Security: Blizzard installiert selbstsigniertes Zertifikat mit Root

In einem Community-Forum auf Reddit haben sich Informationen zu einer umstrittenden Entscheidung von Blizzard Entertainment gesammelt. In einer neuen Version des Spieleclients Blizzard App werden selbstsignierte Zertifikate mit Rootrechten ausgestellt. Nutzer fragen sich, warum Blizzard das tut.

Der ursprüngliche Post kam vom Nutzer chort0, der bei einer Aktualisierung des Moba-Spieles Heroes of the Storm eine Anfrage von der Blizzard App erhalten hatte. Die Software wollte das Administrator-Passwort wissen. Er prüfte daraufhin die Aktivitätsübersicht auf seinem MacOS-Gerät und konnte feststellen, dass die App das Zertifikat installiert hat.

• 

Blizzards Zertifikat installiert sich einfach von selbst. (Bild: chort0/Reddit)

Auf diesen Post folgten 375 Antworten und eine Antwort von Blizzard selbst, die den Sinn des Zertifikates erklärt. Es soll Konten von sozialen Netzwerken wie Facebook und Twitter im Browser mit der dedizierten Blizzard-Software verbinden - beispielsweise um sich mit dem Social-Media-Account bei Battle.net anzumelden. Das Zertifikat validiert den Host localbattle.net und wird über den Localhost 127.0.0.1 signiert. Es zu löschen soll nicht viel nützen, da es sich immer wieder neu installiert. Eine Lösung: dem Zertifikat nicht zu vertrauen.

Blizzard begründet sein Vorgehen

Dass Blizzard das Zertifikat so implementiert, begründet das Unternehmen in einem separaten Post. Das ursprüngliche Zertifikat wurde von einer öffentlichen Zertifikatsstelle signiert. Das sei mittlerweile aber mit den Certificate Authority policies inkompatibel und daher nicht mehr nutzbar. Blizzard habe deshalb ein eigenes Zertifikat implementiert, da einige Browser die Web-zu-App-Kommunikation sonst nicht umsetzen können.