Tenminste 5 SSL-uitgevers sinds juni gehackt

26-10-2011,12:37 doorRedactie

Sinds juni van dit jaar zijn er tenminste vijf Certificate Authorities die SSL-certificaten uitgeven gehackt, zo meldt de Electronic Frontier Foundation (EFF). Via het eigen SSL Observatory bestudeerde de Amerikaanse digitale burgerrechtenbeweging alle Certificate Revocation Lists (CRLs). Hiermee kunnen uitgegeven certificaten worden ingetrokken, bijvoorbeeld als ze ten onrechte zijn uitgegeven, zoals bij DigiNotar het geval was. Bij de CRLs wordt ook de reden gemeld waarom een certificaat is ingetrokken.

Tijdens een recente scan van de CRLs kwam de EFF 248 gevallen tegen waarbij de Certificate Authority aangaf dat men gehackt was en dat daarom het certificaat moest worden ingetrokken. Zulke verklaringen werden door vijftien verschillende CA organisaties afgegeven. Bij een vorige scan in juni werd "gehackte Certificate Authority" door tien verschillende CA's als reden opgegeven.

"Aan de hand van deze gegevens kunnen we zien dat tenminste vijf Certificate Authorities de afgelopen vier maanden gehackt zijn", zegt Peter Eckersley. Volgens hem zouden via al deze incidenten de veiligheid van HTTPS-websites in het geding zijn.

Avira anti-virus beschouwt zichzelf als malware

Virus besmet Japanse ambassade in Den Haag

Reacties

26-10-2011,

13:00 door

Anoniem

+0 Rating:

Quote deze reactie | Reactie niet OK

Ach, de tijd dat CA management als een luxe bijzaak gezien kon worden is definitief voorbij.
Toch ook eigenlijk wel logisch.
We bouwen een trustmodel op basis van enkele partijen waarvan we zelf niet in de gaten houden of die wel trustworthy zijn?

Zaak is wel voor alle security-specialisten, en andersoortige (al dan niet zelfbenoemde) guru's, om dus ook goed uit te leggen dat dit niet perse een groter probleem hoeft te zijn dan dat je een corrupte postbode hebt die in je brieven snuffet, maw, het risico is klein, de gevolgen kunnen wel degelijk groot zijn.

13:48 door

"......maw, het risico is klein, de gevolgen kunnen wel degelijk groot zijn." (??)

Er wordt waarschijnlijk bedoeld:" de kans is klein, maar het risico is groot "

Risico = "Kans x Gevolgen"

16:05 door

Peter V

Er was niks aan de hand geweest als de CA hun zaken op orde hadden.

16:30 door

Het huidige systeem valt ook niet te controlleren, met het grote aantal CA's dat vertrouwt wordt.
zie ook: https://www.eff.org/files/colour_map_of_CAs.pdf

23:59 door

Erik van Straten

https://www.eff.org/deeplinks/2011/10/how-secure-https-today: Again, each of these incidents could have broken the security of any HTTPS website.

Onzin (overigens door Redactie correct vertaald met "zouden via al deze incidenten de veiligheid van HTTPS-websites in het geding zijn").

We moeten ophouden met naar gebruikers communiceren dat een slotje voor een beveiligde website staat. In het geding is niet de veiligheid van HTTPS-websites maar die van de gebruikers. Bij een PKI lek weten zij namelijk niet zeker of ze, als ze een slotje en de correcte hostnaam in de URL balk zien, daadwerkelijk met de bedoelde server communiceren.

M.i. belangrijker, met elk PKI lek is de veiligheid van alle computers die updaten (en daarbij gebruik maken van SSL/TLS verbindingen en/of PKI signed code) in het geding. Targeted attacks worden daardoor peuleschillen, en CRL's/OCSP zijn in zo'n situatie te onbetrouwbaar.

E-mail:
Wachtwoord:
Blijf 30 dagen ingelogd
Wachtwoord kwijt? Account aanmaken

Login