Nederlander ontdekt gat in Heartbleed-beveiliging Akamai
Een oplossing waarvan internetgigant Akamai dacht dat het misbruik van de Heartbleed-bug voorkwam bleek toch niet te werken, zo ontdekte de Nederlander Willem Pinckaers. Via de Heartbleed-bug in OpenSSL kan een aanvaller onder andere SSL-sleutels bemachtigen.
Ook Akamai had met dit probleem te maken, maar gebruikte naar eigen zeggen al geruime tijd een zelf ontwikkeld "custom secure allocation scheme" dat misbruik van het lek zou moeten voorkomen.
Toch kwetsbaar
De aankondiging van Akamai werd positief op internet ontvangen, maar Pinckaers ontdekte dat de oplossing van de internetgigant niet werkte en niet veilig was. Daardoor kon een aanvaller ook bij Akamai de SSL-sleutels van klanten compromitteren. Akamai heeft de door Pinckaers ontdekte problemen bevestigd.
Vanwege het probleem heeft Akamai nu besloten om van alle klanten het SSL-certificaat proactief te vervangen. Daarnaast zegt de internetgigant de andere claims van Pinckaers te onderzoeken om te zien hoe het de beveiliging verder kan aanscherpen.
Willem Pinckaers is onafhankelijk beveiligingsonderzoeker en tevens consultant bij Certified Secure.
Uitsnijden en hechten is de enige oplossing.
Uitsnijden en hechten is de enige oplossing.
Ja, maar ook: in cryptografie is iedereen verdacht omdat die mensen iets te vaak security gelijkstellen aan cryptografie.
"This should really be considered more of a proof of concept than something that you want to put directly into production." .....
"Let me restate that: *do not just take this patch and put it into production without careful review.*"
Beetje storm in een glas water dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
