DigiNotar: Aanval was politieke hack
De aanval op DigiNotar was volgens het bedrijf een politieke hack, gericht tegen de Iraanse bevolking. Volgens het Beverwijkse bedrijf zijn de frauduleuze certificaten gebruikt om vertrouwelijke informatie van Iraanse internetgebruikers te verkrijgen. "We geloven dat de hacking-actie politiek gemotiveerd is", aldus DigiNotar in een verklaring op de eigen website.
Het bedrijf adviseert consumenten om de browser te updaten en certificaten te controleren. "Het is belangrijk voor eindgebruikers om online security waarschuwingen serieus te nemen." Eerder liet het bedrijf nog weten dat gebruikers de certificaatwaarschuwingen die de browsers bij DigiNotar-certificaten gaven, in 99,9% van de gevallen konden negeren.
DigiNotar richt zich ook op Iraanse internetgebruikers. "Het is mogelijk dat de resultaten van de hack voor interne Iraanse politieke activiteiten worden gebruikt, om lokale democratische bewegingen te verstoren." Verder hoopt het bedrijf weer het vertrouwen van klanten terug te winnen.
Beetje laat......helaas voor DigiNotar: te laat. Deze reactie hadden ze op 19 juli moeten geven, dan was de impact wellicht nog beperkt gebleven.
DigiNotar heeft met haar handelen het eigen doodvonnis getekend.
Jullie zijn toch al verleden tijd
Maar hoe ze nu ook praten, zogenaamd advies geven aan hun buitenwereld en hoe ze de zaak belichten, het stinkt en of klopt van geen kant.
Het gedeelte wat ze willen zeggen over wat er is gebeurt is niet alleen beschamend maar ook ordinaire arrogante bagatellisering. Wat er is gebeurt is dat men bij diginotar bij actie van aanvallers van buiten de regie kwijt was over het aanmaken en verkrijgen van ondertekende certificaten. Dat men bij diginotar liever probeerde om weken lang te zwijgen over de incidenten en niets te zeggen over risico's voor hun buitenwereld.
Wat nog schokkender is is de inhoud van het rapport over de veiligheid zoals de NOS aangeeft: een belangrijk systeem waarop verouderde en mogelijk onveilige software draait. Ontbreken van primaire preventieve bescherming als antivirus software, het toestaan en toepassen van eenvoudig te kraken authenticatie.
En dan is het de bedoeling van de personen bij diginotar dat de buitenwereld hun advies serieus neemt over het toepassen van elementaire beveiligingsmaatregelen.
Wie heeft de audit om hun CA-waardigheid uitgevoerd en goedgekeurd?!?!? Waarom is zo'n organisatie actief als auditor. Dat vind ik net zulke belangrijke vragen en antwoorden als de vragen waarom men bij diginotar geen elementaire beveiliging wenste toe te passen en handelde als ze tot nu toe gedaan hebben?
Zullen ze toch eerst de browser fabrikanten moeten overtuigen en dat is echt kansloos.
Lijkt me toch dat daarbij ook steken zijn gevallen...
Lijkt me toch dat daarbij ook steken zijn gevallen...
als je een klein beetje op de hoogte bent v/d Webtrust certificatie-praktijken dan kan een beetje rondstruinen op de diginotar site je die naam meteen opleveren.
De schuld ligt trouwens niet bij die auditor, maar bij diginotar zelf.
als je een klein beetje op de hoogte bent v/d Webtrust certificatie-praktijken dan kan een beetje rondstruinen op de diginotar site je die naam meteen opleveren.
De schuld ligt trouwens niet bij die auditor, maar bij diginotar zelf.
Nee, ik ben niet op de hoogte. Wil ook niet zeggen dat de schuld bij de auditor ligt, maar vind het bijzonder dat Diginotar op deze manier kon opereren terwijl kennelijk de beveiliging niet op orde is geweest. Dit zou op zijn minst tijdens een audit aan het licht moeten komen, anders wordt er m.i. op de verkeerde onderdelen ge-audit.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
