Microsoft überträgt nicht einfach nur ungefragt Daten, es tut dies auch ohne einen Zertifikatsschutz. Obwohl das Betriebssystem so neu ist, verzichtete Microsoft dabei auf die neue und deutlich sicherere Methode des Certificate Pinning. Prinzipiell können Angreifer über Windows verschickte Daten relativ leicht "mithören".
Du musst angemeldet sein, um Bilder zu sehen.
Wer Windows 10 bei der Installation mit den Standardeinstellungen aufspielt, der bekommt eine Art Abhöranlage ins Haus. Microsoft sammelt sehr viele Daten der User - dabei geht man offenbar nicht mal besonders sorgsam um, denn die Datenübertragungen sind nicht sicher.
Datenübertragungen von Windows 10 sind anfällig für Angriffe
Selbst, wenn man die Datenübertragungen von Windows 10 manuell einschränkt, werden noch immer Daten übertragen, von denen nicht eindeutig klar ist, um welche Daten es sich dabei handelt. Angeblich benötigt Microsoft diese, um Updates bereitsstellen zu können. Fakt ist, Windows 10 sendet ständig zu Microsoft. Nun sollte man annehmen, dass diese Übertragungen wenigstens sicher sind, doch Pustekuchen.
Microsoft nutzt für Windows 10 den inzwischen überholten Standard Certificate Authority, CA. Dabei werden die Daten zwar über SSL-Verschlüsselung gesichert, der Datenverkehr ist allerdings nicht wirklich sicher. Bei einer Übertragung kontrolliert Windows 10 nämlich nur, ob das vorgezeigte Zertifikat von der im Betriebssystem hinterlegten Zertifizierungsstelle CA stammt. Ist dies der Fall, wird es akzeptiert. Es wird nicht überprüft, ob es auch ein wirklich echtes Zertifikat ist. Dies bedeutet, dass per Man-in-the-Middle (MITM) einfach von einem CA ausgestellte Zertifikate genutzt werden können und diese von Windows 10 auch akzeptiert werden. Dies würde es Angreifern ermöglichen, über diese "nicht echten" Zertifiakte Datenübertragungen abzufangen.
Die Schwachstelle dieses CA-Systems ist schon längere Zeit bekannt und es gibt auch eine Alternative. Certificate Pinning ist deutlich sicherer, da es das Zertifikat eines Dienstes oder bestimmte Eigenschaften davon festsetzt. Beispielsweise den genutzten Schlüssel oder die ausstellende CA. Würde dem System ein anderes Zertifikat unterjubelt werden, dann würde dies sofort erkannt werden. Microsoft könnte Certificate Pinning einsetzen, da man es sogar schon beim Windows Update nutzt. Dennoch setzt man bei den Datenübertragungen weiterhin auf das CA-System.
Quelle: Gulli
