Hmm, ik heb http://service.diginotar.nl/crl/public2025/latestCRL.crl gedownload, daarin staat onder meer (d.w.z. in de uitvoer van openssl crl -text -inform DER -in latestCRL.crl ):
Dat betekent, voor zover ik het overzie, dat Diginotar dit certificaat wel degelijk ondertekend heeft en het vandaag net voor 19:00 (zomertijd) heeft ingetrokken...

Toelichting voor degenen die niet snappen waar ik het over heb: een CRL is een Certificate Revocation List. Het serienummer dat in de CRL staat die ik gedownload heb, komt overeen met het serienummer van het getoonde certificaat in http://pastebin.com/ff7Yg663.

Ik ben nu wel heel benieuwd wat hier aan de hand is (geweest)...

Aanvulling 20110829 23:48: iemand anders heeft vergelijkbare checks uitgevoerd, zie http://pastebin.com/SwCZqskV (bron: http://identi.ca/notice/82001008)

Aanvulling 20110830 00:04: zie ook http://news.ycombinator.com/item?id=2938516, https://bugzilla.mozilla.org/show_bug.cgi?id=682956 en https://bugzilla.mozilla.org/show_bug.cgi?id=681902#c6 "the current DigiNotar incident".

Aanvuling 20110830 00:38: Mozilla gaaat nieuwe Firefox versies uitrollen vanwege dit incident, zie http://blog.mozilla.com/security/2011/08/29/fraudulent-google-com-certificate/

CA voor Dummies vraag: waarom nemen we aan dat het certificaat niet van Google is en dat diginotar hier fout zit????

Serieus: stel ik kopieer anoniem certificaatinfo naar pastbin, roep dat het fake is en er in land x met weinig burgerrechten doden door vallen, zeg dat een CA schuldig is aan dood van onschuldigen, halve wereld neemt het oh-ah-schande berichtje over, CA trekt t uit voorzorg in, nog meer internetters roepen oh-ah-zie-je-wel-CA-zat-fout en CA zit vervolgens met gebakken peren.

Zou het net zo goed niet kunnen zijn dat iemand hier de CA een hak probeert te zetten, of een overheid waar Diginotar wel eens voor werkt.....

Geen jandoedel die iets van CA weet lijkt hier antwoord op te geven, vragen vanuit dummie gepeupel over wat is hier waar komen er natuurlijk ook niet want die snappen al helemaal niets van certificaten.

Lekker bruut (doch terecht) om de hele diginotar root te verwijderen uit de browsers. Dat gaat nog wel wat issues geven in NL..

Lijkt er sterk op dat Diginotar fout ziet, en ze moeten dan ook van de markt afgetrapt worden.

idd bruut en lastig voor NL maar bij een CA gaat het om vertrouwen en dat lijkt me hier wel geschaad.
Het ziet er voorlopig toch naar uit dat er een *.google.com certificaat is uitgeven door diginotar terwijl de identiteit van de aanvrager niet klopte.
En hoewel natuurlijk alles goed gecontroleerd moet worden: bij dergelijke domeinnamen is een hoge zorgvuldigheid toch wel op zijn plaats.

Vertrouwen weg -> CA uit de browsers.

Hoe is het met Comodo als trusted CA dan?

Je kan toch checken of het bewuste certificaat inderdaad door Diginotar is gesigned?

Da's niet zo simpel als het lijkt.

In de link die ik eerder aangaf (http://pastebin.com/SwCZqskV) is dat gebeurd, maar zelf heb ik het gisteravond niet gecontroleerd. Zojuist heb ik dat wel gedaan, en dat kan met "boordmiddelen" (dus zonder openssl.exe of andere commandline tools):

(1) Kopieer vanuit "RAW Paste Data" in http://pastebin.com/ff7Yg663 het stuk dat begint met -----BEGIN CERTIFICATE----- en eindigt met -----END CERTIFICATE----- (inclusief die beide regels) naar het clipboard (klembord). Dit is het gewraakte certificaat, waarvan we gaan checken of het daadwerkelijk door DigiNotar is ondertekend.

(2) Open notepad (kladblok), plak het stuk tekst, geef onderaan een extra enter (extra lege regels maken niet uit), en sla het op als "badcert.cer" bijv. op je bureaublad (wijzig vóór opslaan het bestandstype in "All files", anders wordt de bestandsnaam badcert.cer.txt).

(3) Als ik deze file open (dubbel-klikken) zie ik in de geopende dialoogbox van m'n (Engelstalige) XP: "Windows does not have enough information to verify this certificate". Oorzaak: er ontbreekt een intermediate certificaat.

(4) Open http://www.diginotar.nl/Klantenservice/Rootcertificaten/tabid/308/Default.aspx en download "DigiNotar Public CA 2025" (http://www.diginotar.nl/LinkClick.aspx?fileticket=lSCwDq6q038%3d&tabid=308) en sla het bestand "DigiNotar_Public_CA_2025.cer" op.

(5) Start Internet Explorer, ga naar menu "Tools" -> "Internet Options", open tabblad "Content", klik button "Certificates". Open de tab "Intermediate Certification Authorities" en klik op de button "Import...". In de wizard open je "DigiNotar_Public_CA_2025.cer", en in de volgende box verander je niks, zodat het certificaat in "Intermediate Certification Authorities" terechtkomt. Hierna zie ik het intermediate DigiNotar certificaat in de lijst staan.

(6) Als ik nu opnieuw dubbelklik op "badcert.cer" vertelt XP me dat dit certificaat helemaal in orde is. N.b. dit gebeurt zelfs als ik in MSIE8 Advanced Settings, onder Security, een vinkje heb staan voor "Check for server certificate revocation" (kennelijk vindt die check alleen plaats als er daarwerkelijk een verbinding wordt opgebouwd en niet als "slechts" een certificaat bekeken wordt).

(7) Vergeet niet het intermediate certificaat weer te verwijderen!