Datenbank mit SSL Private Keys veröffentlicht

Wie man auf /. lesen kann, ist ein Projekt mit dem Namen LittleBlackBox gestartet, das eine Datenbank mit bekannten SSL Private Keys von Embedded Devices wie beispielsweise Routern zur Verfügung stellt. Da in viele Firmwares diese privaten Schlüssel hardcodet werden, benötigt ein Angreifer lediglich Kenntnis über Hersteller, Modell und Firmware-Version des Geräts, um nun mithilfe des Projekts SSL-Traffic belauschen zu können.

LittleBlackBox bietet die Möglichkeit, anhand eines Public-Key-Zertifikats den entsprechenden privaten Schlüssel in einer Datenbank, die mittlerweile mehr als 2000 Schlüssel umfaßt, nachzuschlagen. Als Input können dabei dienen:

  • Pfad zum Zertifikat
  • SHA1-Hash des Zertifikats
  • Hostname des Geräts, von dem dann das Zertifikat geholt wird
  • pcap-Datei, die auf Zertifikatsübertragungen durchsucht wird
  • Netzwerk-Interface, auf dem nach Zertifikatsübertragungen gelauscht wird

Hier geht’s zum dazugehörigen Blog-Eintrag.

Tags: ,

Eine Antwort hinterlassen