Microsoft warnt vor gefälschten Google- und Yahoo-Domains

Microsoft warnt in einem aktuellen Security Advisory vor gefälschten Google- und Yahoo-Domains. Sie nutzen Zertifikate, die von einer Certificate Authority des National Informatics Centre (NIC), einer Behörde der indischen Regierung, ausgestellt wurden. Mit einem Update für seine Certificate Trust List stuft der Softwarekonzern die „missbräuchlich ausgestellten digitalen Zertifikate“ als ungültig ein.

Zuerst hatte Google auf die falschen Zertifikate reagiert. Warum die Certificate Authority der indischen Behörde die Zertifikate für die unter anderem zu Google gehörenden Domains ausgestellt hat, ist weiterhin nicht bekannt. Sie lassen sich aber für Spoofing und Man-in-the-Middle-Angriffe nutzen, wenn beispielsweise ein Browser diesen Zertifikaten vertraut.

Google zufolge stand die Government of India Controller of Certifying Authorities (CCA) – unter diesem Namen betreibt die NIC die ihr unterstellten Certificate Authorities – nie auf der Liste der vertrauenswürdigen Zertifikate. Microsofts Trusted Root Store genanntes Verzeichnis habe der CCA jedoch vertraut.

Microsoft hat die Liste der vertrauenswürdigen Zertifikate nun nach eigenen Angaben aktualisiert und die fraglichen Zertifikate entfernt. Nutzer von Windows 8, 8.1, RT, RT 8.1, Server 2012, Server 2012 R2 sowie Windows Phone 8 und 8.1 erhalten die neue Liste automatisch. Für Windows Vista, 7, Server 2008 und Server 2008 R2 hatte Microsoft im vergangenen Jahr ein Update bereitgestellt, dass die Liste ebenfalls ohne Interaktion mit dem Nutzer aktuell hält. Nutzer, die dieses Update nicht installiert haben, finden in Microsofts Sicherheitswarnung eine Anleitung, wie sie die neue Liste einspielen können. Sie gilt auch für Windows Server 2003.

Das Advisory nennt zudem die Domains, für die die Zertifikate ausgestellt wurden. Betroffen waren 17 Google-Domains, darunter google.com, m.gmail.com und gstatic.com, sowie 27 Yahoo-Domains wie mail.yahoo.com, profile.yahoo.com und me.yahoo.com.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de