Es gibt digitale Angriffe, welche darauf basieren eine Anfrage auf eine von Ihnen aufgerufene Webseite umzuleiten. Ferner sind „pishing“ Angriffe populär. Hier wird versucht das Sie, in gutem Glauben, z.B. auf einen Link in einer E-Mail klicken. Die dann im Webbrowser erscheinende Webseite sieht täuschend echt aus, ist aber gefälscht. Gute Gründe um bei wirklich sensitiven Vorgängen über eine Webseite vorab das entsprechende Zertifikat zu prüfen. Dazu muss man aber die Struktur und die Daten kennen aus welchen ein Zertifikat besteht und was diese bedeuten. Ferner natürlich wie man die Zertifikatsdaten unter Firefox, Edge und Chrome einsehen kann.

2. Es gibt unterschiedliche Typen von Zertifikaten, welche im Web Verwendung finden, mit unterschiedlichen Bedeutungen. Sie sollten in der Lage sein, die verschiedenen Zertifikatstypen für Webseiten zu erkennen und wissen was diese bedeuten. Ohne dieses Wissen schenken Sie einer Webseite vorschnell vertrauen, wenn Firefox, Edge oder Chrome nicht explizit einen Verdacht äußern.

3. Es passiert halt hin und wieder, dass sich Firefox, Edge oder Chrome bei Ihnen meldet und fragt ob die Verbindungsaufnahme ok ist oder nicht. Sie sollten dann eine Idee haben was dahinter steckt, um diese Abfrage mit Umsicht beantworten zu können.

Zertifikatstypen

Die wichtigste Fragestellung bei einem Zertifikat ist, was weist dieses Zertifikat überhaupt aus? Wie eben erwähnt sollen im folgenden Webseiten als Beispiel dienen. Zertifikate für Webseiten werden auch SSL/TSL-Zertifikate genannt. SSL/TSL steht dabei für das Protokoll, welches für die verschlüsselte Verbindung zuständig ist. Schon dort gibt es eine Reihe von verschiedenen Zertifikatstypen und somit Unterschiede in der Bedeutung.

Notiz: Ein sehr populäre Zertifizierungsstelle für Domain-Validated Zertifikate ist „let’s encrypt“. Die Echtheit einer Domain wird rein per Automatismen geprüft, ohne menschliche Eingriffe. Die Ausstellung eines Zertifikats ist kostenlos. Let’s encrypt wird von einer gemeinnützigen Organisation betrieben und von einer Reihe anderer Organisationen finanziert (Quelle 2: https://de.wikipedia.org/wiki/Let%E2%80%99s_Encrypt)

Zertifikate unter Firefox, Edge und Chrome prüfen

Sie haben jetzt schon einiges an Theorie gelesen, doch wie gehen Sie jetzt in der Praxis damit um? Wie machen sich Zertifikate unter Firefox, Edge oder Chrome bemerkbar, bzw. wo können Sie diese dort im Detail prüfen.

Generell gilt für alle folgenden Fälle, dass Sie auf das Schloßsymbol oder die Angabe links von dem Namen der aufgerufenen Webseite klicken können, um weitere Informationen zu erhalten.

Ferner sollten Sie sich bewusst sein, das Zertifikate nur die Gegenstelle ausweisen. Wenn die Gegenstelle selbst in betrügerischer Absicht agiert, nützt es Ihnen nur bedingt die Identität der Gegenstelle zu kennen. Sprich das Vorhandensein eines Zertifikats ist in sich kein Vertrauensmerkmal. Ein Zertifikat hilft Ihnen aber sicherzustellen das Sie mit der Webseite verbunden sind, zu welcher Sie sich auch verbinden wollten.

Notiz: Für diesen Artikel wird sich auf Firefox, Chrome und Edge beschränkt, da diese die Browser mit den höchsten Marktanteilen sind. Safari befindet sich nicht darunter, da mir kein Gerät vorliegt auf welchem Safari funktioniert.

Sie rufen eine Webseite ohne verschlüsselte Verbindung auf (nur http)

Die Webseite wird im Klartext zu ihrem Browser übertragen. Es erfolgt keine Ausweisung. Alle Übertragungen Ihrerseits an die Webseite erfolgen ebenfalls im Klartext. Wenn es Alternativen gibt sollten Sie andere Webseiten nutzen. Wickeln Sie auch in Ausnahmefällen keine sensitiven oder geldwerte Vorgänge über eine solche Webseite ab.

Firefox

Edge

Chrome

Notiz: Neben der verschlüsselten Übertragung ist es exakt der fehlende Ausweis, welcher dazu geführt hat das unverschlüsselte http Webseiten nicht mehr zeitgemäß sind. Landen Sie auf einer solchen Webseite sollten Sie von einer Nutzung abstand nehmen. Ist es eine Behörde oder ein Unternehmen welche diese Webseite unterhält, dann machen Sie sich die Freude und informieren Sie die verantwortliche Stelle (siehe Impressum).

Sie rufen eine Webseite auf und Ihr Webbrowser meldet einen Verdacht

Dieser Fall tritt dann auf, wenn eine Webseite ein Zertifikat ausliefert, dieses allerdings grundlegende Mängel aufweist. Beispiele hierfür sind, dass ein Zertifikat nicht von einer anerkannten Zertifizierungsstelle erzeugt wurde (self-signed) oder das die zeitliche Gültigkeit eines Zertifikats abgelaufen ist.

Bei allen Browsern können Sie im Browserfenster auf „erweitert“ klicken. Dort erhalten Sie die Möglichkeit doch die Webseite aufzurufen, wenn Sie sich über Ihr Handeln im klaren sind. Die Verbindung zur Webseite wird dann verschlüsselt aufgebaut. Das Zertifikat liefert Ihnen aber, ohne weiteres, keine haltbaren Informationen ob die Webseite auch die ist welche Sie zu sein vorgibt.

Wie im Fall von Webseiten ohne Verschlüsselung, sollten Sie nach Möglichkeit nicht die Webseite nutzen. Wer seine Leser, Kunden auch nur halbwegs ernst nimmt liefert ein gültiges Zertifikat, welches von einer Zertifizierungsstelle ausgestellt wurde. Für eigene Bastelprojekte und in begrenztem Rahmen, kann es aber durchaus Sinn ergeben sich ein eigenes Zertifikat zu erzeugen. Sie kennen dann ja selbst explizit die Sicherheitsmerkmale und können diese dann auch prüfen.

Firefox

Edge

Chrome

Sie rufen eine Webseite auf und es reicht Ihnen zu wissen das die Domain, die Adresse der Webseite, z.B. DasHeimnetzwerk.de korrekt ist

Webseiten welche per „Domain-Validated“ Zertifikat ausgewiesen werden sind der Standard im Internet. Die Wahrscheinlichkeit das die aufgerufene Webseite auch die ist welche Sie aufrufen wollten ist hoch. Die Verbindung zu der Webseite ist verschlüsselt und übermittelte Informationen sind dementsprechend geschützt.

Wenn Sie die Wahrscheinlichkeit etwas erhöhen möchten, dann können Sie in den Zertifikatsinformationen die Korrekheit der Domain der Webseite explizit prüfen (siehe Abschnitt über die Struktur eines Zertifikats).

Wenn Ihnen der über die Webseite abgewickelte Vorgang aber sehr wichtig ist, bzw. hohe Werte transferriert werden, dann sollten Sie solch einer Webseite nur bedingt vertrauen schenken. Denn Sie wissen jetzt nur das Sie z.B. wirklich mit „xyz.com“ verbunden sind. Im Prinzip kann aber jeder die Kontrolle über die Domain „xyz.com“ beantragen und zugeteilt bekommen.

Firefox

Edge

Chrome

Notiz: Früher konnten Sie Domain-Validated und Extended-Validated Zertifikate direkt über die Adressleiste unterscheiden. Dem ist seit ca. ende 2019 nicht mehr so. Das sichtbare Schloßsymbol symbolisiert nur, dass die Webseite sich mit einem gültigen von einer anerkannten Zertifizierungsstelle ausgestellten Zertifikat ausgewiesen hat. Sie müssen einen weiteren Klick tätigen, um den Typ des Zertifikats ersehen zu können. Von daher beinhalten die folgenden Screenshots das sich öffnende Fenster, wenn man auf das Schloßsymbol links der Webadresse klickt.

Sie rufen eine Webseite auf und es wäre gut wenn die dahinterstehende Organisation auch die ist welche sie zu sein vorgibt

Per „Extended-Validated“ Zertifikat ausgewiesen werden Webseiten wo eine besonders hohe Sicherheit benötigt wird, dass die Verbindung auch wirklich zu einer bestimmten Organisation hergestellt wurde. Die Organisation wird in dem zu Ihnen übertragenen Zertifikat ausgewiesen und kann geprüft werden. Die Verbindung zu der Webseite ist verschlüsselt und übermittelte Informationen sind dementsprechend geschützt.

Um ein Extended-Validated Zertifikat zu erkennen müssen Sie jetzt genauer hinsehen. Der Unterschied ist in folgenden Screenshots rot markiert und zwar zeigen die Browser jetzt an für welche Organisation ein Zertifikat ausgestellt wurde.

Nach Prüfung des Zertifikats haben Sie eine sehr hohe Wahrscheinlichkeit das die Webseite echt ist. Eine Garantie leider immer noch nicht. Das liegt daran, dass man sich schnell in der Organisationsangabe irrt. Wissen Sie den auswendig ob die Firma am anderen Ende jetzt rechtlich als „xyz inc.“ oder als „xyz ltd.“ geführt wird? Sprich Betrüger könnten sich ein Zertifikat ausstellen lassen, welches einen Organisationsnamen beinhaltet welcher ähnlich aber nicht gleich Ihrer Zielorganisation ist.

Sie sollten jetzt aber nicht verzweifeln. Die Wahrscheinlichkeit das die Webseite echt ist hat sich wieder erhöht und damit auch das tragbare Risiko für über die Webseite abgewickelte Vorgänge. Wer jetzt aber wirklich sicher sein muss, der muss entweder die Organisationsangaben etwas genauer prüfen oder wie bei einem Personenausweis, die Organisation telefonisch anrufen um sich die Echtheit des Zertifikats bestätigen zu lassen. Wie das am einfachsten geht, wird im nächsten Abschnitt näher erläutert.

Firefox

Edge

Chrome

Ein Zertifikat einer Webseite im Detail prüfen

Die Webbrowser sind auch in der Lage Ihnen die Details eines Zertifikats anzuzeigen. Mit den Detailinformationen können Sie mehr Gewissheit erlangen ob z.B. die angegebene Organisation auch die ist zu welcher Sie sich verbinden wollten. Ferner finden Sie dort die Informationen welche Sie benötigen, wenn Sie das Zertifikat telefonisch auf Echtheit prüfen möchten.

Firefox

Unter Firefox ist die Anzeige eines Zertifikats am umständlichsten zu bewerkstelligen.

1. Klicken Sie auf das Schloßsymbol, links neben der Adressleiste.
   
2. Klicken Sie auf den Pfeil nach rechts, neben der Angabe das die Verbindung sicher ist.
   
3. Klicken Sie unten auf „weitere Informationen“.
   
4. Klicken Sie rechts im oberen Drittel auf „Zertifikate anzeigen“.

Jetzt wird Ihnen das Zertifikat mit all seinen Detailinformationen angezeigt.

Edge

Unter Edge und Chrome ist es einen Schritt einfacher sich die Details eines Zertifikats anzeigen zu lassen.

1. Klicken Sie auf das Schloßsymbol, links neben der Adressleiste.
   
2. Klicken Sie auf das Zertifikatssymbol, innerhalb Fensters welches sich geöffnet hat. Rechts davon steht der Text „Zertifikat (gültig)“.
   
3. Klicken Sie jetzt auf den Tab „Details“, innerhalb Fensters welches sich geöffnet hat

Chrome

Die Anzeige der Details eines Zertifikats unter Chrome funktioniert exakt gleich zu Edge.

1. Klicken Sie auf das Schloßsymbol, links neben der Adressleiste.
   
2. Klicken Sie auf das Zertifikatssymbol, innerhalb Fensters welches sich geöffnet hat. Rechts davon steht der Text „Zertifikat (gültig)“.
   
3. Klicken Sie jetzt auf den Tab „Details“, innerhalb Fensters welches sich geöffnet hat

Ein Zertifikat beinhaltet eine Menge Informationen, für eine nähere Prüfung der Echtheit reicht es aber nur einen kleinen Teil davon näher zu betrachten.

Antragssteller (unter Edge/Chrome), Inhaber (unter Firefox): Bei einem Domain-Validated Zertifikat sollte hier die korrekte Domain stehen, zu welcher Sie sich verbinden wollten. Bei einem Extended-Validated Zertifikat stehen hier Informationen zu der Organisation welche die besuchte Webseite kontrolliert. Die Informationen beinhalten jetzt, unter anderem, auch den Sitz der Organisation. Steht hier für eine Webseite einer deutschen Bank statt z.B. Frankfurt/Deutschland, RoadTown/britische Jungferninseln, dann ist Skepsis angebracht. Oder wie im Eingangs erwähnten Beispiel des Missbrauchs der Soforthilfe, würde man hier als Antragsteller das Wirtschaftsministerium NRW, mit der Angabe eines Ortes in NRW, erwarten.

Gültigkeit: Zertifikate sollten ab Ausstellung nur ein paar Jahre gültig sein. Ist das Gültigkeitsdatum überschritten oder findet sich hier eine Angabe welche extrem weit in der Zukunft liegt, dann ist wieder Vorsicht angebracht.

Seriennummer und Fingerabdruck (engl. Fingerprint): Seriennummer und Fingerabdruck eines Zertifikats sind für jedes Zertifikat eineindeutig. Wenn Sie über einen anderen Weg als der Webseite Kontakt zu einer Organisation haben, dann können Sie damit die Echtheit eines Zertifikats und somit auch der Webseite prüfen. Rufen Sie z.B. eine Kontaktperson telefonisch an, erkundigen Sie sich nach diesen Daten und gleich Sie diese mit den im Browser angezeigten ab. Es ist aber gut möglich, dass der Servicemitarbeiter am anderen Ende des Telefons wenig über Zertifikate weiß und mit Ihrer Anfrage völlig überfordert ist. Alleine schon aus diesem Grund empfiehlt es sich diesen Weg nur dann zu gehen, wenn es wirklich wichtig ist. Dann sollten Sie sich aber auch den Aufwand nicht scheuen.

Notiz: Der Fingerabdruck ist eine eineindeutige digitale Kennzeichnung eines Zertifikats. Sehr vereinfacht ausgedrückt wird eine kryptographische Quersumme über sämtliche Daten des Zertifikats gebildet. Würde jemand auch nur ein Byte ändern, dann ändert sich der Fingerabdruck. Es ist derzeitig so gut wie unmöglich ein Zertifikat gezielt zu ändern und einen gewünschten Fingerabdruck beizubehalten.

Chain of Trust

Um das Konzept von Zertifikaten in der Praxis besser zu verstehen ist es noch wichtig, das „Chain of Trust“ (dtsch: Vertrauenskette) Prinzip zu verstehen.

Einfach ausgedrückt steckt dahinter, das wenn Sie einer Person oder Organisation A vertrauen, folgend A wiederum B sein Vertrauen ausspricht und B wiederum C, das Sie dann auch C vertrauen, obwohl Sie C nicht direkt kennen. Für das Vertrauen müssen Sie nur die Kette über B bis A nachvollziehen können.

Ähnlich ist das Konzept hinter der Ausstellung von Zertifikaten aufgebaut. Es gibt nur relativ wenige Zertifizierungsstellen, welche global höchste Vertrauenswürdigkeit genießen. Diese Zertifizierungsstellen können dann anderen untergeordneten Zertifizierungsstellen Ihr Vertrauen aussprechen. Diese fügen dann bei Ausstellung eines Zertifikats die höhergeordnete Zertifizierungsstelle als Verweis ein. Das kann dann entsprechend weitergehen und es bildet sich eine Kette von Zertifizierungsstellen, welche der Echtheit eines Zertifikat als Nachweis dient.

Dieses Konzept ist insofern wichtig als das es Webbrowsern ermöglicht ein Zertifikat zu prüfen, in dem das Zertifikat nur gegen eine kleine Anzahl von Zertifizierungsstellen geprüft wird. Durch die überschaubare Anzahl an höchstrangigen Zertifizierungsstellen können deren Daten beim herunterladen bzw. aktualisieren eines Browsers problemlos mitgeliefert werden.

Vertrauen Sie dem Hersteller des Browsers Firefox, Mozilla, und dieser vertraut bestimmten Zertifizierungsstellen, dann können Sie im Alltag für unbedeutende Vorgänge auch der Prüfung des Browsers vertrauen. Das erleichtert den Umgang im Web ungemein.

Ferner werden Sie bei der Anzeige von Detailinformationen für ein Zertifikat auch unweigerlich auf die Informationen über die Kette der Zertifizierungsstellen stossen. Somit ist es nützlich grob die Bedeutung zu kennen.

Fazit: Ich hoffe das Sie einen guten und nicht zu komplizierten Einstieg in die Welt der Ausweise im Internet bekommen haben. Wer mag, der kann dieses Themengebiet noch nach belieben vertiefen, denn dieser Artikel hat nur an der Oberfläche gekratzt. Doch wie bei vielem ist schon eine solide Allgemeinbildung extrem hilfreich. Sie müssen für den normalen Alltag kein Experte werden.

Matthias (15.05.2020)

Die folgenden Artikel wurden bislang in der Serie „Netzwerk-Sicherheit“ veröffentlicht.

1. Netzwerksicherheit - auch eine Frage der Perspektive
   
2. Netzwerksicherheit - WLAN-Sicherheitslücke kr00k