DigiNotar ondermijnt vertrouwen internet
Op 29 augustus werd bekend dat aanvallers bij het Nederlandse bedrijf DigiNotar hadden ingebroken en verschillende frauduleuze certificaten hadden gegenereerd. Met één van deze certificaten werden vervolgens Iraanse Gmail-gebruikers afgeluisterd. Al snel werd duidelijk dat het om veel meer certificaten dan alleen het certificaat voor *.google.com ging, maar ook dat de PKI Overheid certificaten risico liepen. Diginotar geeft twee soorten certificaten uit, de Diginotar eigen merk certificaten en PKI Overheid certificaten, die voor DigiD.nl worden gebruikt.
SSL-certificaten vervullen twee functies. Ten eerste identificeren ze de website, zodat de gebruiker en browser weten dat ze ook echt op de website voor DigiD.nl of banksite zijn aanbeland. De tweede functie is het versleutelen van de verbinding tussen de gebruiker en de website. Daardoor kunnen inloggegevens op veilige wijze worden verstuurd, zodat de gebruiker weet dat zijn gegevens niet onderweg worden afgeluisterd.
SSL-certificaten zeggen dus niets over de veiligheid van de website zelf, maar gaan over de verbinding ernaar toe. Een website met SSL-certificaat kan nog steeds met cross-site scripting, SQL Injection of andere kwetsbaarheden te maken hebben. Om de frauduleus gegenereerde certificaten te kunnen gebruiken, moet een aanvaller controle over het verkeer van zijn slachtoffer hebben. Dit kan bijvoorbeeld bij een open draadloos netwerk of in een land waar de overheid de internetproviders opdraagt dit te doen.
Verbannen
Browserleveranciers besloten om eerst de eigen merk certificaten van DigiNotar te blokkeren, omdat er geen aanwijzingen zouden zijn dat de PKI Overheid certificaten ook gecompromitteerd waren. Na onderzoek bleek dit toch niet te kunnen worden uitgesloten, waarop het vertrouwen in DigiNotar door zowel de Nederlandse overheid als alle grote browserleveranciers voor beide certificaten werd opgezegd. Daardoor kunnen internetgebruikers bij het bezoeken van overheidswebsites tegen certificaat-waarschuwingen aanlopen.
Inmiddels blijkt dat er meer dan 500 frauduleuze certificaten zijn gegenereerd, voor allerlei populaire domeinen, zoals Skype, addons.mozilla.com, Tor Project en Microsoft.com. Ook de slechte communicatie van zowel DigiNotar als moederbedrijf VASCO, dat het Beverwijkse bedrijf begin dit jaar voor 10 miljoen euro kocht, houden de gemoederen bezig. De aanval vond rond 10 juli plaats en werd op 19 juli door DigiNotar opgemerkt. Toch werden betrokken bedrijven en browserleveranciers niet ingelicht en kwam de aanval pas 29 augustus aan het licht.
Vertrouwen
Pas na de ontdekking van een Iraanse internetgebruiker gaf het bedrijf toe dat het door een aanval was getroffen. Inmiddels is de overheid alle DigiNotar certificaten voor overheidssites aan het vervangen en is het bedrijf inmiddels ook uit de meeste browsers verbannen. Toch geeft het volgens vele experts aan dat één rotte appel het vertrouwen van het gehele SSL-systeem kan ondermijnen.
De ontwikkelingen rondom DigiNotar blijven in hoog tempo doorgaan. In dit dossier, zie gerelateerde artikelen rechts, zal Security.nl de laatste nieuwsfeiten, artikelen en aanvullende berichten vermelden.
Interessante links
- Fox-IT onderzoeksrapport: Operation Black Tulip
- Kamerbrief Digitale inbraak DigiNotar
- Lijst met namen van uitgegeven certificaten
- GovCERT Factsheet over DigiNotar-hack
- Comodo-hacker eist DigiNotar-hack op
Video
(ontbreekt er een link, video of PDF? Laat het ons weten via redactie@security.nl of laat een reactie achter)
Edit 2011-09-06 11:32: de URL was gewijzigd, gecorrigeerd (oude was http://www.rijksoverheid.nl/onderwerpen/cybercrime/documenten-en-publicaties/rapporten/2011/09/05/fox-it-operation-black-tulip.html).
Hun typische arrogante reactie was: "We voldoen aan de voorschriften!".
Zo lang er geen autoriteit is die Daadwerkelijk optreed als het misstanden gemeld worden, is het natuurlijk hopeloos.
En zo moeilijk is het niet om het goed te doen, moet alleen al die arrogante theoretische experts er uit donderen met hun papieren achtergrond.
Ik kots al jaren van de achterbakse doofpot cultuur.
Zo als ik het zelf heb meegemaakt toen ik ontdekte dat de database van Euronext eenvoudig toegankelijk en aanpasbaar was.
Ze bedreigen en intimideren je, laten je achtervolgen door particulieren recherce en nog meer zaken die het daglicht niet kunnen verdragen.
Ik hoop ook dat de overheid nu eindelijk de incompetentie van het gros van de IT-security bedrijven in ziet en daar mee projecten als het EPD minstens voor de eerst komende 20 jaar in de ijskast zetten.
En geef detandeloze tijger cbp ook eens een paar vlijmscherpe sabeltanden.
Dan hebben mensen die misstanden ontdekken tenmiste wat vuurkracht.
Greetingz,
Jacco
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
