Met de lancering van Firefox 32 en Thunderbird 31.1 deze week worden 107.000 websites niet langer meer vertrouwd door Mozilla. De sites maken namelijk gebruik van 1024-bit RSA-sleutels die Mozilla niet meer toestaat. De maatregel volgt op advies van het National Institute of Standards and Technology (NIST), dat eerder al had geadviseerd dat 1024-bit RSA-sleutels na 2013 niet meer zouden moeten worden toegestaan.

Er wordt aangenomen dat geheime diensten in bepaalde landen al in staat zijn om 1024-bit RSA-sleutels te kraken, maar dat nieuwe technologische ontwikkelingen ervoor zorgen dat uiteindelijk ook kleinere partijen dit kunnen doen. Hierdoor wordt het mogelijk voor een aanvaller om SSL-certificaten te signeren, net zoals een legitieme Certificaat Authoriteit (CA) zou doen. Dit maakt het mogelijk om bijvoorbeeld Man-in-the-middle-aanvallen uit te voeren.

Onderzoek

Beveiligingsbedrijf Rapid7 verzamelt sinds september 2013 SSL-certificaten van websites en besloot in deze verzameling te kijken wat voor gevolgen de maatregel van Mozilla heeft. Van de 20 miljoen websites bleek dat er 107.000 certificaten van CA's gebruiken die met 1024-bit RSA-sleutels zijn gesigneerd en niet meer worden vertrouwd.

Vervolgens werd er gekeken wanneer de niet meer vertrouwde certificaten zouden verlopen. Daaruit blijkt dat een groot aantal certificaten inmiddels al is verlopen en de rest in het komende jaar verloopt. Opmerkelijk was dat 13.000 websites een certificaat gebruiken dat al in juli van dit jaar was verlopen. Verder onderzoek wees uit dat ze van Vodafone waren, maar nog altijd in gebruik zijn.

"Samengevat, het opzeggen van het vertrouwen in deze certificaten is een goede beslissing gebaseerd op de aanbevelingen van het NIST. En hoewel het in eerste instantie leek dat een groot aantal sites hierdoor getroffen wordt, blijkt dat de meerderheid van deze sites al verlopen certificaten gebruiken of dat het certificaat dit jaar verloopt", zegt Jody Nickel van Rapid7. Hij hoopt dat Chrome en andere browsers het voorbeeld van Mozilla zullen volgen.