Ende 2008 fälschte ein internationales Forscher-Team ein Zertifikat einer Zertifizierungsstelle. Die Konsequenzen sind weitreichend und die Verwirrung, was das jetzt konkret bedeutet ist entsprechend groß.
Mit Hilfe eines Clusters von 200 Playstation-3-Systemen konnten die Forscher innerhalb von zwei Tagen zwei gültige Zertifikatsanträge mit vorgegebenen Datenfeldern erstellen, die denselben Hashwert ergaben. Sie variierten dabei lediglich den Inhalt in unwichtigen Feldern, wie den Netscape Kommentarerweiterungen. Dann ließen sie sich den ersten Antrag, der auf eine Domain in ihrem Besitz ausgestellt war, von der Zertifizierungsstelle Rapid-SSL unterschreiben. Die digitale Unterschrift setzten sie anschließend unter das zweite Zertifikat, das die Identität der fiktiven Zertifizierungsstelle "MD5 Collisions Inc. (http://www.phreedom.org/md5)" bestätigte. Da es denselben Hashwert wie das signierte Original hat, kann kein Programm die Fälschung erkennen.
Diese Vorgehensweise entspricht einem sogenannten Kollisionsangriff. Dabei kann der Angreifer sowohl die später präsentierte Fälschung als auch das Original vor der Unterschrift so lange manipulieren, bis er zwei Exemplare hat, die denselben Hashwert ergeben.
Davon zu unterscheiden ist der so genannten Pre-Image-Angriff. Dabei ist ein Original -- also beispielsweise ein bereits digital signiertes Dokument -- fest vorgegeben. Der Angreifer will dann ein zweites Dokument erstellen, das nicht nur den gewünschten Inhalt hat, sondern auch denselben Hashwert ergibt. Derartige Pre-Image-Angriffe sind um viele Größenordnungen aufwendiger; der Artikel Hash mich, Konsequenzen der erfolgreichen Angriffe auf SHA-1 erklärt das genauer. Bislang gibt es keine realistischen Szenarien für Pre-Image-Angriffe auf MD5.
Mit Hilfe dieser Fakten kann man schon recht konkret die konkreten Gefahren ableiten, die der aktuelle Angriff aufgezeigt hat. Von dem gefälschten MD5-Collisions-CA-Zertifikat geht keine echte Bedrohung aus. Um es für Angriffe zu missbrauchen, müsste man dessen geheimen Schlüssel haben, und den halten die Forscher unter Verschluss. Außerdem haben sie es freiwillig mit einem Ablaufdatum in der Vergangenheit versehen, sodass man damit keine gültigen Zertifikate erstellen könnte.
Der Angriff lässt sich auch nicht ohne weiteres wiederholen. Die Zertifizierungsstelle RapidSSL verwendet mittlerweile kein MD5 mehr; die anderen werden hoffentlich bald folgen. Außerdem nutzte der Hack bestimmte Eigenschaften des Zertifizierungsvorgangs aus, wie die, dass die Seriennummern der ausgestellten Zertifikate einfach aufsteigend gewählt wurden, also vorhersehbar waren. Das bedeutet, dass ein Nachahmer zunächst einiges an eigener Recherche und Arbeit investieren müsste, um den Angriff zu wiederholen. Vorsichtig geschätzt bräuchte er dazu wenigstens einige Monate.
Man kann auch eine SSL-gesicherte Übertragung nicht automatisch direkt belauschen, nur weil einer der Partner ein MD5-signiertes Zertifikat einsetzt. Ein typisches Angriffsszenario kann man sich eher so vorstellen: Um beispielsweise Kreditkartendaten aus einer Übertragung an eine SSL-gesicherte Seite eines Webshops auszuspionieren, müsste der Angreifer einen Server aufsetzen, der sich als der Shop ausgibt und sich dabei mit einem gefälschten Zertifikat ausweist. Dafür gibt es bereits fertige Tools. In einem zweiten Schritt leitet der Angreifer die Verbindung des Opfers zum Webshop auf seinen Proxy-Server um. Dies kann beispielsweise in einem lokalen oder drahtlosen Netz via ARP-Spoofing passieren. In größerem Maßstab kämen wohl eher DNS-Spoofing oder Pharming zum Einsatz, was allerdings verwundbare DNS-Server erfordert.
Konsequenzen
Da keine akute Gefahr besteht, gibt es keinen Grund zur Panik. Leider gibt es allerdings auch keinen Weg, das Problem einfach und nachhaltig aus der Welt zu schaffen. Man kann nur diesen Angriff zum Anlass nehmen, um MD5 endgültig das Vertrauen zu entziehen und so schnell wie möglich auszumustern. Als allererstes sind da die Zertifizierungsstellen gefragt, die ab sofort keine Zertifikate mehr mit MD5 unterschreiben sollten. Des weiteren wäre es sehr wünschenswert, wenn sie von sich aus die Eigentümer MD5-signierter Zertifikate ansprechen und zu einem kostenlosen Umstieg auf SHA-1 animieren würden. Auf SHA-1 gibt es zwar ebenfalls erste Angriffe, die sind allerdings noch nicht wirklich praxisrelevant. Der designierte Nachfolger SHA-2 ist noch nicht reif für den Einsatz in der Praxis und SHA-3 muss erst noch gekürt werden.
Als Besitzer eines MD5-Zertifikats sollte man – auch wenn kein akuter Grund zur Sorge besteht – möglichst bald ein neues Zertifikat beantragen. Jedes MD5-Zertifikat weniger ist ein Schritt näher zum kompletten Verzicht auf MD5. Und als Anwender kann man eigentlich nur hoffen, dass die Hürden für einen erfolgreichen Angriff hoch genug sind. Denn eine wirklich endanwendertaugliche Möglichkeit, sich vor derartigen Angriffen auf die Verschlüsselung zu schützen gibt es derzeit nicht. Die FAQs auf der nächsten Seite geben immerhin ein paar Tipps für Experimente.