Es vergeht scheinbar kaum eine Woche, in der nicht ein weiterer Skandal mit der Ausspähung von Daten bekannt wird. Diesesmal handelte eine französische Behörde gegen gültiges Recht.
Die französische Behörde „Agence nationale de la sécurité des systèmes d’information“, die mit dem deutschen BSI (Bundesamt für Sicherheit in der Informationstechnik) vergleichbar ist, hat für die Google-Mail-Dienste eigene SSL-Zertifikate ausgegeben. Damit war es ihnen möglich, bei der Nutzung dieser Zertifikate den gesamten Datenverkehr mitzulesen. Durch einen Zufall entdeckte Google vermutlich selbst den Einsatz dieser gefälschten ANSSI-Zertifikate mittels der Anti-Spionage-Techniken in Chrome. Das Unternehmen reagierte vorbildlich und sperrte das Herausgebger-Zertifikat (CA) im Quellcode von Chrome. Damit sitzt es im Quellcode direkt neben dem geknackten DigiNotar-CA.
Das ANSII hat inzwischen erklärt, dass es sich bei dem von ihnen ausgestellten Zertifikat um eine interne Sicherheitsmaßnahme gehandelt hat. Der Datenverkehr der Mitarbeiter wird mit deren Wissen überwacht. Scheinbar auch die mit SSL/TLS verschlüsselten Datenverbindungen. Private Personen sollen nach Angaben der behördlichen Stelle nicht betroffen sein. Das ANSSI hat auf die Sperrung des Herausgeber-Zertifikates (Intermediate CA) reagiert und dieses zurückgezogen. Diesen Schritt begründete man damit, dass es gegen die eigenen Richtlinien verstoße, verschlüsselte Verbindungen aufzubrechen. Als Ursache wird menschliches Versagen angegeben.
Der Vorfall zeigt, wie sensitiv Google das Verhalten beziehungsweise die Umgebung der Chrome-Nutzer wahrnimmt. In diesem Fall kann von einem positiven Fall die Rede sein, denn das CA-Pinning konnte so verhindert werden. Bei diesem Verfahren prüft der Internet-Browser Chrome die Zertifizierungsstellen der Zertifikate. Sind diese nicht von Google für deren Dienste zugelassen, so wird der Benutzer darüber informiert.
Es ist generell bei großen Unternehmen aber durchaus üblich verschlüsselte Verbindungen durch sogenannte Man-in-the-Middle-Zertifikate zu öffnen. Dabei stellt beispielsweise eine Firewall die verschlüsselte Verbindung zu Google her, leitet diese aber nicht direkt an den Benutzer weiter, sondern die mit dem Man-in-the-Middle-Zertifikat verschlüsselten Daten. So ist die Firewall in der Lage den augenscheinlich verschlüsselten Inhalt im Klartext zu durchsuchen.
