Als Reaktion auf den Einmarsch von Präsident Wladimir Putin in der Ukraine haben viele westliche Regierungen Sanktionen verhängt, die es Unternehmen untersagen, Geschäfte mit Russland zu tätigen.
Zu diesen Unternehmen gehören öffentliche Zertifizierungsstellen (CA), die digitale Zertifikate für Websites ausstellen, um eine Website-Domäne zu validieren und so das Vertrauen in Online-Kommunikation und -Transaktionen zu stärken.
Was es bedeutet
Vor dem Einmarsch in die Ukraine haben die Websites vieler in Russland ansässiger Unternehmen die Zertifikate von TLS über Drittanbieter wie DigiCert oder GoDaddy bezogen und erneuert. Die wachsende Zahl der gegen Russland verhängten Sanktionen bedeutet jedoch, dass diese Websites keine Zertifikate mehr erneuern können; ihre Websites werden von Webbrowsern nicht mehr als vertrauenswürdig eingestuft. Als Vorsichtsmaßnahme blockieren moderne Webbrowser den Zugang zu diesen Websites oder geben zumindest Browserwarnungen aus, die die Verbraucher von den Websites abschrecken können.
Als Reaktion darauf hat Russland seine eigene nationale Zertifizierungsstelle eingerichtet, die TLS Zertifikate ausstellt. Auch wenn dies unter anderen Umständen geschieht, ist dies keine einzigartige Initiative. Auch andere Staaten haben dies versucht, jeder aus seinen eigenen Gründen, aber selten mit dem Ziel, das Online-Vertrauen zu stärken. Dieser Schritt weckt die Sorge, dass die russische Bevölkerung anfälliger für Cyberangriffe und die Ausspähung durch die eigene Regierung wird.
Warum das wichtig ist
Es ist klar, dass der Konflikt zwischen Russland und der Ukraine Auswirkungen an allen Fronten und in allen Bereichen hat. In der Ukraine sind das Leben und der Lebensunterhalt unschuldiger Menschen ernsthaft bedroht. Sowohl in der Ukraine als auch in Russland wird die Freiheit belagert, auch in der digitalen Landschaft.
Während der Konflikt das Leben der Bürger stark beeinträchtigt hat, hat er die Bedürfnisse der Unternehmen nicht beeinträchtigt. Die Unternehmen in Russland müssen ihre Tätigkeit fortsetzen, und eine Schlüsselkomponente davon hängt von ihrer Fähigkeit ab, ihre Website sicher mit digitalen Zertifikaten zu betreiben - was die Abhängigkeit Russlands von dem Vertrauenssystem offenbart, das sich in den letzten 20 Jahren im Internet etabliert hat.
Die Einrichtung einer eigenen staatlichen CA in Russland wirft eine Vielzahl von Bedenken auf. Die erste bezieht sich auf die digitale Freiheit und den Schutz der Daten. In Russland, wo die Angst vor Cyberkriminalität und repressiver Überwachung grassiert, sind die Auswirkungen der Kontrolle über die Bürger und das Internet innerhalb Russlands weitreichend.
Mit einer "staatsfreundlichen CA" kann eine Regierung den Versuch einer Person, eine bestimmte Website zu erreichen, abfangen und alles Mögliche tun, vom Abhören der Kommunikation bis zum Ersetzen einer Website durch eine eigene (gefälschte) Webseite. Dies wiederum bietet der Regierung die Möglichkeit, Spionagesoftware einzusetzen, die die Aktivitäten eines Nutzers auf einer bestimmten Website überwacht.
Das zweite große Problem ist eher operativer Natur. Zertifizierungsstellen bestätigen, dass eine Domäne zu einer verifizierten Einrichtung gehört, was bedeutet, dass sie von Webbrowsern als vertrauenswürdig und rechtmäßig anerkannt werden müssen. Derzeit erkennen nur zwei Browser die neue russische Zertifizierungsstelle als vertrauenswürdig an: open-source Atom und das in Russland ansässige Yandex.
Wenn russische Unternehmen daran gehindert werden, öffentlich vertrauenswürdige Zertifikate zu erwerben, wird sich dies insgesamt negativ auf die Internetsicherheit und damit auf die Unternehmen in Russland auswirken, da die Bürger nicht in der Lage sind, Dinge wie Einkäufe zu tätigen, Steuern zu zahlen oder Online-Banking zu betreiben.
Das Gesamtbild
Die COVID-19-Pandemie hat bereits zu ernsthaften Unterbrechungen der Lieferketten geführt. Und da viele Volkswirtschaften der Welt ihre Beziehungen zu Russland abgebrochen haben und die lokale Produktion in der Ukraine zum Erliegen gekommen ist, dürften sich diese Unterbrechungen nur noch verschlimmern.
Viele führende Politiker in der Welt wollen die Abhängigkeit ihres Landes von der globalen Lieferkette verringern. So bemühen sich Länder wie die Vereinigten Staaten um Energieunabhängigkeit, um nicht mehr auf die Einfuhr von Erdöl und anderen ausländischen Energiequellen angewiesen zu sein.
Entscheidungen wie diese sollten nicht auf die leichte Schulter genommen werden. Wenn es um den digitalen Bereich geht, könnten die längerfristigen Auswirkungen das Internet, das immer eine offene und zugängliche Plattform war, grundlegend verändern. Ein offenes Internet hängt vom Zusammenspiel zwischen technischen, wirtschaftlichen und politischen Faktoren ab. Die Errichtung von "Grenzen" für das globale Internet hat schwerwiegende Auswirkungen.
Das Certification Authority Browser Forum, auch bekannt als CA/Browser Forum, ist ein gemeinsames Gremium von Zertifizierungsstellen und gängigen Webbrowsern wie Firefox (Mozilla), Chrome (Google), Safari (Apple) und Edge (Microsoft).
Im Wesentlichen regelt das freiwillige Konsortium die Vertrauenskette, die die Sicherheit des Internets unterstützt - in diesem Fall regelt das Forum die Ausstellung und Verwaltung von öffentlich vertrauenswürdigen Zertifikaten. Eine Einschränkung der von den Mitglieds-CAs ausgestellten Zertifikate könnte ein weniger offenes Internet bedeuten.
Gegenwärtig wird der von Russland geschaffenen Zertifizierungsstelle von keinem der großen Browser vertraut, und das Verfahren zur Erlangung der Akkreditierung dauert Monate - falls das CA/Browser Forum oder Russland überhaupt daran interessiert sind, diese Maßnahme zu ergreifen.
Da jedoch die längerfristigen Auswirkungen dieser Unterbrechungen der Lieferkette zum Tragen kommen, müssen die Länder überlegen, ob ihre Organisationen in der Lage sein werden, die Wurzeln des Vertrauens effektiv zu verwalten, bevor - oder wenn - sie ihren eigenen CA-Dienst einführen. Dies wird neue Herausforderungen für Organisationen mit sich bringen, die mit den Zertifizierungsstellen in diesen Regionen zusammenarbeiten - insbesondere bei der Erstellung digitaler Zertifikate zur Authentifizierung von online ausgetauschten Informationen.
Da sich die CA- und Vertrauenslandschaft unweigerlich verändert, spielt die Kryptographie eine wichtige Rolle in jedem digitalen Dienst. Ohne die Möglichkeit, Datenübertragungen über das Internet zu verschlüsseln und damit zu sichern, wäre vieles von dem, was wir online tun, unmöglich. In Anbetracht dieser neuen Probleme wird kryptografische Flexibilität - die Fähigkeit, Prozesse schnell und einfach auf Verschlüsselung, Signaturen und Zertifikate umzustellen - für Unternehmen, die im modernen Zeitalter operieren wollen, unerlässlich sein.
Unabhängig davon, wie sich die Landschaft entwickeln wird, wirft die Gründung der russischen CA wichtige Fragen zur Zukunft des Internets auf - und verlangt von den Unternehmen, dass sie ihre Fähigkeit überdenken, sich an diese Veränderungen anzupassen und krypto-flexibel zu bleiben, um weiterhin sicher Geschäfte zu machen.
