Het internet gonst van de geruchten over een nieuwe, grote aanval op een belangrijk deel van de infrastructuur, dat vanmiddag om 15:15 tijdens het Chaos Communication Congress in Berlijn zal worden onthuld. Veel details over de presentatie van Jacob Appelbaum en Alexander Sotirov zijn nog niet bekend, aangezien de beschrijving ervan zwaar gecensureerd is, maar beveiligingsonderzoeker Petko Petkov maakt de vergelijking met Dan Kaminsky's presentatie.

Nepcertificaat?
Petkov denkt dat het iets met een belangrijk routing protocol zoals BGP te maken heeft. "Ik denk dat de aanval enorm indrukwekkend zal zijn." Collega David Maynor besloot de gecensureerde beschrijving te ontcijferen en denkt dat het met een aanval op PKI (public key cryptography) te maken heeft. Er zijn al langer problemen met SHA-1 bekend. Maynor vermoedt dat aanvallers twee certificaten kunnen genereren die dezelfde hash waarde opleveren. De eerste zou voor Paypal zijn en een tweede voor een andere website. Een Certificate Authority, zoals VeriSign" tekent het certificaat van de andere website, en daarmee ook het certificaat voor PayPal.

"De aanvaller is dan voor de rest van de wereld PayPal. Het gaat niet alleen om SSL, maar de hele vertrouwensketen die op PKI is gebaseerd." Na wat verder onderzoek van de beschrijving weet Maynor het zeker. "Ik wed dat ze over een nepcertificaat beschikken die gewoon werkt. Ze hebben bijvoorbeeld een nepcertificaat voor www.paypal.com gemaakt dat de browser gewoon zal accepteren, zonder waarschuwingen af te geven."

Indrukwekkend
H.D. Moore, de man achter de populaire hackertool Metasploit, is vanwege drie zaken onder de indruk van het werk van de twee onderzoekers. Ten eerste hebben academici en onafhankelijke beveiligingsonderzoekers nauw samengewerkt. Volgens Moore een zeer lastige taak, omdat het bijna onmogelijk is om tot een overeenkomst te komen over wat je gaat publiceren.

Ten tweede is voor het onderzoek een enorme hoeveelheid rekenkracht vereist. Door middelen als Amazon EC2 is de techniek nu haalbaar voor criminele organisaties, botnetbeheerders en staat sponsoren. Daarnaast hoeft de aanval slechts één keer te worden uitgevoerd om maanden en zelfs jaren later er nog van te profiteren. Daardoor verdienen de investeringen zich vanzelf terug. Als laatste hebben de onderzoekers de aanval ook daadwerkelijk uitgevoerd en verkondigen ze geen gebakken lucht. Om 15:15 vanmiddag weten we het.