14% SSL-certificaten met kwetsbaar algoritme gemaakt
Veertien procent van alle SSL-certificaten op het web is gemaakt met het kwetsbare MD5-algoritme, zo blijkt uit onderzoek van internetbedrijf Netcraft. Onderzoekers bekeken 135.000 legitieme SSL-certificaten. Hackers maakten op 30 december bekend dat ze met behulp van 200 PlayStations 3 met MD5 gegenereerde SSL-certificaten konden vervalsen. Naast het overstappen op SHA-1 als algoritme, biedt ook het gebruik van Extended Validation (EV) SSL uitkomst. De standaard vereist het gebruik van SHA-1 of beter. De onderzoekers ontdekten dan ook geen op MD5-gebaseerde EV certificaten. Netcraft hoopt dat browserontwikkelaars zoals Microsoft en Mozilla uitgevers van SSL-certificaten gaan verplichten om met het gebruik van MD5 te stoppen.
Toelichting: zoals de onderzoekers [url=http://www.win.tue.nl/hashclash/rogue-ca/]zelf aangeven[/url] kunnen zij bestaande MD5 certificaten niet wijzigen. Voor de aanval is gebruik gemaakt van speciaal geprepareerde ongesigneerde certificaten, ook bekend als CSR's ([url=http://en.wikipedia.org/wiki/Certificate_signing_request]Certificate Signing Request[/url]). Alleen dergelijke certificaten kunnen onder complexe omstandigheden (timing, en voorkennis van serienummers) worden vervalst.
Uit de [url=http://www.win.tue.nl/hashclash/rogue-ca/#sec8]FAQ van de onderzoekers[/url]:
Answer. Nothing at this point. Digital certificates legitimately obtained from all CAs can be believed to be secure and trusted, even if they were signed with MD5. Our method required the purchase of a specially crafted digital certificate from a CA and does not affect certificates issued to any other regular website.
Nee... maar de certificaten van die 14% zijn gemakkelijker na te maken door aanvallers.
Nee... maar de certificaten van die 14% zijn gemakkelijker na te maken door aanvallers.
Nope, je hebt het niet begrepen, en netcraft ook niet. Het aantal MD-5-signed certs doet helemaal niet ter zake. Het gaat erom dat er 1 CA is die aan enkele voorwaarden voldoet (voldeed, want ze hebben eea gefixed), waardor het mogelijk is (was, dus) om voor die CA (RapidSSL) een fake CA cert te maken. Met dit certificaat kunnen ALLE websites op het internet worden gefaked, omdat de browsers dit herkennen en als echt aanmerken. Dus niet 14%, maar 100% van alle sites is 'at risk'.
groeten!
Nee... maar de certificaten van die 14% zijn gemakkelijker na te maken door aanvallers.
Nope, je hebt het niet begrepen, en netcraft ook niet. Het aantal MD-5-signed certs doet helemaal niet ter zake. Het gaat erom dat er 1 CA is die aan enkele voorwaarden voldoet (voldeed, want ze hebben eea gefixed), waardor het mogelijk is (was, dus) om voor die CA (RapidSSL) een fake CA cert te maken. Met dit certificaat kunnen ALLE websites op het internet worden gefaked, omdat de browsers dit herkennen en als echt aanmerken. Dus niet 14%, maar 100% van alle sites is 'at risk'.
groeten!
In het artikel staat:
- ... 14% of valid third party SSL certificates have been issued using MD5 signatures ...
- ... an algorithm that has recently been demonstrated to be vulnerable to attack by ...
- ... SHA1 is well established and is already in use for the majority of SSL certificate signing ...
- As such, there is no particular risk to existing SSL certificates signed with MD5, and they do not need to be replaced.
Anoniem kan je nog eens uitleggen hoe je er bij komt dat 100% van ALLE sites 'at risk' is?
Groeten!
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.