Let’s Encrypt will die Sicherheit und Integrität der Web-PKI verbessern und hat nun eine Mehrperspektiv-Validierung für Domains eingeführt.

Let’s Encrypt ist eine vom Non-Profit ISRG (Internet Security Research Group) betriebene Zertifizierungsstelle für Domains (Certification Authority, CA). Sie vertreibt weltweit kostenlose und sichere digitale Zertifikate, mit denen Domain-Besitzer ihre Websites per HTTPS absichern. Ziel von Let’s Encrypt ist es, möglichst die Kommunikation zwischen sämtlichen Webseiten zu verschlüsseln. In diese Richtung unternimmt die CA nun einen weiteren Schritt.

Man sei nach eigenem Wissen die erste CA, die im großen Stil Domains aus mehreren Blickwinkeln validiert. Was das konkret bedeutet, beleuchtet ein aktueller Blogpost. Bislang kommt demnach eine einfache Domain-Validierung zum Einsatz. Das heißt: Ein Nutzer beantragt bei Let’s Encrypt ein Zertifikat für seine Domain und muss dafür in einer Challenge nachweisen, dass er auch tatsächlich den Zugriff auf diese Domain besitzt. Das umfasst mehrere Schritte: In einem davon prüft Let’s Encrypt schließlich über eine bestimmte Route (den Validierungspfad) und anhand der gestellten Aufgabe (der Challenge), ob der Antragsteller tatsächlich im Besitz der Domain ist (Challenge Validation).

Gefälschter Pfad

Dabei gibt es aber ein Problem: Wie die Uni Princeton gezeigt hat, lässt sich über das BGP (Border Gateway Protocol) der Validierungspfad so manipulieren, dass ein Angreifer gegenüber Let’s Encrypts Validierungsserver die Challenge erfüllen kann, ohne dass ihm die Domain gehört. Zwar sei das umständlich und daher bislang nur ein seltenes Angriffsszenario, doch könnte sich das ändern. Das BGP sei per se ein unsicheres Protokoll. Es gibt Versuche, dies zu ändern, doch dürfte sich der Umbauprozess noch eine Weile hinziehen. Bis es soweit ist, hilft die Multiperspektiv-Validierung, solche Angriffe zu erschweren.

Dabei prüfen zusätzlich drei unabhängige Cloud-Server, ob der Antragsteller die Challenge erfüllt hat, übernehmen also nur den Schritt der Challenge Validation. Um die restlichen Schritte kümmert sich weiterhin der Let’s-Encrypt-Server. Aktuell verwendet das Projekt zusätzliche Server in verschiedenen Regionen, allerdings bei nur einem Cloud Provider. Das Projekt will das Modell künftig auf weitere Cloud Provider ausdehnen. Ein Angreifer müsste also mehrere Validierungspfade zugleich fälschen, um die Challenge zu bestehen. Entstanden ist die Multi-Perspective Validation übrigens in Zusammenarbeit mit den Princeton-Forschern, die das Problem entdeckt haben.