Hackers hebben tijdens de Black Hat conferentie in Las Vegas aangetoond hoe ze de SSL-certificaten van alle websites op het internet kunnen nabootsen. Het probleem zit hem in de manier waarop SSL-certificaten worden uitgegeven en browsers ze implementeren. "Deze kwetsbaarheid treft alle SSL implementaties, omdat iedereen die geprobeerd heeft SSL te implementeren dezelfde fout maakte", zegt Moxie Marlinspike. Normaliter kan een aanvaller met een website, bijvoorbeeld nepsite.com, geen certificaat voor paypal.com aanvragen, aangezien hij daar niet de eigenaar van is.

Een Certificate Authority (CA) kijkt voor het uitgeven van een SSL-certificaat naar de Whois-gegevens van een domein en stuurt ter controle een e-mail naar de eigenaar. Een aanvaller kan echter wel voor een subdomein van zijn site een SSL-certificaat aanvragen, bijvoorbeeld voor Paypal.com\0.nepsite.com. De CA zal in dit geval gewoon een certificaat uitgeven, aangezien de aanvaller kan aantonen dat hij de eigenaar van zijn eigen site is. De truc van Marlinspike bestaat uit het opnemen van een "null-byte" in de aanvraag voor een SSL-certificaat.

Firefox
Vanwege een fout in de manier waarop browsers SSL-certificaten implementeren, is het mogelijk om die te laten geloven dat het van een andere site afkomstig is, in dit geval van PayPal. De browser stopt na de null-byte met het lezen van de overige karakters. Een aanvaller die een wildcard domein registreert, bijvoorbeeld *\0.nepsite.com, krijgt dan een certificaat waarmee hij zich als alle sites op het internet kan voordoen. Volgens Marlinspike is op dit moment alleen Firefox 3.5 niet kwetsbaar voor dit probleem en werkt Mozilla aan een oplossing voor Firefox 3.0. Wat betreft de null-byte is het onduidelijk waarom Certificate Authorities die accepteren, aangezien er geen legitieme reden is om die in een domeinnaam te hebben.