Vorige week kondigde Google aan dat het deze zomer een groot deel van de advertenties versleuteld via HTTPS gaat aanbieden, maar dit maakt het waarschijnlijk ook lastiger om besmette advertenties te detecteren, zo waarschuwt een Nederlandse beveiligingsonderzoeker.

Onlangs vonden er verschillende aanvallen plaats waarbij er besmette advertenties via het advertentienetwerk van Google werden verspreid. Eén van die aanvallen was afkomstig van een Bulgaars advertentiebedrijf dat waarschijnlijk was gehackt en door de aanvallers was gebruikt om besmette advertenties naar Google te sturen. Zelfs als dit bedrijf HTTPS voor het weergeven van advertenties had gebruikt hadden aanvallers met toegang tot het advertentieplatform nog steeds besmette advertenties naar Google kunnen sturen.

Dat stelt Maarten van Dantzig, beveiligingsonderzoeker bij Fox-IT, tegenover PC World. De aanval werd door het Delftse beveiligingsbedrijf opgemerkt. Zou het advertentieverkeer echter versleuteld zijn geweest, dan had Fox-IT de kwaadaardige advertentiecampagne niet kunnen lokaliseren en was het Bulgaarse bedrijf niet als oorzaak geïdentificeerd.

Zichtbaarheid

Google wil met het versleutelen van advertenties ervoor zorgen dat meer websites HTTPS gaan gebruiken. Iets waar ook Van Dantzig voorstander van is. Hij stelt echter dat de maatregel ook nadelen heeft. Zo verkleint het de zichtbaarheid van netwerkverdedigers. Netwerkbeveiligingsapparatuur kan de kwaadaardige code in de versleutelde advertenties niet detecteren, tenzij het apparaat ook versleuteld verkeer kan onderscheppen en ontcijferen.

Hiervoor moet er bijvoorbeeld op computers een zelf gesigneerd certificaat zijn geïnstalleerd. Veel bedrijven zouden nog niet over een dergelijke installatie beschikken. Ook het onderzoeken van de advertenties wordt door het gebruik van HTTPS bemoeilijkt. Door de verminderde zichtbaarheid voor beveiligingsonderzoeker moeten advertentienetwerken de besmette advertenties zelf gaan identificeren, aldus Van Dantzig. Hij heeft echter zijn twijfels of die hier wel klaar voor zijn.