Zwakke SSL-certificaten webwinkels gevaar voor consument
SSL-certificaten die tussen september 2006 en 13 mei 2008 op Debian-gebaseerde systemen (Ubuntu, Kubuntu, etc.) zijn gegenereerd, zijn zoals al langer bekend eenvoudig te kraken. Toch zijn er nog voldoende webwinkels die de kwetsbare certificaten gebruiken en daarmee hun bezoekers in gevaar brengen. Het Duitse Heise onderzocht duizenden server-certificaten en ontdekte dat één op de dertig een zwakke sleutel gebruikt. "Een alarmerend hoog aantal," aldus de onderzoekers. Het ging namelijk ook om certificaten van webwinkels waar mensen hun creditcardgegevens invoeren.
Browsers accepteren alleen certificaten die door een erkende Certification Authority (CA) zijn uitgegeven. Die zeggen dat ze certificaten met zwakke sleutels zullen intrekken en vervangen, maar dat blijkt dus niet het geval.
Het intrekken van een certificaat is echter niet voldoende. Veel browsers blijken standaard de server certificaten niet te controleren alsmede de Certification Revocation Lists (CRL) die ingetrokken certificaten identificeert. Idealiter zouden browsers via het Online Certificate Status Protocol (OCSP) geblokkeerde certificaten controleren. Firefox ondersteunt dit echter alleen in versie 3 en Internet Explorer 7 doet dit alleen op Windows Vista.
Het probleem wordt vergroot doordat sommige CA's OCSP niet ondersteunen. Slechts 30% van de door Heise gecontroleerde certificaten bevat OCSP URI's. Het is volgens de onderzoekers daarom aan de gebruikers dat ze de instellingen van hun browser goed zetten, anders kan een aanvaller ingetrokken certificaten nog steeds gebruiken voordat ze verlopen. Voor eigenaren van een certificaat hebben ze een tool beschikbaar gesteld die de sterkte van de sleutels controleert.
Test here whether your site's https key is insecure because
of an error in OpenSSL.
Host:
Port:
Other port:
The SSL key of http://www.abnbank.nl with the SHA1 fingerprint
B4 65 AD 57 78 BE 1D F2 53 D3 1B 36 74 A2 2A 73 BA A5 70 B1
is vulnerable. You should act as quickly as possible. Revoke
your certificate and get a new one, ensuring that you use a
new private key.
Please note the following concerning this result:
* As far as we can tell at present, all the keys on our
lists are genuinely weak keys, and therefore the test cannot
produce any false alarms.
* The list of vulnerable keys covers all common
platforms and configurations (32-/64-bit and
big-/little-endian systems; supported key lengths are 512,
1024, 2048 and 4096 bits).
* If you call up the page in your browser, an attacker
could divert the query and force a weak key on you. So
please use the SHA1 fingerprint to check that your browser
is actually using the key you tested here.
Testje gedaan voor de abnbank *vulnerable* !!!
Deze tool is gemaakt door SPI Dynamics, een recentelijk door HP overgenomen bedrijf ( www.spidynamics.com redirect naar een page bij HP.com met 'Application Security' als titel en kop).
Download van genoemde tool vindt plaats vanaf [url=https://download.spidynamics.com/products/scrawlr]https://download.spidynamics.com/products/scrawlr[/url], waarvan de Duitse Heise in [url=http://www.heise.de/security/Microsoft-warnt-vor-Angriffen-per-SQL-Injection--/news/meldung/109937]dit artikel[/url] aangeeft dat die site een kwetsbaar certificaat gebruikt.
In [url=http://www.heise.de/security/Schwache-Schluessel-auch-auf-Fritz-Boxen--/news/meldung/110052] deze Duitstalige Heise page[/url] staat dat sommige Frizt!Box routers van buggy certificaten zijn voorzien.
gebruikt. die is gewoon standaard leeg.
redirect.comlaude.com. De bank heet ook al lang geen ABN Bank meer
geloof ik... Dus of dat testje wel zoveel zegt....
The SSL key of http://www.abnbank.nl with the SHA1 fingerprint
B4 65 AD 57 78 BE 1D F2 53 D3 1B 36 74 A2 2A 73 BA A5 70 B1 is vulnerable.
...
Testje gedaan voor de abnbank *vulnerable* !!!
Op www.comlaude.com valt te lezen:
We register, maintain and renew domain names around the world for leading corporations and the law firms that work with them.
Als ik het certificaat accepteer word ik doorgestuurd naar http://www.asset.abnamro.com/portal/index.jsp, dus poort 80, waarna er een https verbinding met diezelfde site wordt opgezet, om me uiteindelijk door te sturen naar http://www.asset.abnamro.com:44380/nova/home/default.html welke geen antwoord geeft.
Overigens, www.asset.abnamro.com opgezocht op Heise geeft:
(edit 22:03 enkele url's waren corrupt)
Overigens heb ik na "systeemherstel" wel weer toegang tot mijn postvak gekregen en heb de gewraakte email van de staatloterij kunnen verwijderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
