Tausende unsichere Server bei beliebten Websites
Mehr als die Hälfte aller Webserver erlauben immer noch den Einsatz von unsicheren RSA-Schlüsseln. Gleichzeitig ist der Widerruf von Zertifikaten nach wie vor problematisch. Zudem stehen fast überall noch alte, selten aktualisierte Server. Diese Schwachstellen werden häufig für Phishing-Kampagnen missbraucht.
Der TLS Telemetry Report 2021 von F5 Labs, einem Anbieter von Cloud- und Sicherheitslösungen, hat 1 Million der weltweit wichtigsten Websites untersucht. Laut dieser Studie nutzen Angreifer zunehmend Transportation Layer Security (TLS) zu ihrem Vorteil in Phishing-Kampagnen aus. TLS, auch bekannt unter der Bezeichnung Secure Sockets Layer (SSL), ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet, umso schwerer wiegt verständlicherweise dessen Missbrauch. Mehr als die Hälfte aller Webserver erlauben dabei immer noch den Einsatz von unsicheren RSA-Schlüsseln.
Unsichere Server hinter wichtigen Websites
Zusätzlich werfen gemäss F5 Labs neue Fingerprinting-Techniken Fragen über die Verbreitung von Malware-Servern auf, die sich in den wichtigsten Websites verstecken. „Mehr denn je versuchen sowohl Nationalstaaten als auch Cyberkriminelle, die starke Verschlüsselung zu umgehen“, so David Warburton, Senior Threat Research Evangelist bei F5 und Autor der Studie. „Angesichts dieser allgegenwärtigen Risiken war es noch nie so wichtig wie heute, starke und aktuelle HTTPS-Konfigurationen zu nutzen. Dies gilt insbesondere beim Einsatz digitaler Zertifikate von verschiedenen Diensten.“
Zwei Schritte vorwärts, ein Schritt zurück
Gemäß F5 Labs wird das schnellere und sicherere TLS 1.3-Protokoll zunehmend genutzt. Erstmals war TLS 1.3 für die meisten Webserver auf der Tranco Top-1M-Liste das Verschlüsselungsprotokoll der Wahl. Fast 63 Prozent der Server bevorzugen jetzt TLS 1.3, ebenso wie über 95 Prozent aller aktiv genutzten Browser. In den USA und Kanada setzen sogar bis zu 80 Prozent der Webserver TLS ein, während es in China oder Israel nur 15 Prozent sind.
Die DNS Certification Authority Authorization (CAA) kann die betrügerische Ausstellung von Zertifikaten verhindern. Von 2019 (1,8 % der Websites) bis 2021 (3,5 %) zeigt sich zwar ein deutlicher Anstieg der Nutzung, sie bleibt aber auf sehr niedrigem Niveau. Ebenfalls besorgniserregend ist, dass zwar fast alle Server in der Top-Liste sichere Diffie-Hellman-Schlüsselvereinbarungen bevorzugen, 52 Prozent der Server lassen aber immer noch den eingangs erwähnten unsicheren RSA-Schlüsseltausch zu.
Darüber hinaus haben die Analysen von F5 Labs gezeigt, dass die Methoden für den Widerruf von Schlüsseln fast völlig unbrauchbar sind. Daher wollen Zertifizierungsstellen (CAs) und Browser-Hersteller verstärkt zu extrem kurzfristigen Zertifikaten übergehen. Der Widerruf eines gestohlenen Zertifikats ist viel einfacher, wenn es ohnehin in wenigen Wochen abläuft. Aktuell beträgt die häufigste Lebensdauer von Zertifikaten 90 Tage, dies gilt für etwas mehr als 42 Prozent aller Websites.
Zunehmende Sicherheitsrisiken
Die Zahl der Phishing-Seiten, die HTTPS mit gültigen Zertifikaten nutzen, nahm von 70 Prozent im Jahr 2019 auf fast 83 Prozent im Jahr 2021 zu. Etwa 80 Prozent der bösartigen Websites stammen dabei von nur 3,8 Prozent der Hosting-Anbieter. Phisher bevorzugen hier Fastly, knapp gefolgt von Unified Layer, Cloudflare und Namecheap.
Die am häufigsten gefälschten Marken bei Phishing-Angriffen sind Facebook und Microsoft Outlook/Office 365. Gleichzeitig haben gestohlene Anmeldedaten von diesen Websites einen großen Wert, auch weil viele andere Konten diese als Identitätsanbieter (IdP) oder Funktion zum Zurücksetzen des Passworts nutzen. Außerdem fand F5 Labs heraus, dass Webmail-Plattformen mit 10,4 Prozent fast genauso häufig imitiert werden wie Facebook, um Phishing-Angriffe durchzuführen.
Quelle: F5 Labs
