3
StartSSL: Fehler öffnete Tür und Tor für Zertifikats-Missbrauch
Ein Grund mehr auf Lets Encrypt zu wechseln;)
http://www.heise.de/newsticker/meldung/StartSSL-Fehler-oeffnete-Tuer-un ...
http://www.heise.de/newsticker/meldung/StartSSL-Fehler-oeffnete-Tuer-un ...
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 299941
Url: https://administrator.de/contentid/299941
Ausgedruckt am: 21.11.2024 um 19:11 Uhr
3 Kommentare
Neuester Kommentar
Naja, die haben dann dafür andere Macken, die noch nicht bekannt sind.
Als Berufs-Paranoiker behaupte ich, daß jede CA, die nicht unter der eigenen Kontrolle steht sich grundsätzlich mißbrauchen läßt.
lks
Um das behaupten zu können, muss man keine Paranoia haben. Der Ersteller kann immer die Keys recovern, er hat den data recovery agent.
Das war nur ein kleiner Bug und es konnten lt. Stellungnahme keine Falschen Zertifikate ausgestellt werden:
Update: 13:30, 23.3.2016: Die Firma StartCom, Eigentümer der StartSSL CA, erklärt in einer Stellungnahme, dass die von dem Formular empfangene E-Mail-Adresse sehr wohl gecheckt werde. Dass eine Umleitung der Verfikations-E-Mail möglich gewesen sei, bestreitet die Firma dabei nicht. Doch zur Kontrolle der Eigentümerschaft ungeeignete E-Mail-Adressen würden im Zuge der Testprozedur verworfen. In dem von Almanna durchgeführten Tests verwendete dieser demnach eine Hotmail-Adresse, die im WHOIS-Eintrag für die Domain gelistet ist. Nur deshalb sei die erfolgte Umleitung erfolgreich gewesen.
