Is DigiNotar's PKIoverheid CA ook gehackt?
Beveiligingsexperts vragen zich af of de aanvallers die bij het Nederlandse DigiNotar wisten in te breken, ook toegang hebben gehad tot de PKIoverheid-certificaten van de Staat der Nederlanden. DigiNotar geeft naast eigen SSL-certificaten ook de PKIoverheid-certificaten van de Staat der Nederlanden uit, die onder andere voor DigiD wordt gebruikt. Aanvallers maakten waarschijnlijk 247 valse SSL-certificaten aan, onder andere voor *.google.com. Daarmee werden Iraanse Gmail-gebruikers afgeluisterd.
Gisterenavond verstuurde overheidsinstantie Logius een e-mail, waarin het overheden vraagt om de gevolgen van het uitvallen van PKI-overheidscertificaten te benoemen. De e-mail kwam ook bij IT-journalist Brenno de Winter terecht, die hem op zijn website publiceerde. Volgens de e-mail zijn er geen aanwijzingen dat de DigiNotar beveiligingscertificaten van PKIoverheid-certificaten ook getroffen zijn.
Toch worden aangeschreven instanties gevraagd om de aanwezige PKIoverheid-certificaten van DigiNotar in de organisaties te inventariseren, te kijken voor welke processen deze worden gebruikt en te inventariseren wat de gevolgen zijn als de PKIoverheid-certificaten van DigiNotar niet meer zijn te vertrouwen.
Overheid
"Ik denk dat het nu verstandig is voor betrokken browserleveranciers om een update voor te bereiden die ook DigiNotar's PKIoverheid CA intrekt, afhankelijk van het onderzoek dat nu wordt uitgevoerd", zegt Roel Schouwenberg van het Russische anti-virusbedrijf Kaspersky Lab. "Veel Nederlandse overheidssites en diensten worden door het intrekken getroffen en het opruimen zal pijnlijk zijn."
Schouwenberg merkt op dat de Nederlandse overheid DigiNotar in veel gevallen als een " intermediary CA" gebruikt, maar dat het ook zelf een root CA heeft, waarmee het snel nieuwe certificaten voor de getroffen diensten kan uitgeven. "Ik hoop dat het nu echt duidelijk is dat de Nederlandse overheid afstand van DigiNotar moet nemen", aldus de virusanalist.
Het gaat niet om het verifieren maar om het falsificeren in wetenschappelijke zin.
Kennelijk begrijpt men dat niet, anders zou men zich realiseren dat wat er nu in die email staat vanuit beveligingsoogpunt complete onzin is.
Inhoudelijk:
Ik heb ook nog een tweede auto, maar die gebruik ik ook alleen waarvoor deze geschikt is - en dat is niet het slepen van een caravan of aanhanger. Dat de overheid nog een eigen root CA heeft wil niet zeggen dat het deze kan gebruiken voor het doel van die via Diginotar gebruikte certificaten.
Het is niet vreemd dat er nu voor de zekerheid door logius een brief naar hun klanten gaat en er een inventarisatie van de situatie van eisen/wensen van dit moment komt. Stel ze doen dit niet, hoe slim denken we dan dat het is om gewoon maar eenzijdig de klanten te dwingen dat ze een andere CA en certificaten moeten gebruiken.... Juist, grote kans dat de klanten - burgers en organisaties op veel en veel te hoge kosten/tijdsderf/frustratie worden gezet. Wat voor gevolgen zal dat voor Logius en vertrouwen hebben?!?!
Saillant detail: over het ontdekken en publiceren van die fout deed Verisign toen twee maanden. Diginotar heeft nu zes weken nodig gehad voordat publicatie (werd afgedwongen).
Ergo: 10 jaar PKI business heeft de detectietijd van fouten met maar liefst 25% verkleind! Das het echte goede nieuws dat uit dit drama valt te halen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
