Google heeft valse SSL-certificaten ontdekt die voor verschillende Google-domeinen waren uitgegeven en gebruikt hadden kunnen worden om internetgebruikers mee aan te vallen. De valse SSL-certificaten waren recent door een Indiase uitgever van SSL-certificaten uitgegeven en op 2 juli ontdekt.

SSL-certificaten worden gebruikt voor het identificeren van websites en het versleutelen van internetverkeer. Via de valse certificaten is het mogelijk voor een aanvaller die zich tussen bijvoorbeeld de gebruiker en een website bevindt om het verkeer te ontsleutelen en zo toegang tot gevoelige informatie te krijgen.

Vertrouwen

De valse SSL-certificaten in kwestie waren door het Indiase National Informatics Centre (NIC) uitgegeven dat weer door de Indiase Controller van Certifying Authorities (India CCA) wordt vertrouwd. De certificaten van India CCA staan standaard in de Microsoft Root Store en worden zodoende door een groot deel van de programma's die op Windows draaien vertrouwd, waaronder Internet Explorer en Google Chrome.

Doordat India CCA de SSL-certificaten van het Indiase NIC vertrouwt, vertrouwen ook de programma's op Windows die. Dit geldt echter niet voor Mozilla Firefox, omdat deze browser over een eigen root store beschikt waar de certificaten van India CCA niet in voorkomen. Ook in de root stores van andere besturingssystemen komt India CCA niet voor.

Daarnaast beschikt Google Chrome over een extra beveiligingsmaatregel zodat het valse SSL-certificaten die door een legitieme partij zijn uitgegeven toch kan herkennen. Zo werden de valse SSL-certificaten ontdekt die voor verschillende Google-domeinen bij de inmiddels failliete Beverwijkse SSL-uitgever DigiNotar waren uitgegeven.

Waarschuwing

Na de ontdekking op 2 juli waarschuwde Google zowel het Indiase NIC als India CCA en Microsoft over het incident en verstuurde een update waardoor de valse SSL-certificaten binnen Google Chrome werden geblokkeerd. Een dag later liet India CCA weten dat ze alle intermediate certificaten van het Indiase NIC heeft ingetrokken. Wederom bracht Google een update uit, waardoor deze certificaten van het Indiase NIC ook in Google Chrome werden ingetrokken.

Volgens Google zijn er geen aanwijzingen dat de valse SSL-certificaten op grote schaal zijn misbruikt en gebruikers zouden dan ook niet hun wachtwoorden hoeven te wijzigen. Aangezien het onderzoek naar het incident nog loopt zijn er geen verdere details beschikbaar.