Kompromittiertes Google Zertifikat 5 Wochen unentdeckt

Wie bereits am Wochenende (27.08./28.08.) durch einen Google-Chrome Benutzer bekannt wurde, gibt es ein gültiges SSL-Zertifikat für Google Domains, welches anscheinend durch die iranische Regierung kompromittiert wurde. Siehe Näheres dazu in dieser Heise-Meldung.

Microsoft hat bereits reagiert und dieses Zertifikat aus ihrer Sammlung vertrauenswürdiger Zertifikate gestrichen. Auch Mozilla wird nachziehen und ihren Browser Firefox aktualisieren.

Mac Benutzer, welche den Safari verwenden, sollten daher dieses Zertifikat (bei mir waren es zwei) unbedingt in ihrer Schlüsselbundverwaltung als nicht vertrauenswürdig einstellen! Wie das geht, sei hier in wenigen Schritten erklärt:

Suchen des Zertifikates

Die Certs wurden von der niederländischen Firma DigiNotar ausgestellt. Öffnen Sie zunächst die Schlüsselbundverwaltung, und suchen Sie dort in der Kategorie “Alle Objekte” nach DigiNotar.

Jedes einzelne Zertifikat sollte durch einen Doppelklick geöffnet werden. Unter der Einstellung “Vertrauen” sollte dann “Bei Verwendung dieses Zertifikats” auf jeden Fall “Nie vertrauen” ausgewählt werden!

Nun schliessen Sie die Zertifikatseinstellungen. Daraufhin werden Sie nach einem Administrator-Passwort gefragt, damit die Schlüsselbundverwaltung die Einstellungen auch dauerhaft speichert.

Dieses Prozedere sollte mit allen Zertifikaten von DigiNotar durchgespielt werden. Im Anschluss sollten die Zertifikate in der Schlüsselbundverwaltung so dargestellt werden: