Firefoxgebruikers in problemen door ssl-filter virusscanner
Sinds 1 januari van dit jaar kunnen sommige Firefoxgebruikers geen https-sites meer bezoeken, omdat hun virusscanner het versleutelde verkeer probeert te onderscheppen. Mozilla besloot om sinds dit jaar nieuwe ssl-certificaten die met het sha-1-algoritme zijn gesigneerd in Firefox te blokkeren, maar is vanwege de problemen bij gebruikers daar nu op teruggekomen.
Het sha-1-algoritme wordt gebruikt voor het signeren van ssl-certificaten. De veiligheid van het algoritme ligt al langere tijd onder vuur omdat het steeds kwetsbaarder voor collision-aanvallen wordt. Bij een collision-aanval is het mogelijk om een vals ssl-certificaat te maken, waarbij de sha-1-hash nog steeds overeenkomt met de hash van het legitieme certificaat dat door een Certificaat Autoriteit is uitgegeven.
De ingevoerde sha-1-blokkade heeft voor Firefoxgebruikers met ongefilterde toegang tot het internet weinig impact en volgens Mozilla zal deze groep er dan ook weinig van merken. Dat geldt niet voor Firefoxgebruikers die achter 'man-in-the-middle-oplossingen' zitten, zoals anti-virusprogramma's en beveiligingspakketten die https-verkeer filteren. De aanpassing van Firefox zorgt er namelijk voor dat deze gebruikers geen https-sites meer kunnen bezoeken.
Als deze gebruikers een https-site bezoeken stuurt de virusscanner of het beveiligingspakket dat de man-in-the-middle uitvoert een nieuw sha-1-certificaat naar Firefox, in plaats van het echte ssl-certificaat van de website. Op deze manier kan het verkeer worden gefilterd en gecontroleerd. Aangezien Firefox sinds 1 januari nieuwe sha-1-certificaten blokkeert, kan er geen verbinding met de website worden gemaakt. De website maakt in dit geval gebruik van een sha-1-certificaat dat voor 1 januari 2016 is uitgegeven. Deze certificaten worden nog niet door Firefox geblokkeerd. De virusscanner genereert echter een certificaat met een datum na 1 januari 2016, dat wel wordt geblokkeerd.
Oplossing
Gebruikers die hiermee te maken hebben krijgen van Mozilla het advies om een nieuwe versie van Firefox te installeren. In deze versie is sha-1-ondersteuning namelijk weer ingeschakeld, om problemen bij sommige Firefoxgebruikers met anti-virusprogramma's te voorkomen. Dit moet wel handmatig via een andere browser gebeuren, omdat Firefox-updates alleen over https worden aangeboden, wat bij deze gebruikers niet zal werken. Technische gebruikers kunnen Firefox zo instellen dat sha-1-certificaten toch worden geaccepteerd. Verder kan het ook helpen om de virusscanner te updaten, omdat sommige fabrikanten zijn gestopt met het gebruik van sha-1. Uiteindelijk wil Firefox de sha-1-blokkade voor nieuwe ssl-certificaten doorzetten, maar wanneer dit nu zal zijn is onbekend.
Als je een MitM uitvoert, doe het dan tenminste veilig en zorg ervoor dat als de markt richting veiliger certificaatgebruik beweegt, dus het afstand doen van sha1, jij als "av (kom maar hier met je centjes) boer" daarin mee voorop loopt.
Anders gezegd, valt dit niet in de categorie vette deegwaren rozijnen in vet als je dat niet doet?
If you want to avoid reinstalling, advanced users can fix their local copy of Firefox by going to about:config and changing the value of “security.pki.sha1_enforcement_level” to 0 (which will accept all SHA-1 certificates).
If you want to avoid reinstalling, advanced users can fix their local copy of Firefox by going to about:config and changing the value of “security.pki.sha1_enforcement_level” to 0 (which will accept all SHA-1 certificates).
Wil je dit niet teruggedraaid hebben?
Het stond zo en kan je dus zelf weer zo zetten onder je about:config.
Het was aardig geweest als er ook een uitleg was geweest bij andere mogelijke settings als "1" , "2" , 3?
security.pki.sha1_enforcement_level;2
Het was aardig geweest als er ook een uitleg was geweest bij andere mogelijke settings als "1" , "2" , 3?
0 = SHA-1 toestaan
1 = SHA-1 verbieden
2 = SHA-1 toestaan tot aan 1 januari 2016
(bron: https://bugzilla.mozilla.org/show_bug.cgi?id=942515)
Goeroehoedjes
Ik heb op Bugzilla deze uitleg van de levels gevonden:
0 = allow SHA-1
1 = forbid SHA-1
2 = allow SHA-1 only if notBefore < 2016-01-01
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.