Das Ansehen der iranischen Seeschifffahrtsbehörde erlangte kurzzeitig wieder einen sicheren Online-Zugang zu ihrer Website, nachdem eine chinesische Zertifizierungsstelle ihr ein neues digitales Zertifikat ausgestellt hatte – dann widerrief sie dieses Zertifikat, und die Angelegenheit ist noch nicht geklärt. Die Maßnahme erfolgte Wochen, nachdem die Einrichtung auf die OFAC-Sanktionsliste gesetzt worden war.
Am 10. August meldete die Persian Gulf Straits Authority (PGSA), dass ihre Website gestört worden sei, und verwies auf „den politischen Einfluss des Feindes auf die Systeme zur Bereitstellung von Internetdiensten“. Sechs Tage später, am 17. August, gab die Behörde bekannt, dass das Problem behoben sei und die sichere Domain https://pgsa.ir wieder online sei. In der Erklärung hieß es zudem, sollte das Problem künftig erneut auftreten, werde die HTTP-Domain über den Firefox-Browser wieder vorübergehend zugänglich gemacht.
Wie das Zertifikat funktionierte
Die PGSA erhielt ein neues Domain-Validated-TLS-Zertifikat von TrustAsia Technologies, einer Zertifizierungsstelle mit Sitz in Shanghai. Diese automatisierte Ausstellung bestätigt den Besitz einer Website-Domain allein durch Serverprüfungen, ohne manuelle Überprüfung oder Hintergrundchecks.
Alp Toker, der NetBlocks leitet, bestätigte, dass Iran sich an TrustAsia gewandt hatte. Das Zertifikat stellte den sicheren Zugang zur PGSA-Website wieder her, sagte er.
Als das Zertifikat ablief, wurde die Website entblößt. Die üblichen SSL/TLS-Zertifikate verschwanden, sodass die PGSA-Website über gewöhnliche Browser nicht mehr erreichbar war. Die Betreiber hatten keine andere Wahl, als auf Verbindungen ohne Verschlüsselung zurückzugreifen. Es sind keine Datenlecks bekannt geworden, die mit der Nutzung dieser ungeschützten Verbindungen zusammenhängen, und es wurde auch kein Fall gemeldet, in dem Informationen eines Betreibers abgefangen und gegen ihn verwendet wurden, weil das Zertifikat abgelaufen war.
Die fehlende Zugänglichkeit der Website führte zu einer Hinwendung zu dem, was Toker „unsichere Protokolle“ nannte, die er als „eine Klasse von Schwachstellen, die der Ausbeutung durch Regierungen offensteht, und nicht als Unternehmensverletzung oder Leck personenbezogener Daten“ beschrieb.
Er sagte, die Website sei schwerer zugänglich gewesen, weil die meisten Webbrowser die Nutzung von sicherem HTTPS nachdrücklich empfehlen. Etwaige Formulareingaben hätten leicht „abgehört werden können, weil sie während der Übertragung nicht mehr verschlüsselt sind“.
Die Sanktionswarnung
Im Mai stufte das US-Finanzministerium die Einrichtung ein und erklärte, dass die IRGC des Iran Schiffe, die die Straße von Hormus passieren, dazu veranlasse, über die sogenannte Persian Gulf Strait Authority zu zahlen. Das Finanzministerium erklärte weiter, die PGSA „steht an der Spitze eines vom Iran kontrollierten Systems, das offenkundig internationales Recht und US-Sanktionen verletzt“.
Das Finanzministerium warnte, wer mit der PGSA zusammenarbeite, „könnte Unterstützung für die IRGC leisten und Dienstleistungen von ihr erhalten, die letztlich von dieser versuchten Erpressung profitiert, und könnte daher einem Sanktionsrisiko ausgesetzt sein“.
Jeremy Paner, ein US-Sanktionsexperte und Partner bei Hughes Hubbard & Reed, riet TrustAsia, sein Compliance-Programm zu prüfen, bevor es weitere Dienstleistungen für die mit der IRGC verbundene Seefahrtsbehörde erbringe. Er ermahnte TrustAsia, zu handeln, „bevor es zu spät ist“.
Paner erklärte, die USA hätten umfassende Macht, ausländische Unternehmen zu bestrafen, die irgendeine Art von Dienstleistungen für iranische Unternehmen erbringen, die bereits mit Sanktionen belegt sind. Er merkte zudem an, dass selbst eine geringe Menge an Dienstleistungen als Grund dafür dienen könne, dass die USA Sanktionen gegen ein Unternehmen wegen Unterstützung des Iran verhängen.
Er machte deutlich, dass die Wiederherstellung des Zertifikats sanktioniertes Terrain sei. Er erklärte, dass die Rückgabe des Zertifikats an die PGSA als eine Dienstleistung gelte, die Sanktionen nach der Executive Order 13224 in ihrer geänderten Fassung stützen könne. Er erklärte außerdem, dass die Tatsache, dass die Dienstleistung automatisch erfolge, keine Bedeutung habe und nichts an ihrem sanktionsfähigen Status ändere.
Das kurze Zeitfenster des sicheren Zugangs
Vier Tage lang hatte die PGSA einen sicheren Online-Zugang wiederhergestellt, als TrustAsia ihr die Web-Zugangsdaten gab, bevor es sie widerrief. Dieses Zertifikat setzte die Website wieder in Betrieb, sodass Reedereien Anfragen von jedem Browser aus senden konnten.
Die Phase der Stabilität hielt nicht lange an. TrustAsia nahm die Zugangsdaten weg, wodurch der sichere Status der Website ohne klare Grundlage blieb.
| Ereignis | Datum | Einzelheiten |
|---|---|---|
| Website-Störung angekündigt | 10. Aug. | PGSA machte „den politischen Einfluss des Gegners auf die Systeme zur Bereitstellung von Internetdiensten“ dafür verantwortlich |
| Zertifikat ausgestellt | Nicht näher angegeben | TrustAsia stellte ein Domain-Validated-TLS-Zertifikat bereit |
| Sicherer Zugang wiederhergestellt | Vier-Tage-Fenster | PGSA-Website mit Standardbrowsern zugänglich |
| Zugangsdaten widerrufen | Innerhalb von Tagen | Zertifikat widerrufen |
| Problem als gelöst gemeldet | 17. Aug. | Die PGSA erklärte, die sichere Domain https://pgsa.ir sei wieder verfügbar |
Der chinesische Aspekt
TrustAsia bezeichnet sich selbst als „führende und professionell zertifizierte Zertifizierungsstelle in China mit ihrem Fokus auf vertrauenswürdige, sichere und kryptografische Kommunikation in der digitalen Welt“. Ihre Mission sei es, „überall in der digitalen Welt Vertrauen aufzubauen“.
Toker wies darauf hin, dass nahezu alle diese Root-Zertifizierungsstellen mit den USA zusammenarbeiten, was bedeutet, dass sie üblicherweise die US-Sanktionen mittragen. Er stellte zudem fest, dass TrustAsia „ihren eigenen Weg gegangen sei und eine China-zuerst-Zertifikatsinfrastruktur aufgebaut habe, die den Westen umgeht“.
TrustAsia habe, so beschrieb er es, „einfach ein neues Zertifikat für Irans PGSA ausgestellt, und Iran erzielte über sein sicheres Online-Portal wieder Einnahmen von Schiffen, die die Straße passierten“.
Am 20. Aug. sagte ein Sprecher von TrustAsia gegenüber Fox News Digital, das Unternehmen habe ein „Domain Validated TLS certificate für pgsa.ir“ ausgestellt. Der Sprecher sagte, das Unternehmen sei Fox dankbar, dass sie das Thema zur Sprache gebracht habe, und erklärte, DV-Zertifikate würden ausgegeben, nachdem automatische Prüfungen die Kontrolle über die angeforderten Domainnamen bestätigt hätten.
Was das für Reedereien bedeutet
Unternehmen, die zwischen den beiden Regierungen gefangen sind, befinden sich nun in einer praktischen Zwickmühle. Sie müssen Anfragen an die PGSA senden, doch die Unerreichbarkeit der Website zwingt sie, auf weniger sichere Mittel zurückzugreifen.
Der Ablauf des Zertifikats führte eine Schwachstelle ein, die von Regierungen oder anderen Parteien ausgenutzt werden könnte, die sehen können, was über das Netzwerk läuft. Toker erklärte, die Maßnahme habe den Datenverkehr in eine Form gebracht, die leicht abzufangen sei.
Die Erklärung der PGSA vom 17. Aug. schlägt eine kurzfristige Lösung vor: Sollte das Problem wieder auftreten, werde die HTTP-Domain erneut über den Firefox-Browser verfügbar gemacht. Dies ist ein Notfallplan, keine dauerhafte Lösung.
Paner gab eine Warnung über die Gefahr für TrustAsia ab. Das US-Finanzministerium besitzt weitreichende Befugnisse, Sanktionen gegen Unternehmen zu verhängen, die sanktionierten iranischen Einrichtungen Dienstleistungen erbringen, und die Tatsache, dass TrustAsias Dienst automatisch läuft, bietet keinen Schutz vor dieser Gefahr.
Unterm Strich
Ein Zertifikat wurde an eine von TrustAsia sanktionierte Einheit ausgehändigt, die es später wieder entzog. Die vier Tage, in denen ein sicherer Zugang möglich war, hat es tatsächlich gegeben, doch sie endeten, als das chinesische Unternehmen die Zugangsdaten zurückzog.
Das Finanzministerium der Vereinigten Staaten hat seine Auffassung dargelegt: Wer der PGSA Dienste leistet, begibt sich in die Gefahr, unter Sanktionen zu fallen.
Paner brachte es auf den Punkt: Die Wiederherstellung des Zertifikats ist eindeutig sanktionierbar.
Die Website der PGSA weist nach wie vor Schwachstellen auf. Unternehmen, die sich für Versandanfragen auf sie verlassen, müssen entscheiden, ob das Risiko, ihre Daten preiszugeben, die Notwendigkeit, diese Anfragen einzureichen, überwiegt.
Der sichere Zugang ist vorerst beendet. Offen bleibt die Frage, ob TrustAsia ein weiteres Zertifikat ausstellen wird – und ob das US-Finanzministerium mit Taten antworten wird.
Wo die Zeitung steht
Die Zeitung unterstützt die kleine Zertifizierungsstelle, die die Zugangsdaten ausgestellt hat, und ist gegen die große Zertifizierungsstelle, die sie widerrufen hat. Eine Zertifizierungsstelle, die einer sanktionierten Einheit Zugangsdaten ausstellt, handelt gegen das öffentliche Interesse, während die Stelle, die die Zugangsdaten dann wieder entzieht, das Richtige tut, mag es auch verspätet sein.
Die Zeitung lehnt Regeln ab, die die Eintrittskosten für kleine Unternehmen erhöhen, und sie sieht in Zertifizierungsstellen ein Feld, auf dem solche Regeln oft von den größten Akteuren geschrieben werden. Eine Zertifizierungsstelle, die außerhalb der üblichen westlichen Ausrichtung operiert und einer sanktionierten Einheit Zugangsdaten ausstellt, verhält sich wie ein kleines Unternehmen, das die Regeln einfach ignoriert hat – was etwas ganz anderes ist als ein großer, etablierter Akteur, der an der Ausarbeitung der Regeln mitwirkt, die er dann durchsetzt.
Die Zeitung unterstützt kleine Unternehmen sowohl gegen die Behörde als auch gegen den Giganten. In diesem Fall handelte die kleine Zertifizierungsstelle aus eigenem Antrieb, während die größere Stelle – diejenige, die die Zugangsdaten widerrufen hat – diejenige ist, die Unterstützung verdient. Der Widerruf zeigt, dass selbst ein kleiner Akteur mit Konsequenzen rechnen muss, wenn er das Gesetz ignoriert.
Quellenmaterial: „China firm gave Iran lifeline to collect Hormuz tolls before pulling plug amid US warning“, Fox News.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.