Zwakke SSL-certificaten webwinkels gevaar voor consument
SSL-certificaten die tussen september 2006 en 13 mei 2008 op Debian-gebaseerde systemen (Ubuntu, Kubuntu, etc.) zijn gegenereerd, zijn zoals al langer bekend eenvoudig te kraken. Toch zijn er nog voldoende webwinkels die de kwetsbare certificaten gebruiken en daarmee hun bezoekers in gevaar brengen. Het Duitse Heise onderzocht duizenden server-certificaten en ontdekte dat één op de dertig een zwakke sleutel gebruikt. "Een alarmerend hoog aantal," aldus de onderzoekers. Het ging namelijk ook om certificaten van webwinkels waar mensen hun creditcardgegevens invoeren.
Browsers accepteren alleen certificaten die door een erkende Certification Authority (CA) zijn uitgegeven. Die zeggen dat ze certificaten met zwakke sleutels zullen intrekken en vervangen, maar dat blijkt dus niet het geval.
Het intrekken van een certificaat is echter niet voldoende. Veel browsers blijken standaard de server certificaten niet te controleren alsmede de Certification Revocation Lists (CRL) die ingetrokken certificaten identificeert. Idealiter zouden browsers via het Online Certificate Status Protocol (OCSP) geblokkeerde certificaten controleren. Firefox ondersteunt dit echter alleen in versie 3 en Internet Explorer 7 doet dit alleen op Windows Vista.
Het probleem wordt vergroot doordat sommige CA's OCSP niet ondersteunen. Slechts 30% van de door Heise gecontroleerde certificaten bevat OCSP URI's. Het is volgens de onderzoekers daarom aan de gebruikers dat ze de instellingen van hun browser goed zetten, anders kan een aanvaller ingetrokken certificaten nog steeds gebruiken voordat ze verlopen. Voor eigenaren van een certificaat hebben ze een tool beschikbaar gesteld die de sterkte van de sleutels controleert.
Test here whether your site's https key is insecure because
of an error in OpenSSL.
Host:
Port:
Other port:
The SSL key of http://www.abnbank.nl with the SHA1 fingerprint
B4 65 AD 57 78 BE 1D F2 53 D3 1B 36 74 A2 2A 73 BA A5 70 B1
is vulnerable. You should act as quickly as possible. Revoke
your certificate and get a new one, ensuring that you use a
new private key.
Please note the following concerning this result:
* As far as we can tell at present, all the keys on our
lists are genuinely weak keys, and therefore the test cannot
produce any false alarms.
* The list of vulnerable keys covers all common
platforms and configurations (32-/64-bit and
big-/little-endian systems; supported key lengths are 512,
1024, 2048 and 4096 bits).
* If you call up the page in your browser, an attacker
could divert the query and force a weak key on you. So
please use the SHA1 fingerprint to check that your browser
is actually using the key you tested here.
Testje gedaan voor de abnbank *vulnerable* !!!
Deze tool is gemaakt door SPI Dynamics, een recentelijk door HP overgenomen bedrijf ( www.spidynamics.com redirect naar een page bij HP.com met 'Application Security' als titel en kop).
Download van genoemde tool vindt plaats vanaf [url=https://download.spidynamics.com/products/scrawlr]https://download.spidynamics.com/products/scrawlr[/url], waarvan de Duitse Heise in [url=http://www.heise.de/security/Microsoft-warnt-vor-Angriffen-per-SQL-Injection--/news/meldung/109937]dit artikel[/url] aangeeft dat die site een kwetsbaar certificaat gebruikt.
In [url=http://www.heise.de/security/Schwache-Schluessel-auch-auf-Fritz-Boxen--/news/meldung/110052] deze Duitstalige Heise page[/url] staat dat sommige Frizt!Box routers van buggy certificaten zijn voorzien.
gebruikt. die is gewoon standaard leeg.
redirect.comlaude.com. De bank heet ook al lang geen ABN Bank meer
geloof ik... Dus of dat testje wel zoveel zegt....
The SSL key of http://www.abnbank.nl with the SHA1 fingerprint
B4 65 AD 57 78 BE 1D F2 53 D3 1B 36 74 A2 2A 73 BA A5 70 B1 is vulnerable.
...
Testje gedaan voor de abnbank *vulnerable* !!!
Op www.comlaude.com valt te lezen:
We register, maintain and renew domain names around the world for leading corporations and the law firms that work with them.
Als ik het certificaat accepteer word ik doorgestuurd naar http://www.asset.abnamro.com/portal/index.jsp, dus poort 80, waarna er een https verbinding met diezelfde site wordt opgezet, om me uiteindelijk door te sturen naar http://www.asset.abnamro.com:44380/nova/home/default.html welke geen antwoord geeft.
Overigens, www.asset.abnamro.com opgezocht op Heise geeft:
(edit 22:03 enkele url's waren corrupt)
Overigens heb ik na "systeemherstel" wel weer toegang tot mijn postvak gekregen en heb de gewraakte email van de staatloterij kunnen verwijderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.