Certificaten Let's Encrypt en Comodo gebruikt voor phishing
Certificaatautoriteiten Lets's Encrypt en Comodo hebben in het eerste kwartaal van dit jaar duizenden ssl-certificaten voor phishingsites uitgegeven, zo laat internetbedrijf Netcraft weten. Het bedrijf blokkeerde in het eerste kwartaal phishingaanvallen van meer dan 47.500 websites met een geldig ssl-certificaat.
Bij zo'n 20.000 websites werd de gehele website geblokkeerd in plaats van een specifieke subdirectory die voor het hosten van de phishingsite werd gebruikt. Van de volledig geblokkeerde websites had 61 procent een ssl-certificaat dat door Let's Encrypt was uitgegeven en maakte 36 procent gebruik van een certificaat van Comodo. Volgens Robert Duncan van Netcraft is het gebruik van ssl-certificaten door phishingsites met name gevaarlijk, aangezien dergelijke websites als betrouwbaar worden aangemerkt. Internetgebruikers is namelijk geleerd om naar het "slotje" in de adresbalk te kijken.
De aanwezigheid van een versleutelde verbinding wil echter niets zeggen of de website in kwestie betrouwbaar of veilig is. "Sommige certificaatautoriteiten en browserontwikkelaars stellen dat fraudepreventie geen taak van de certificaatautoriteit is, maar de omvang van het te verwachten misbruik dat automatisch kan worden bestreden rechtvaardigt om deze opvatting mogelijk te herzien", aldus Duncan. Eerder werd al bekend dat Let's Encrypt 15.000 certificaten voor PayPal-phishingsites had uitgegeven.
Weer een voorbeeld van publiek trappen naar anderen uit commercieel eigenbelang.
U verbindt 2 zaken wel heel gemakkelijk tot een conclusie, die in mijn ogen op basis van dit bericht niet gerechtvaardigd is.
Maar misschien weet u meer.
Had u het meer integer gevonden als een partij als Fox IT een dergelijk feitje had gebracht?
Ik zie hier nog niet zo zeer een "publiek trappen naar anderen". Ik zie een bedrijf dat een dienst levert en daar een bericht over de wereld in stuurt.
"Internetgebruikers is namelijk verkeerd aangeleerd om alleen naar het "slotje" in de adresbalk te kijken."
Zolang de mens nog de zwakste schakel is moeten systemen die beschermen en nu gaat beschikbare software er nog vanuit dat de mens alwetend is.
Verder drukt goed de lading wat er op het moment speelt.
U verbindt 2 zaken wel heel gemakkelijk tot een conclusie, die in mijn ogen op basis van dit bericht niet gerechtvaardigd is.
In elk geval niet op de manier van Chrome, door op elke https website ook nog eens het woord veilig naast de url-balk te zetten. Toen ik die aankondiging las, rezen mijn haren me te berge. Daar moet bij Chrome toch ook wel iemand geweest zijn die doorhad dat de leek dat woord "veilig" echt niet met het slotje gaat associeren.
Voor de leek zijn er nog plug-ins zoals WOT (Web of Thrust). Een nieuw aangemaakte phishing site zal daar noot een serieuze score op kunnen bouwen. Qua privacy kun je alles vinden van WOT, maar de leek ziet in elk geval de beoordeling door een grote groep gebruikers van een site.
WOT faalt alleen als een betrouwbare site gehacked wordt en dan voor fishing gebruikt wordt.
In elk geval niet op de manier van Chrome, door op elke https website ook nog eens het woord veilig naast de url-balk te zetten. Toen ik die aankondiging las, rezen mijn haren me te berge. Daar moet bij Chrome toch ook wel iemand geweest zijn die doorhad dat de leek dat woord "veilig" echt niet met het slotje gaat associeren.
Voor de leek zijn er nog plug-ins zoals WOT (Web of Thrust). Een nieuw aangemaakte phishing site zal daar noot een serieuze score op kunnen bouwen. Qua privacy kun je alles vinden van WOT, maar de leek ziet in elk geval de beoordeling door een grote groep gebruikers van een site.
WOT faalt alleen als een betrouwbare site gehacked wordt en dan voor fishing gebruikt wordt.
@ mr. 'Epic & Co' aangaande WOT advies
Neem nog eens de tijd wat berichten te herlezen die je eigenlijk niet gemist kan hebben.
- https://www.security.nl/posting/491610/Mozilla+verwijdert+Firefox-uitbreiding+Web+of+Trust
- https://www.security.nl/posting/491703/Google+en+Opera+verwijderen+browseruitbreiding+Web+of+Trust
- https://www.security.nl/posting/491795/Web+of+Trust+kondigt+maatregelen+aan+na+privacylek
WOT adviseren is dus niet zo sterk, ook niet (of juist niet) voor leken.
Privacy onderwerpen zijn gewoon je ding niet, hou het bij s.v.p. bij bijv. Dmarc, die bijdragen zijn wel gewaardeerd omdat ze beter onderbouwd zijn.
al dan niet een phishing domein is. Het enige wat DV-certs zeggen is dat het een encrypted connectie is die
correct gekoppeld is voor de domeinnaam.
Als je phishing wilt aanpakken moet je als achter de club aangaan die het domein uitgegeven heeft.
al dan niet een phishing domein is. Het enige wat DV-certs zeggen is dat het een encrypted connectie is die
correct gekoppeld is voor de domeinnaam.
Als je phishing wilt aanpakken moet je als achter de club aangaan die het domein uitgegeven heeft.
En wat als DNS records voor ing.nl in orde zijn maar een cert-boer aan de andere kant van de wereld tijdens de certaanvraag gefopt wordt met vervalste DNS records door een DNS cache poisoning aanval of door een BGP hijack?
DNS = identiteit, certificaat = autentiteit!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
