Firefoxgebruikers in problemen door ssl-filter virusscanner
Sinds 1 januari van dit jaar kunnen sommige Firefoxgebruikers geen https-sites meer bezoeken, omdat hun virusscanner het versleutelde verkeer probeert te onderscheppen. Mozilla besloot om sinds dit jaar nieuwe ssl-certificaten die met het sha-1-algoritme zijn gesigneerd in Firefox te blokkeren, maar is vanwege de problemen bij gebruikers daar nu op teruggekomen.
Het sha-1-algoritme wordt gebruikt voor het signeren van ssl-certificaten. De veiligheid van het algoritme ligt al langere tijd onder vuur omdat het steeds kwetsbaarder voor collision-aanvallen wordt. Bij een collision-aanval is het mogelijk om een vals ssl-certificaat te maken, waarbij de sha-1-hash nog steeds overeenkomt met de hash van het legitieme certificaat dat door een Certificaat Autoriteit is uitgegeven.
De ingevoerde sha-1-blokkade heeft voor Firefoxgebruikers met ongefilterde toegang tot het internet weinig impact en volgens Mozilla zal deze groep er dan ook weinig van merken. Dat geldt niet voor Firefoxgebruikers die achter 'man-in-the-middle-oplossingen' zitten, zoals anti-virusprogramma's en beveiligingspakketten die https-verkeer filteren. De aanpassing van Firefox zorgt er namelijk voor dat deze gebruikers geen https-sites meer kunnen bezoeken.
Als deze gebruikers een https-site bezoeken stuurt de virusscanner of het beveiligingspakket dat de man-in-the-middle uitvoert een nieuw sha-1-certificaat naar Firefox, in plaats van het echte ssl-certificaat van de website. Op deze manier kan het verkeer worden gefilterd en gecontroleerd. Aangezien Firefox sinds 1 januari nieuwe sha-1-certificaten blokkeert, kan er geen verbinding met de website worden gemaakt. De website maakt in dit geval gebruik van een sha-1-certificaat dat voor 1 januari 2016 is uitgegeven. Deze certificaten worden nog niet door Firefox geblokkeerd. De virusscanner genereert echter een certificaat met een datum na 1 januari 2016, dat wel wordt geblokkeerd.
Oplossing
Gebruikers die hiermee te maken hebben krijgen van Mozilla het advies om een nieuwe versie van Firefox te installeren. In deze versie is sha-1-ondersteuning namelijk weer ingeschakeld, om problemen bij sommige Firefoxgebruikers met anti-virusprogramma's te voorkomen. Dit moet wel handmatig via een andere browser gebeuren, omdat Firefox-updates alleen over https worden aangeboden, wat bij deze gebruikers niet zal werken. Technische gebruikers kunnen Firefox zo instellen dat sha-1-certificaten toch worden geaccepteerd. Verder kan het ook helpen om de virusscanner te updaten, omdat sommige fabrikanten zijn gestopt met het gebruik van sha-1. Uiteindelijk wil Firefox de sha-1-blokkade voor nieuwe ssl-certificaten doorzetten, maar wanneer dit nu zal zijn is onbekend.
Als je een MitM uitvoert, doe het dan tenminste veilig en zorg ervoor dat als de markt richting veiliger certificaatgebruik beweegt, dus het afstand doen van sha1, jij als "av (kom maar hier met je centjes) boer" daarin mee voorop loopt.
Anders gezegd, valt dit niet in de categorie vette deegwaren rozijnen in vet als je dat niet doet?
If you want to avoid reinstalling, advanced users can fix their local copy of Firefox by going to about:config and changing the value of “security.pki.sha1_enforcement_level” to 0 (which will accept all SHA-1 certificates).
If you want to avoid reinstalling, advanced users can fix their local copy of Firefox by going to about:config and changing the value of “security.pki.sha1_enforcement_level” to 0 (which will accept all SHA-1 certificates).
Wil je dit niet teruggedraaid hebben?
Het stond zo en kan je dus zelf weer zo zetten onder je about:config.
Het was aardig geweest als er ook een uitleg was geweest bij andere mogelijke settings als "1" , "2" , 3?
security.pki.sha1_enforcement_level;2
Het was aardig geweest als er ook een uitleg was geweest bij andere mogelijke settings als "1" , "2" , 3?
0 = SHA-1 toestaan
1 = SHA-1 verbieden
2 = SHA-1 toestaan tot aan 1 januari 2016
(bron: https://bugzilla.mozilla.org/show_bug.cgi?id=942515)
Goeroehoedjes
Ik heb op Bugzilla deze uitleg van de levels gevonden:
0 = allow SHA-1
1 = forbid SHA-1
2 = allow SHA-1 only if notBefore < 2016-01-01
Deze posting is gelocked. Reageren is niet meer mogelijk.
CTF/Challenge Developer
Wil jij ook werken bij het leukste securitybedrijf van Nederland en je coding skills in te zetten voor het ontwikkelen van de nieuwste security challenges voor onze klanten en evenementen zoals bijvoorbeeld #CTC2019 en #ECSC2019?