De beveiligingsonderzoeker wiens onderzoek werd gebruikt voor het maken van een nep SSL-certificaat voor Paypal.com, is hiervoor door de betalingsdienst gestraft. PayPal besloot het account van Moxie Marlinspike uit te schakelen, ook al had hij niets met het SSL-certificaat te doen dat gisteren verscheen. Via dat certificaat is het mogelijk om gebruikers van Internet Explorer, Safari en Google Chrome een PayPal phishingsite voor te schotelen, zonder dat de browser hiervoor alarm staat. De aanval is deels mogelijk vanwege een beveiligingslek in een library van Microsoft, dat nog altijd op een patch wacht.

Donaties
Volgens PayPal zou de onderzoeker de regels overtreden hebben, wat betekent dat hij niet meer bij de 500 dollar kan die nog op zijn account stond. Marlinspike heeft twee gratis hacktools ontwikkeld, SSLSniff en SSLStrip. Gebruikers kunnen via PayPal een donatie aan de de hacker doen. De knoppen staan al sinds 2002 op zijn pagina, maar na het uitkomen van het certificaat nam PayPal pas actie.

Om weer toegang tot zijn account te krijgen moet Marlinspike de PayPal logo's van zijn website verwijderen. "Ik heb hier niets mee te maken en ze schorsen mijn account. Ik ben degene die ze in de eerste plaats heeft geprobeerd te waarschuwen", aldus een ontstemde onderzoeker. Een woordvoerder van PayPal wilde niet op de zaak ingaan.