Onderzoeker: rootcertificaten stilletjes aan Windows toegevoegd
Microsoft heeft stilletjes 18 nieuwe rootcertificaten aan Windows toegevoegd, zonder dat hier ergens melding van is gemaakt. Dat beweert een onderzoeker met het alias "Hexatomium". Rootcertificaten bepalen welke SSL-certificaten door het besturingssysteem worden vertrouwd.
Het is daarom belangrijk om te weten van welke organisaties en certificaatautoriteiten het rootcertificaat is toegevoegd. De onderzoeker meldt dat hij de nieuwe rootcertificaten via de RCC-auditingtool heeft ontdekt. Via het programma kunnen gebruikers controleren welke rootcertificaten er in de Windows root CA store aanwezig horen te zijn en welke er stilletjes zijn toegevoegd.
Behalve de SHA1-hash van de certificaten en naam van de bijbehorende certificaatautoriteit is er nog geen aanvullende informatie beschikbaar. Op Hacker News laat een gebruiker weten dat de certificaatautoriteit met de naam RXC-C2 eigenlijk Cisco is. Opmerkelijk genoeg stelt Cisco in de eigen documentatie over het Cisco RXC certificaatbeleid (pdf) dat certificaatautoriteiten altijd betekenisvolle namen moeten gebruiken. Veder staan in de lijst van toegevoegde rootcertificaten onder andere certificaten van de Zweedse, Tunesisch en Indiase overheid.
Nu is deze site niet zo bijzonder, maar onhandig is het wel.
Nu is deze site niet zo bijzonder, maar onhandig is het wel.
Zou die website niet een Trojaans paard kunnen zijn!!
Ik kan ze niet vinden, en ga zeker geen software uit dubieuze bron gebruiken om het te controleren?
Je kunt ze standaard ook niet zien in Windows er worden maar een paar standaard meegeleverd, Windows heeft een library/API 'schannel' (spreekt uit als: s-channel want het staat voor Secure Channel) die wordt gebruikt door bepaalde Windows applicaties zoals IE om beveiligde verbindingen op te zetten.
De CA-lijst in Windows wordt voornamelijk gebruikt alleen door schannel applicaties.
De default instelling is dat schannel automatisch probeert nieuwe root-certificaten te downloaden als een applicatie een CA tegen komt die nog niet in de Windows lijst staat op jouw machine staat. Een CA-root-certificaat wordt dan automatisch gedownload van een Microsoft server. Natuurlijk alleen als Microsoft deze CA kent en 'veilig acht'.
Dit kan dus ook een speciale CA van de FBI, CIA of NSA of andere organisatie die jij mogelijk niet vertrouwd zijn met om het te verbergen de zelfde naam als een bestaande CA. Daar heb jij met de default instellingen helemaal geen invloed op.
Een andere manier om de CA-lijst op jouw machine bij te werken is via Windows update, Windows update wordt gebruikt om de 'root certificates' soms te updates (toevoegen en blacklisten: denk aan bijvoorbeeld DigiNotar).
Dus als er 17 of 18 nieuwe bij zijn gekomen dat maakt weinig uit als je de default instelling aan hebt staan en/of Windows updates want Microsoft heeft dus volledige controle over welke CAs zou machine vertrouwd.
Zou die website niet een Trojaans paard kunnen zijn!!
Het is een forum site over security onderwerpen.
Ik denk dat het risico wel te overzien is. (het helpt natuurlijk ook als je noscript in je browser hebt)
Zou die website niet een Trojaans paard kunnen zijn!!
Wilders Security Forums, of de trax.x10.mx/apps.html download locatie voor de RCC applicatie, of de RCC applicatie zelf?
Wat Wilders Security Forums betreft, dat is een keurig security forum.
En wat betreft de https-pagina van Wilders Security Forums, als je browser daarmee een SSL foutmelding geeft, dan pak je simpelweg de http-pagina.
Lees: https://nl.wikipedia.org/wiki/Secure_Sockets_Layer
Lees: https://nl.wikipedia.org/wiki/Secure_Sockets_Layer
Klinkt goed, maar volgens mij werken we met betaalde certificates, omdat iemand anders dan controleert of het klopt. Een self-signed certificate is niet te controleren, wanneer ik een besmette kopie van een site maak, en gebruik net als het origineel een self-signed certificate, dan valt alle controle weg.
Voor de werking van de encryptie heeft het geen effect, dat klopt, maar voor de verificatie van de verzender wel! Natuurlijk vooropgesteld, dat de leverancier van het certificaat zijn boeltje op orde heeft en geen diginotar speelt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.