531 certificaten bij DigiNotar-hack gestolen
Het aantal frauduleus gegenereerde SSL-certificaten bij het Nederlandse DigiNotar bedraagt meer dan vijfhonderd, zo blijkt uit een lijst die Tor-ontwikkelaar en beveiligingsonderzoeker Jacob Appelbaum heeft geopenbaard. De lijst ontving Appelbaum een aantal uren geleden van de Nederlandse overheid. Hij prijst de overheid omdat het zo goed bovenop de zaak zit, iets wat DigiNotar al in juli had moeten doen. Toch heeft Appelbaum in het belang van iedereen besloten om de lijst te publiceren.
"De mensen die ik bij de Nederlandse overheid heb gesproken zijn het met deze actie eens", aldus de onderzoeker. Het openbaren van de informatie zal geen enkele aanvaller helpen, aangezien het niet de "ruwe certificaten" bevat. Het is alleen metadata over de uitgegeven certificaten.
Vertrouwen
"Het bevat wie in de nabije toekomst niet meer moeten vertrouwen en het toont wat er op dit moment nog ontbreekt." Volgens Appelbaum is de lijst onvolledig, omdat DigiNotar's auditspoor ook onvolledig is. Voorlopig stelt Appelbaum dat de volgende partijen waarschijnlijk nooit meer vertrouwd moeten worden:
- DigiNotar Cyber CA
- DigiNotar Extended Validation CA
- DigiNotar Public CA 2025
- DigiNotar Public CA - G2
- Koninklijke Notariele Beroepsorganisatie CA
- Stichting TTP Infos CA
Windows Update
Verder zijn er ook certificaten voor Windows Update uitgegeven, zo meldt Appelbaum in deze blogposting. Hij laat ook weten dat er certificaten in naam van andere certificate authorities zijn gegenereerd, maar dat het onbekend is of ze eigen "intermediate CA certs" hebben uitgegeven.
"Dat zegt echt iets over de hoeveelheid schade die een enkele gecompromitteerde CA met slechte beveiligingsmaatregelen en met gewoon internet geluk kan veroorzaken."
Reacties (14)
04-09-2011, 20:16 door
anoniem lafbekje
+ dit:
Of particular note is this certificate:
CN=*.RamzShekaneBozorg.com,SN=PK000229200006593,OU=Sare Toro Ham Mishkanam,L=Tehran,O=Hameye Ramzaro Mishkanam,C=IR
The text here appears to be be an entry like any other but it is infact a calling card from a Farsi speaker. RamzShekaneBozorg.com is not a valid domain as of this writing.
Thanks to an anonymous Farsi speaker, I now understand that the above certificate is actually a comment to anyone who bothers to read between the lines:
"RamzShekaneBozorg" is "great cracker"
"Hameyeh Ramzaro Mishkanam" translates to "I will crack all encryption"
"Sare Toro Ham Mishkanam" translates to "i hate/break your head"
Of particular note is this certificate:
CN=*.RamzShekaneBozorg.com,SN=PK000229200006593,OU=Sare Toro Ham Mishkanam,L=Tehran,O=Hameye Ramzaro Mishkanam,C=IR
The text here appears to be be an entry like any other but it is infact a calling card from a Farsi speaker. RamzShekaneBozorg.com is not a valid domain as of this writing.
Thanks to an anonymous Farsi speaker, I now understand that the above certificate is actually a comment to anyone who bothers to read between the lines:
"RamzShekaneBozorg" is "great cracker"
"Hameyeh Ramzaro Mishkanam" translates to "I will crack all encryption"
"Sare Toro Ham Mishkanam" translates to "i hate/break your head"
04-09-2011, 20:51 door
Bitwiper
@anoniem lafbekje: en, zoals al opgemerkt door Mikko Hypponen (zie https://secure.security.nl/artikel/38355/1/Mogelijk_verband_tussen_DigiNotar_en_Comodo-hacker.html), geldt iets vergelijkbaars voor *.JanamFadayeRahbar.com.
Zoeken naar "Janam Fadaye Rahbar" levert, behalve zaken gerelateerd aan de ComodoHacker, ook nogal wat Ayatollah sympathiën op zoals hier te zien is: http://hmsk11.deviantart.com/art/janam-fadaye-rahbar-158579748.
Overigens kan ik me steeds minder voorstellen dat de Iraanse overheid achter de DigiNotarHack zit, gezien het lawaai in https://svn.torproject.org/svn/projects/misc/diginotar/rogue-certs-2011-09-04.csv (da's wat veiliger dan zomaar een xlsx file openen, het Internet is best wel eng de laatste tijd ;)
Zoeken naar "Janam Fadaye Rahbar" levert, behalve zaken gerelateerd aan de ComodoHacker, ook nogal wat Ayatollah sympathiën op zoals hier te zien is: http://hmsk11.deviantart.com/art/janam-fadaye-rahbar-158579748.
Overigens kan ik me steeds minder voorstellen dat de Iraanse overheid achter de DigiNotarHack zit, gezien het lawaai in https://svn.torproject.org/svn/projects/misc/diginotar/rogue-certs-2011-09-04.csv (da's wat veiliger dan zomaar een xlsx file openen, het Internet is best wel eng de laatste tijd ;)
04-09-2011, 21:20 door
Bitwiper
M.b.t. genoemde "Koninklijke Notariele Beroepsorganisatie CA": onderaan in http://www.jacco2.dds.nl/cert/nederlands.html zie ik:
Belastingdienst
Dienstenloket Berichtenbox
DigiD Machtigen
Digikoppeling (OSB)
DURP & nieuwe WRO
DVS
EDSN
FME-CWM
IB-Groep Verzuimloket
ICTU
Kadaster KIK
Kadaster Klic-online
Kadaster Web-Elan
Kamer van Koophandel
KNB & Vennoot
Ministerie van Justitie
Nederlandse Orde van Advocaten
NIVRA
Parelsnoer
Pensioenregister
PKIoverheid
SNG
TenderNed
TenneT
UWV
WABO
Landelijke voorzieningen gemeenten
WKPB voor niet-gemeenten
WOZ-Waarde signing service
DigiNotar is opgezet door de KNB en rekent forse tarieven.
Verder spitten: in http://www.diginotar.nl/Aanvragen/Lopendeprojecten/tabid/335/Default.aspx zie ik onder meer "KNB & Vennoot" staan. De lijst met lopende projecten (en dus partijen die allemaal wel meer of minder onder het zinken van DigiNotar zullen leiden) bestaat uit:Belastingdienst
Dienstenloket Berichtenbox
DigiD Machtigen
Digikoppeling (OSB)
DURP & nieuwe WRO
DVS
EDSN
FME-CWM
IB-Groep Verzuimloket
ICTU
Kadaster KIK
Kadaster Klic-online
Kadaster Web-Elan
Kamer van Koophandel
KNB & Vennoot
Ministerie van Justitie
Nederlandse Orde van Advocaten
NIVRA
Parelsnoer
Pensioenregister
PKIoverheid
SNG
TenderNed
TenneT
UWV
WABO
Landelijke voorzieningen gemeenten
WKPB voor niet-gemeenten
WOZ-Waarde signing service
04-09-2011, 21:47 door
_Peterr
Ter Info: DigiD.nl heeft een nieuw certificaat. Nu is het er een van Getronics.
04-09-2011, 22:09 door
musiman
Door _Peterr: Ter Info: DigiD.nl heeft een nieuw certificaat. Nu is het er een van Getronics.
Ja, maar het is wel een pkioverheid certificaat. Blijft deze nou bestaan, oftewel is het een goed certificaat?Door _Peterr: Ter Info: DigiD.nl heeft een nieuw certificaat. Nu is het er een van Getronics.
vrij bizar dat ze dat niet gelijk afgelopen maandag hebben geregeld.. kennelijk kan het snel dus.
04-09-2011, 22:26 door
jmkf
Het certficaat van Getronics bevat OCSP gegevens, maar de OCSP server erachter doet het niet. (Dus als je je securityinstellingen voor certificaatvalidatie goed hebt staan, en een goede browser gebruikt, dan doet ie het niet.)
In het certificaat staat
OCSP: URI: http://ocsp2.pinkroccade.com
maar de host ocsp2.pinkroccade.com staat niet (meer) aan.
In het certificaat staat
OCSP: URI: http://ocsp2.pinkroccade.com
maar de host ocsp2.pinkroccade.com staat niet (meer) aan.
04-09-2011, 22:27 door
Bitwiper
Door _Peterr: Ter Info: DigiD.nl heeft een nieuw certificaat. Nu is het er een van Getronics.
Dank voor de reactie! Alleen, als ik https://as.digid.nl/ open met Firefox meldt deze helaas:Secure Connection Failed
An error occurred during a connection to as.digid.nl.
The OCSP server experienced an internal error.
(Error code: sec_error_ocsp_server_error)
Reden: de in het certificaat vermeldde OCSP server http://ocsp2.pinkroccade.com/ bestaat (nog) niet...An error occurred during a connection to as.digid.nl.
The OCSP server experienced an internal error.
(Error code: sec_error_ocsp_server_error)
Wat een puinhoop.
(PS sorry voor de dubbele post met jmkf, we zagen ongeveer tegelijkertijd hetzelfde).
Aanvulling 22:34: opvallend is ook de korte geldigheid van het as.digid.nl certificaat, namelijk van 2011-09-04 00:00:00 GMT tot 2011-12-31 23:59:59 GMT.
Aanvulling 00:59 - ocsp2.pinkroccade.com resolved nu naar 80.79.98.70 (zelfde als ocsp.pinkroccade.com). Ik krijg met Firefox en OCSP checking aan geen foutmelding meer als ik https://as.digid.nl/ open.
Complete lijst
CN=*.10million.org
CN=*.JanamFadayeRahbar.com
CN=*.RamzShekaneBozorg.com
CN=*.SahebeDonyayeDigital.com
CN=*.android.com
CN=*.aol.com
CN=*.azadegi.com
CN=*.balatarin.com
CN=*.comodo.com
CN=*.digicert.com
CN=*.globalsign.com
CN=*.google.com
CN=*.microsoft.com
CN=*.mossad.gov.il
CN=*.mozilla.org
CN=*.skype.com
CN=*.startssl.com
CN=*.thawte.com
CN=*.torproject.org
CN=*.walla.co.il
CN=*.windowsupdate.com
CN=*.wordpress.com
CN=Comodo Root CA
CN=CyberTrust Root CA
CN=DigiCert Root CA
CN=Equifax Root CA
CN=GlobalSign Root CA
CN=Thawte Root CA
CN=VeriSign Root CA
CN=addons.mozilla.org
CN=azadegi.com
CN=friends.walla.co.il
CN=login.live.com
CN=login.yahoo.com
CN=my.screenname.aol.com
CN=secure.logmein.com
CN=twitter.com
CN=wordpress.com
CN=www.10million.org
CN=www.Equifax.com
CN=www.balatarin.com
CN=www.cia.gov
CN=www.cybertrust.com
CN=www.facebook.com
CN=www.globalsign.com
CN=www.google.com
CN=www.hamdami.com
CN=www.mossad.gov.il
CN=www.sis.gov.uk
CN=www.update.microsoft.com
CN=*.10million.org
CN=*.JanamFadayeRahbar.com
CN=*.RamzShekaneBozorg.com
CN=*.SahebeDonyayeDigital.com
CN=*.android.com
CN=*.aol.com
CN=*.azadegi.com
CN=*.balatarin.com
CN=*.comodo.com
CN=*.digicert.com
CN=*.globalsign.com
CN=*.google.com
CN=*.microsoft.com
CN=*.mossad.gov.il
CN=*.mozilla.org
CN=*.skype.com
CN=*.startssl.com
CN=*.thawte.com
CN=*.torproject.org
CN=*.walla.co.il
CN=*.windowsupdate.com
CN=*.wordpress.com
CN=Comodo Root CA
CN=CyberTrust Root CA
CN=DigiCert Root CA
CN=Equifax Root CA
CN=GlobalSign Root CA
CN=Thawte Root CA
CN=VeriSign Root CA
CN=addons.mozilla.org
CN=azadegi.com
CN=friends.walla.co.il
CN=login.live.com
CN=login.yahoo.com
CN=my.screenname.aol.com
CN=secure.logmein.com
CN=twitter.com
CN=wordpress.com
CN=www.10million.org
CN=www.Equifax.com
CN=www.balatarin.com
CN=www.cia.gov
CN=www.cybertrust.com
CN=www.facebook.com
CN=www.globalsign.com
CN=www.google.com
CN=www.hamdami.com
CN=www.mossad.gov.il
CN=www.sis.gov.uk
CN=www.update.microsoft.com
Door Anoniem:
vrij bizar dat ze dat niet gelijk afgelopen maandag hebben geregeld.. kennelijk kan het snel dus.
Door _Peterr: Ter Info: DigiD.nl heeft een nieuw certificaat. Nu is het er een van Getronics.
vrij bizar dat ze dat niet gelijk afgelopen maandag hebben geregeld.. kennelijk kan het snel dus.
Over het algemeen bestaat er een doorlooptijd van in elk geval 1 maand bij het aanvragen van een certificaat..
Ondertussen staan op een van de diginotar blogs nog gewoon de spam verwijzingen naar porno, goedkope juwelen en andere troep.
http://www.zekerdigitaal.nl/post/eHerkenning-uitdaging-voor-marktpartijen.aspx
Domeinnaam zekerdigitaal.nl
Status actief
Houder Diginotar
Administratieve contactpersoon info@diginotar.nl
Registrar Hostnet B.V.
De Ruyterkade 6
1013AA Amsterdam
Nederland
Technische contactpersonen helpdesk@hostnet.nl
Domeinnaamservers ns1.hostnetbv.nl 91.184.1.10
ns2.hostnetbv.nl 91.184.8.20
Datum registratie 2009-07-29
Administratie door NL Domain Registry
Het zijn dit soort "kleine" dingen die diginotar totaal ongeloofwaardig op alle fronten maken.
Gehackt worden is 1 ding, niet adequaat reageren is een doodzonde.
Eddee
http://www.zekerdigitaal.nl/post/eHerkenning-uitdaging-voor-marktpartijen.aspx
Domeinnaam zekerdigitaal.nl
Status actief
Houder Diginotar
Administratieve contactpersoon info@diginotar.nl
Registrar Hostnet B.V.
De Ruyterkade 6
1013AA Amsterdam
Nederland
Technische contactpersonen helpdesk@hostnet.nl
Domeinnaamservers ns1.hostnetbv.nl 91.184.1.10
ns2.hostnetbv.nl 91.184.8.20
Datum registratie 2009-07-29
Administratie door NL Domain Registry
Het zijn dit soort "kleine" dingen die diginotar totaal ongeloofwaardig op alle fronten maken.
Gehackt worden is 1 ding, niet adequaat reageren is een doodzonde.
Eddee
Ik heb enkele inhoudelijke vragen over de Diginotar-hack. Ik heb inmiddels veel gelezen maar ik begrijp een aantal zaken niet. Ik ben geen security-deskundige dus ik vraag wellicht naar zeer basale zaken.
1.Op het moment dat een CA gehackt, is de hacker in staat een vals certificaat te genereren (bijv. voor gmail.com). Hoe gaat dan de hacker te werk om bijv. mijn gmail te lezen? Ik zal dan doorverwezen moeten worden naar een andere site dan gmail.com? Hoe verloopt dat? Moet hiervoor dan ook een DNS(?)-hack uitgevoerd worden? In Iran zal dat makkelijk gaan, vermoed ik. Is dat in Nederland ook makkelijk te doen?
2.De gmail-hack werd ontdekt door een Iranier door naar de details van het certificaat te kijken. Hoe kon hij zien dat er iets niets klopte? Kan een leek zien dat er iets niet pluis was?
3.Hoe is het mogelijk dat een Nederlandse CA certificaten voor niet-nederlandse domeinen kan uitgeven? M.a.w. kan elk van 650 CA's voor elk domein als rabobank.nl of abnamro.nl certificaten uitgeven?
Alvast bedankt voor enkele antwoorden. Deze hack maakt mij tamelijk onrustig en ik heb het vermoeden dat de certificerings-business grondig onder de loep genomen moet worden.
1.Op het moment dat een CA gehackt, is de hacker in staat een vals certificaat te genereren (bijv. voor gmail.com). Hoe gaat dan de hacker te werk om bijv. mijn gmail te lezen? Ik zal dan doorverwezen moeten worden naar een andere site dan gmail.com? Hoe verloopt dat? Moet hiervoor dan ook een DNS(?)-hack uitgevoerd worden? In Iran zal dat makkelijk gaan, vermoed ik. Is dat in Nederland ook makkelijk te doen?
2.De gmail-hack werd ontdekt door een Iranier door naar de details van het certificaat te kijken. Hoe kon hij zien dat er iets niets klopte? Kan een leek zien dat er iets niet pluis was?
3.Hoe is het mogelijk dat een Nederlandse CA certificaten voor niet-nederlandse domeinen kan uitgeven? M.a.w. kan elk van 650 CA's voor elk domein als rabobank.nl of abnamro.nl certificaten uitgeven?
Alvast bedankt voor enkele antwoorden. Deze hack maakt mij tamelijk onrustig en ik heb het vermoeden dat de certificerings-business grondig onder de loep genomen moet worden.
05-09-2011, 16:01 door
root
Ik vind dit allemaal hele goede vragen, ik zou ze opnieuw stellen in het forum.
Door Anoniem: Ik heb enkele inhoudelijke vragen over de Diginotar-hack. Ik heb inmiddels veel gelezen maar ik begrijp een aantal zaken niet. Ik ben geen security-deskundige dus ik vraag wellicht naar zeer basale zaken.
1.Op het moment dat een CA gehackt, is de hacker in staat een vals certificaat te genereren (bijv. voor gmail.com). Hoe gaat dan de hacker te werk om bijv. mijn gmail te lezen? Ik zal dan doorverwezen moeten worden naar een andere site dan gmail.com? Hoe verloopt dat? Moet hiervoor dan ook een DNS(?)-hack uitgevoerd worden? In Iran zal dat makkelijk gaan, vermoed ik. Is dat in Nederland ook makkelijk te doen?
2.De gmail-hack werd ontdekt door een Iranier door naar de details van het certificaat te kijken. Hoe kon hij zien dat er iets niets klopte? Kan een leek zien dat er iets niet pluis was?
3.Hoe is het mogelijk dat een Nederlandse CA certificaten voor niet-nederlandse domeinen kan uitgeven? M.a.w. kan elk van 650 CA's voor elk domein als rabobank.nl of abnamro.nl certificaten uitgeven?
Alvast bedankt voor enkele antwoorden. Deze hack maakt mij tamelijk onrustig en ik heb het vermoeden dat de certificerings-business grondig onder de loep genomen moet worden.
1.Op het moment dat een CA gehackt, is de hacker in staat een vals certificaat te genereren (bijv. voor gmail.com). Hoe gaat dan de hacker te werk om bijv. mijn gmail te lezen? Ik zal dan doorverwezen moeten worden naar een andere site dan gmail.com? Hoe verloopt dat? Moet hiervoor dan ook een DNS(?)-hack uitgevoerd worden? In Iran zal dat makkelijk gaan, vermoed ik. Is dat in Nederland ook makkelijk te doen?
2.De gmail-hack werd ontdekt door een Iranier door naar de details van het certificaat te kijken. Hoe kon hij zien dat er iets niets klopte? Kan een leek zien dat er iets niet pluis was?
3.Hoe is het mogelijk dat een Nederlandse CA certificaten voor niet-nederlandse domeinen kan uitgeven? M.a.w. kan elk van 650 CA's voor elk domein als rabobank.nl of abnamro.nl certificaten uitgeven?
Alvast bedankt voor enkele antwoorden. Deze hack maakt mij tamelijk onrustig en ik heb het vermoeden dat de certificerings-business grondig onder de loep genomen moet worden.
1 - Ja, die certificaten zijn niks waard als je het verkeer niet omleid. Hiervoor zijn echter een boel methoden. Ouderwetse ARP spoof (LAN), malware die je naar 'proxy' verwijst. Een hack bij een ISP. En waarschijnlijk 10 tallen manieren die ik niet ken.
2 - Volgens mij was dit ontdekt doordat de betreffende persoon had gezien dat in het certificerings pad (de chain) het certificaat van DigiNotar zat. Wat vreemd is, aangezien Thawte dit certificaat normaliter uitgeeft. Als ik me niet vergis was er een plugin voor Firefox. Deze controleerd dan via een andere weg (server) of hetzelfde certificaat wordt geleverd. Dit kan uiteraard ook veel false positives.
3 - Jouw browser (of andere) software houd geen rekening met waar de CA geografisch vandaan komt. Daarmee wordt het dus ook lastig om uitgifte van certs. geografisch te beperken. Het is echter wel mogelijk aan te geven wat voor typen certs een CA mag uitgeven.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
