Tor, de software om anoniem mee te surfen, heeft het Nederlandse DigiNotar een "internet-doodstraf" gegeven omdat het geen vertrouwen meer in de certificaten van het bedrijf heeft. Aanvallers wisten bij DigiNotar in te breken en frauduleuze certificaten te genereren. Naast *.google.com, is nu ook officieel bevestigd dat het Tor Project een doelwit was.

Erinn van het Tor Project nam contact op met DigiNotar en ontving interessante informatie, waaronder een lijst met de certificaten die de aanvallers voor *.torproject.org genereerden. In totaal zou het om twaalf certificaten gaan, waarvan elk een zogeheten wildcard voor torproject.org was. Hiermee geldt het certificaat voor alles dat voor .torproject.org komt.

Aanval
De aanval werd volgens DigiNotar op 19 juli opgemerkt. Uit de gegevens die Tor ontving, bleek dat de eerste zes certificaten op 18 juli waren uitgegeven en een tweede set certificaten op 20 juli. De eerste zes uitgegeven certificaten verliepen op 17 augustus 2011 en de tweede set op 19 augustus 2011. Volgens de informatie van DigiNotar zouden alle certificaten in kwestie zijn verlopen. Daarbij liet het bedrijf tegenover Erinn weten dat er geen bevestiging was dat de aanvaller of aanvallers de certificaten ook hebben ontvangen. Iets waar Erinn aan twijfelt. "Ik heb geen reden om te geloven dat het voor deze certificaten lastiger was om bij de aanvragende partij te komen dan voor het in het wild gebruikte Google certificaat."

Via deze frauduleuze certificaten zou een kwaadwillende partij een nepversie van de Tor-website kunnen opzetten. Gebruikers die naar https://torproject.org gaan, krijgen dan geen waarschuwing en denken dat ze op de echte website zitten. Vervolgens zou de aanvaller een versie met een backdoor kunnen aanbieden, zodat de identiteit en communicatie van de gebruiker toch zou zijn te achterhalen. Tor adviseert gebruikers dan ook om de digitale handtekening van gedownloade bestanden te controleren.

Waardeloos
DigiNotar wilde Tor geen kopie van de uitgegeven certificaten geven. "We weten niet zeker of ze wel kopieën hebben of dat ze geen kopieën willen openbaren die ze wel of niet hebben. Dit is zeer verontrustend omdat dit het CRL/OCSP terugtrekkingsproces zo goed als waardeloos maakt."

Het Tor Project gelooft niet dat de uitgegeven frauduleuze '*.torproject.org certificaten op het moment van schrijven zijn ingetrokken. "Het kan zijn dat ze certificaten niet intrekken als ze verlopen zijn. Er is geen bewijs dat het intrekken heeft plaatsgevonden op het moment dat deze certificaten geldig waren", aldus Erinn. Vanwege eerdere uitspraken denkt het Tor Project dat DigiNotar en moederbedrijf VASCO met "damage control" bezig zijn. Daarnaast moet het bedrijf openheid van zaken geven om welke certificaten het allemaal gaat en welke informatie het niet heeft.

Browser
Inmiddels werkt het Tor Project met twee browserleveranciers samen om ervoor te zorgen dat dit soort aanvallen niet meer in de toekomst kunnen plaatsvinden. De browser controleert in dit geval de uitgevende instantie van het certificaat. Komt die niet overeen met de echter uitgever die in de browser staat vermeld, dan krijgt de gebruiker een waarschuwing. Zowel Google als Mozilla zullen dit mogelijk in de browser gaan verwerken.

Daarbij is het Tor Project niet blij met het compromis dat Mozilla en de Nederlandse overheid sloten. "Wij maakten geen onderdeel van de discussie uit, en we begrijpen niet de redenen voor zo'n compromis. We willen een certificate authority die ons niet meteen inlichtte toen het dit probleem ontdekte niet blindelings geloven."

Versie
Vanwege het "DigiNotar" debacle heeft Tor een nieuwe versie van de anonimiseringssoftware uitgebracht, die niet meer Firefox 3.6 ondersteunt, aangezien deze niet meer was te patchen.

Daarnaast is de meegeleverde Firefox 6 iets aangepast speciaal voor DigiNotar. "We hebben DigiNotar proactief een "Internet-doodstraf" in de Tor Browser gegeven", merkt Erinn op. Het volledig verwijderen van DigiNotar uit de browser zou invloed op zo'n zevenhonderd certificaten hebben.