SSL-uitgever GlobalSign gehackt
Ook SSL-uitgever Global Sign is het slachtoffer van een aanval geworden, maar de impact is veel kleiner dan bij DigiNotar, zo laat het bedrijf op de eigen website weten. Nadat de DigiNotar-hacker had gezegd dat hij ook toegang tot GlobalSign had, besloot de Certificate Authority de uitgifte van certificaten tijdelijk op te schorten. Vervolgens werd er een onderzoek ingesteld om te controleren of de infrastructuur inderdaad gecompromitteerd was.
In de verklaring stelt de SSL-uitgever dat er inderdaad een webserver waar de website op draait is gehackt. Deze gehackte webserver staat echter los van de infrastructuur die wordt gebruikt voor het uitgeven en genereren van SSL-certificaten. "Op dit moment is er geen verder bewijs voor een aanval op de geïsoleerde www webserver na."
Aansluitend heeft GlobalSign besloten om de activiteiten van alle diensten nauwlettend te monitoren. Verder zullen alle forensisch details met de autoriteiten en andere certificate authorities worden gedeeld, om te helpen met onderzoek naar mogelijk gerelateerde aanvallen.
Ofwel, het SSL systeem is failliet. We hebben een beter systeem nodig om communicatie mee te beveiligen...
"Deze gehackte webserver staat echter los van de infrastructuur die wordt gebruikt voor het uitgeven en genereren van SSL-certificaten."
Daarnaast wordt de root-key (absolute hoofd) offline bewaard alleen gebruikt om een zogenaamd intermediate certificaten aan te maken, de intermediate wordt dan weer gebruik om de eindgebruikers certificaten te ondertekenen.
Als alleen het intermediate certificaat wordt gekraakt hoef je alleen dit en de eindgebruiker-certs vervangen en niet de root-key.
E-mail van networking4all.
Vanwege het nieuws omtrent het stopzetten van de uitgifte van SSL Certificaten door GlobalSign willen we u middels deze e-mail nadere informatie verstrekken. Naar aanleiding van de DigiNotar-hack, waarbij in een verklaring van de hacker stond dat deze ook toegang zou hebben tot de systemen van andere CA's, waaronder GlobalSign, heeft deze uit voorzorg tijdelijk het systeem voor uitgifte van SSL Certificaten stopgezet totdat het onderzoek is afgerond.
Op dit moment is er nog niets meer bekend dan eerder in het persbericht van GlobalSign en het daaropvolgende nieuwsbericht op onze website naar buiten is gekomen. Wel kunnen we u melden dat GlobalSign alle noodzakelijke maatregelen heeft getroffen om de eventueel opgelopen schade beperkt te houden. Zo valt het te prijzen dat GlobalSign haar systemen tijdelijk plat heeft gelegd en geen certificaten uitgeeft, ondanks dat er nog geen bewijs is gevonden voor de hack.
Alle reeds uitgegeven SSL Certificaten van GlobalSign blijven gewoon geldig en u hoeft zich geen zorgen te maken over de veiligheid hiervan. In tegenstelling tot DigiNotar heeft GlobalSign een volledig eigen root certificaat dat in een fysieke kluis ligt opgeslagen (en dus niet via een digitale weg is op te vragen) en is er geen mogelijkheid dat dit certificaat wordt gecompromitteerd. Daarnaast maakt GlobalSign gebruik van een tussenliggend (intermediate) certificaat. Mocht dit gecompromitteerd zijn, kan aan de hand van een nieuw intermediate certificaat een nieuw eindgebruiker certificaat worden uitgegeven. Tot op heden is er echter nog geen enkele aanwijzing dat deze procedure gevolgd dient te worden.
GlobalSign wil benadrukken dat er geen reden tot onrust hoeft te zijn. De CA heeft Fox-IT ingeschakeld om de mogelijke hack te onderzoeken en een onafhankelijk rapport op te stellen. Deze partij heeft ook onderzoek gedaan naar DigiNotar en heeft daarom veel ervaring met de werkwijze van de Iraanse hacker.
Voor meer informatie verwijzen we u naar ons nieuwsbericht: https://www.networking4all.com/nl/ssl+certificaten/ssl+nieuws/globalsign+ssl+certificaten+tijdelijk+niet+uitgegeven/
Symantec heeft in een verklaring aangegeven dat hun merken VeriSign, Thawte en GeoTrust veilig zijn en dat de certificaten van deze merken niet gecompromitteerd zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.