Het Tor Project waarschuwt voor het risico van man-in-the-middle (MiTM)-aanvallen via certificaten van certificaatautoriteit eMudhra en heeft updates uitgebracht voor Tor Browser en Tails, het op privacy gerichte besturingssysteem. Deze week bleek dat eMudhra acht zeer zwakke key pairs gebruikte voor de intermediate certificaten waarmee het certificaten uitgeeft. De private keys van deze key pairs waren eenvoudig te achterhalen. Vervolgens had een aanvaller certificaten voor willekeurige websites kunnen uitgeven en zo phishing- en MiTM--aanvallen kunnen uitvoeren.
"Via één van de gecompromitteerde intermediate certificaten had een aanvaller zich als elke website kunnen voordoen, zelfs wanneer de verbinding is beveiligd met HTTPS", aldus het Tor Project. "Deze aanval zou kunnen worden uitgevoerd door een Tor-exitnode, de internetprovider van een exitnode of een overheid. Onion-sites zijn niet kwetsbaar." Het Tor Project benadrukt dat het op dit moment niet bekend is met exitnodes die een dergelijke aanval uitvoeren.
Vanwege de ernst van de situatie zijn er updates uitgebracht om de certificaten van eMudhra te blokkeren. Gebruikers van Tor Browser worden opgeroepen om te updaten naar Tor Browser 15.0.26. Voor gebruikers van Tails, een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen, is Tails 7.15.1 verschenen. Grote browserleveranciers zoals Mozilla, Microsoft, Google en Apple hebben de certificaten inmiddels ook geblokkeerd. Gisteren maakte eMudhra bekend als certificaatautoriteit te stoppen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Functionaris Gegevensbescherming (FG)
Wil jij met jouw privacykennis impact maken op de zorg? Je adviseert ruim 150 zorgorganisaties over privacy, gegevens bescherming en de verantwoorde inzet van data en AI. Je werkt aan regionale vraagstukken, schakelt met bestuurders en experts en krijgt volop ruimte voor ontwikkeling, opleiding en flexibiliteit.
Chief Information Security Officer
Wil jij richting geven aan informatie-veiligheid binnen twee gemeenten die digitaal volop in ontwikkeling zijn? Zoek je een rol waarin strategie, beleid en samenwerking samenkomen? Dan ma-ken we graag kennis met je.
