Google-Forscher Tavis Ormandy hat diesmal Schwächen im Umgang mit SSL-Zertifikaten bei Kaspersky aufgedeckt: Kaspersky torpediert SSL-Zertifikatsprüfung. Oha.

Kaspersky Internet Security klinkt sich auf Wunsch des Anwenders als Man-in-the-Middle in SSL-gesicherte Internetverbindungen ein, um den Nutzer vor Angriffen zu schützen. Wie Google-Forscher Tavis Ormandy herausfand, schwächt es dabei die Überprüfung der Zertifikate so drastisch, dass ein Angreifer dem Kaspersky-Nutzer ein anderes Zertifikat für die angefragte Domain unterschieben kann.

Das ist natürlich etwas blöd, wenn die Sicherheitssoftware Sicherheitslöcher fabriziert. SSL und Man-in-the-Middle ist ja gerade eh via Proxy stark in Mode. Nur ist hier das Ergebnis natürlich suboptimal.