DigiNotar ließ einen Hacker 531 gefälschte Zertifikate ausstellen – zehn Wochen später bankrott

DigiNotar war eine der Root-Zertifizierungsstellen, denen jeder große Browser vertraute, und Aussteller von Zertifikaten für niederländische Regierungsdienste. Im Juni 2011 drang ein Eindringling über ungepatchte Software auf ihren Webservern in ihr Netzwerk ein und bewegte sich seitwärts durch die segmentierten Systeme, die die Zertifikatsausstellung eigentlich isolieren sollten. Am 10. Juli stellte der Eindringling ein betrügerisches Zertifikat für google.com aus. Das Routineaudit von DigiNotar fand am 19. Juli gefälschte Zertifikate, widerrief sie, untersuchte den Vorfall und glaubte Ende des Monats, das Problem sei geschlossen. Es hatte nicht alle gefunden.

Am 27. August stellte ein Gmail-Nutzer im Iran fest, dass Googles eigener Browser Chrome die Verbindung verweigerte – Google hatte die Zertifikate, die es tatsächlich gekauft hatte, „gepinnt“, sodass ein von DigiNotar ausgestelltes google.com-Zertifikat sofort auffiel. Google ging am 29. August an die Öffentlichkeit und warnte vor Man-in-the-Middle-Angriffen gegen Nutzer im Iran. Ermittler zählten später 531 gefälschte Zertifikate für Domains wie aol.com, microsoft.com, cia.gov und mossad.gov.il sowie etwa 298.000 eindeutige IP-Adressen – 95 Prozent davon im Iran –, die gefälschte Google-Seiten aufriefen, die Gmail-Passwörter abgreifen konnten.

Der Zusammenbruch war schnell und vollständig. Browserhersteller entfernten DigiNotar aus ihren Trust Stores; am 14. September beendete die niederländische Regulierungsbehörde OPTA ihre Registrierung als Zertifikatsaussteller; und das Bezirksgericht Haarlem erklärte sie am 20. September 2011 für bankrott – zehn Wochen nach der Ausstellung des ersten gefälschten Zertifikats, drei Wochen nachdem die Sicherheitsverletzung öffentlich geworden war. Eigentümer Vasco Data Security meldete in seinem 10-K für 2011 einen Verlust aus aufgegebenen Geschäftsbereichen von 6,1 Millionen Dollar plus 5,2 Millionen Dollar an Wertminderungen und stellte das Zertifikatsgeschäft endgültig ein.

DigiNotar B.V. am 20. September 2011 bankrott; Eigentümer Vasco verbuchte einen Verlust aus aufgegebenen Geschäftsbereichen von 6,1 Mio. Dollar und 5,2 Mio. Dollar an Wertminderungen und zog sich aus dem CA-Geschäft zurück

Ungepatchte Software auf internetzugewandten Webservern gab dem Eindringling seinen Einstiegspunkt in ein ansonsten stark verteidigtes Netzwerk.

Das interne Audit vom Juli erklärte den Vorfall für geschlossen, ohne zu belegen, dass keine weiteren gefälschten Zertifikate existierten – das fatale google.com-Zertifikat tauchte erst auf, als der Browser eines Nutzers es verweigerte.

Die einzige Ressource einer Zertifizierungsstelle ist Vertrauen. Sobald Chrome, Firefox und Microsoft ihre Zertifikate nicht mehr anerkannten, blieb kein Umsatz mehr, den es zu schützen galt.

DigiNotar behandelte einen Vorfall von öffentlichem Interesse als privates IT-Problem, das still eingedämmt werden sollte; eine CA-Sicherheitsverletzung betrifft alle, für die die Zertifikate bürgen.

Wenn das eigene Produkt Vertrauen ist, ist jede Sicherheitsverletzung existenzbedrohend, und ein nach einem internen Audit erklärtes „wir haben es behoben“ ist nicht dasselbe, wie dass die Sicherheitsverletzung vorbei ist – ein einziges übersehenes gefälschtes Zertifikat kann das Unternehmen beenden.

Niemand wurde je gefasst oder angeklagt; Medienberichte haben ohne Beweis über eine Beteiligung des iranischen Staates spekuliert. Die niederländische Regierung übernahm DigiNotars Betrieb und beauftragte die Fox-IT-Post-mortem-Untersuchung „Black Tulip“. Der Vorfall trieb die Branche zu Googles Certificate Transparency, einer breiteren Zertifikats-Pinning-Praxis und strengeren CA-Baseline-Anforderungen – Änderungen, deren Urheber DigiNotar namentlich nennen. Vasco, später in OneSpan umbenannt, stieg nie wieder ins Zertifikatsgeschäft ein, und die nicht öffentliche Untersuchung der FTC endete ohne Vorwürfe.