Crypto-Trading-Bots und Börsen-Anwendungen könnten trotz der von großen Technologiekonzernen eingeleiteten Notfallfixes weiterhin einer Zertifikatssicherheitslücke im Zusammenhang mit der indischen eMudhra ausgesetzt sein, so das Blockchain-Sicherheitsunternehmen CertiK.

Bis Dienstag hatten Technologiegiganten wie Google, Apple und Microsoft acht verwundbare Zertifikate blockiert, die von eMudhra ausgestellt worden waren – Zertifikate, mit denen sich gefälschte Versionen legitimer Websites erstellen ließen, wie Cointelegraph bereits berichtete. Zertifizierungsstellen wie eMudhra bilden das Fundament des HTTPS-Vertrauens: Es handelt sich um vertrauenswürdige Organisationen, die die digitalen Zertifikate ausstellen, die Websites zur Identitätsbestätigung vorweisen – weshalb fehlerhaft ausgestellte Zertifikate als sicherheitsrelevantes Problem für das gesamte Web gelten. Diese Fixes auf Browser-Ebene dürften jedoch möglicherweise nicht auf Crypto-Anwendungen greifen, die auf separate Sicherheitssysteme setzen, sagte Peiyu Wang, Senior Director of Digital Assets Security bei CertiK, gegenüber Cointelegraph.

„Die Blockierungen großer Browser verringern das Risiko für Clients erheblich, die sie empfangen und umsetzen“, sagte Wang. „Einige Anwendungen außerhalb des Browser-Ökosystems setzen Certificate Transparency nicht durch oder erhalten nicht denselben Widerrufsschutz.“

Certificate Transparency ist ein weit verbreitetes Framework, bei dem Browser Website-Zertifikate mit öffentlichen, prüfbaren Logs abgleichen, um sicherzustellen, dass fehlerhaft ausgestellte Zertifikate erkannt und blockiert werden können. Anwendungen außerhalb dieses Ökosystems profitieren möglicherweise nicht von denselben Schutzmechanismen – eine Lücke, die die Crypto-Branche unmittelbar betrifft, da Trading-Bots und Börsen-Anwendungen typischerweise über APIs und nicht über einen Browser mit Diensten interagieren.

Wang betonte, dass Crypto-Dienste gegenüber der Schwachstelle nicht inherently anfälliger sind als andere Branchen. Dennoch könnten Angreifer kompromittierte Zertifikate ausnutzen, um die HTTPS-Verbindungen zu imitieren, die von Börsen, Wallet-Oberflächen und APIs verwendet werden.

Konkret könnten Angreifer Crypto-Dienste imitieren, um Einzahlungsadressen auszutauschen oder Nutzer zur Genehmigung schädlicher Transaktionen zu verleiten, sagte Wang. Solche Angriffe würden zudem das Abfangen oder Umleiten des Internetdatenverkehrs der Nutzer erfordern, und die kompromittierten Schlüssel der Zertifizierungsstelle würden allein die privaten Wallet-Schlüssel nicht offenlegen.

Wang forderte Crypto-Betreiber auf, ihre Software und Zertifikats-Trust Stores zu aktualisieren und zu überprüfen, dass ihre Anwendungen die betroffenen Zertifikate ablehnen – eine Überprüfungsauf, die bei jedem Betreiber liegt, da die Blockierungen auf Browser-Ebene Anwendungen außerhalb dieser Browser möglicherweise nicht automatisch erreichen.

Felix Ng hat zur Berichterstattung beigetragen.

Quelle: Cointelegraph