Das Mozilla-Projekt diskutiert gerade, ob es die Certificate Authority Darkmatter als Root-CA in den Browser integrieren will. Der Verdacht besteht, dass die in den Vereinigten Arabischen Emiraten ansässige Firma in Spionage verwickelt ist.

Laut einem Reuters-Artikel wurde eine Amerikanerin und ehemalige NSA-Mitarbeiterin über einen Cybersecurity-Firma in den Emiraten angeheuert, um der dortigen Regierung beim Hacken zu helfen. Dieses so genannte Project Raven landete dann wohl bei der Cybersecurity-Firma Darkmatter, die Menschenrechtsaktivisten, Journalisten und politische Gegner ausspionierte. Erst als Project Raven auch Amerikaner ins Visier nahm, wurde den dort arbeitenden Amerikanern die Sache offenbar zu heiß. Mehr über die Hintergründe liefert die EFF.

Darkmatter ist offiziell aber eine Certificate Authority (CA) und stellt als solche HTTPS-Zertifikate für Webseiten aus, etwa in den VAE. Firefox gehört zu den Browsern, die solche Zertifikate bislang indirekt akzeptieren. So erhielt Darkmatter ein “Intermediate Certificate” von einer Firma, die nun zu Digicert gehört. Digicert wiederum ist eine der Root-CAs in Mozilla.

Vor einiger Zeit hat Darkmatter nun einen Antrag gestellt, eine eigene Root CA in Firefox und Thunderbird zu werden. Die Firma bestreitet, von den Vorgängen in Project Raven gewusst zu haben. Nun diskutieren die Mozilla-Entwickler, ob und unter welchen Bedingungen der Browserhersteller die CA im Sortiment akzeptieren soll.

Eine mit vielen technischen Details und politischen Vorwürfen gespickte Diskussion darüber findet zurzeit in einer Google Group statt. Sie weist auf ein grundsätzliches Problem hin: Lässt sich rein technisch sicherstellen, dass CAs ihre Macht nicht missbrauchen? Und sie wirft weitere Fragen auf, die für ein “sicheres” Internet relevant sind. Genügt es unabhängig von politischen Verstrickungen, wenn CAs bestimmte technische Anforderungen erfüllen? Oder muss Mozilla die Aufnahmekriterien für Root CAs neu definieren. Sicherlich eine spannende Diskussion, zu der eine finale Antwort sich nicht auf die Schnelle finden lassen wird.