Wenn alte Zertifikate zum Sicherheitsrisiko werden

Ein Blick auf die Vergänglichkeit von Kryptographie-Standards

In der Welt der IT-Sicherheit gilt eine eiserne Regel: Was heute als sicher gilt, kann morgen schon überholt sein. Besonders deutlich zeigt sich das bei Verschlüsselungsstandards. 128-Bit galt in den 90ern als kaum zu knackende Hürde. Heute lacht man darüber. Ähnlich erging es RSA-Schlüsseln, die einst als unbezwingbar galten – und heute auf handelsüblicher Hardware in wenigen Stunden geknackt werden.

Kürzlich passierte genau das: Ein Sicherheitsforscher veröffentlichte Ergebnisse zum Faktorisieren von 512-Bit RSA-Schlüsseln. Diese stammten von uralten Stammzertifikaten sogenannter Certificate Authorities – kurz CAs. Das sind jene vertrauenswürdigen Anker, auf die Browser bauen, um Website-Identitäten zu verifizieren.

Das steckt hinter dem aktuellen Fall

Die fraglichen Schlüssel stammten aus Netscape 4.51, das im März 1999 erschien. Mit an Bord: Zertifikate einer kanadischen CA namens E-Certify. Diese Wurzelzertifikate genossen Vertrauen für SSL-Verbindungen bis 2003 – als die Fachwelt endlich anerkannte, dass 512 Bit von Anfang an zu wenig waren.

Warum 512 Bit von jeher problematisch war

RSA-512 nutzt einen 512-Bit-Modulus – das Produkt zweier großer Primzahlen. In den 90ern ließ sich sowas theoretisch knacken, praktisch war es aber verdammt schwierig. Das Problem: Die Mathematik bleibt gleich, unsere Rechenleistung nicht.

Ein moderner Ryzen 9 schafft die Faktorisierung eines 512-Bit RSA-Schlüssels in etwa 30 Stunden – mit frei verfügbaren Tools wie CADO-NFS. 1999 hätte dasselbe einen Supercomputer oder ein gewaltiges verteiltes Rechenprojekt gebraucht.

Besonders bemerkenswert: Selbst 1999 war das riskant. RSA-155 (eine 512-Bit-Zahl mit 155 Dezimalstellen) wurde im August 1999 faktorisiert – wenige Monate nachdem die E-Certify-Zertifikate ausgeliefert wurden. Der Forscher merkte an, dass diese Schlüssel vermutlich gar nicht erst hätten ausgestellt werden dürfen.

Die Anfänge der Web-PKI

Die Web PKI – also das System der Zertifizierungsstellen, das HTTPS absichert – basierte auf Vertrauensmodellen, die heute kurios wirken. Damals lieferten Browser-Hersteller Dutzende Stammzertifikate von Behörden weltweit. Standards für Schlüsselgrößen oder Betriebspraktiken? Fehlanzeige.

Netscape, das mit SSL 1994 praktisch den Web-Handel erfand, war besonders großzügig. Der Internet Explorer hingegen ging konservativer vor – 512-Bit RSA-Wurzeln für SSL gab es dort nie. Doch Netscapes Ansatz schuf ein historisches Relikt: 512-Bit CA-Zertifikate, die auf jedem System mit alter Netscape-Version und falsch gestellter Uhr noch immer vertrauenswürdig wirkten.

Was bedeutet das für heutige Sicherheit?

Die Lehre geht über „512-Bit RSA war doof" hinaus. Sicherheitsstandards sind lebende Dokumente. Ein 2048-Bit RSA-Schlüssel, den aktuelle Best Practices fordern, wird eines Tages ebenfalls als zu klein gelten. Das NIST Post-Quantum Cryptography Standardization Project läuft bereits, weil Experten erwarten, dass Quantencomputer RSA eines Tages komplett brechen werden.

Für Entwickler und Unternehmen ergeben sich konkrete Handlungsempfehlungen:

• Algorithmus-Migration einplanen: Infrastruktur braucht Updates, wenn sich kryptographische Standards ändern. Spezifische Algorithmen niemals fest einprogrammieren.
• Abschaltzeiten überwachen: Zertifizierungsstellen und Browser kündigen regelmäßig Fristen an, nach denen ältere Schlüsselgrößen und Hashfunktionen nicht mehr unterstützt werden.
• Automatisierung nutzen: Manuelle Prozesse führen zu vergessenen Zertifikaten und veralteten Konfigurationen.
• Certificate Transparency einsetzen: Moderne CAs müssen Zertifikate öffentlich protokollieren – das erschwert es Angreifern, gefälschte Zertifikate zu besorgen.

Das Spielzeug für Neugierige

Abseits der Sicherheitsaspekte hat das Thema einen gewissen Unterhaltungswert. Alte kryptographische Schlüssel einer längst vergessenen Zertifizierungsstelle zu knacken, hat schon einen Reiz. Der Forscher veröffentlichte sowohl die E-Certify-Private-Keys als auch einen Test-HTTPS-Server, der mit Netscape Navigator 4.51 funktioniert. Eine Art Zeitkapsel – der Beweis, dass diese alten Zertifikate tatsächlich noch Verbindungen authentifizieren können. Zumindest in Browsern, die älter sind als viele heutige Entwickler.

Wer selbst in alten Zertifikatsarchiven stöbern möchte: Der Forscher hat Werkzeuge und Anleitungen zum Extrahieren und Analysieren historischer Stammzertifikate bereitgestellt. Vielleicht finden sich weitere vergessene CAs mit ähnlich schwachen Schlüsseln. Eine Erinnerung daran, dass Internet-Geschichte Spuren hinterlässt – und nicht alle davon waren jemals sicher.

Das nächste Mal, wenn du TLS für deine Anwendung konfigurierst, nimm dir einen Moment und denk daran, wie weit wir gekommen sind. Und wie selbstverständlich dein Hosting-Anbieter heute Zertifikatserneuerungen, Schlüsselgrößen und Cipher-Suiten handhabt. Die Wild-West-Zeiten der 512-Bit-CAs sind vorbei. Doch die Lektionen über kryptographische Hygiene bleiben so aktuell wie eh und je.