211service.com
Fałszywe certyfikaty ujawniają luki w bezpieczeństwie Internetu
Poważne naruszenie u holenderskiego dostawcy certyfikatów cyfrowych spowodowało, że niektórzy eksperci ds. bezpieczeństwa zakwestionowali infrastrukturę, która stanowi podstawę bezpieczeństwa Internetu.
Naruszenie umożliwiło nieznanym atakującym wystawienie co najmniej 531 fałszywych certyfikatów dla głównych domen, w tym Google.com, Microsoft.com i Yahoo.com. Certyfikaty mają na celu zweryfikowanie, czy witryna jest autentyczna dla przeglądarki internetowej odwiedzającego; ta weryfikacja uniemożliwia atakującemu użycie sfałszowanego adresu domeny do kradzieży danych. Certyfikaty zawierają zaszyfrowane dane, dzięki którym przeglądarki i inne oprogramowanie mogą potwierdzić, że witryna jest wiarygodna. Tak więc naruszając certyfikat cyfrowy, osoba atakująca może podszywać się pod bezpieczną witrynę, taką jak Gmail Google, i przechwycić komunikację lub ominąć mechanizmy bezpieczeństwa i zainstalować złośliwe oprogramowanie.
Niezwykłe w tym przypadku nie jest to, że urząd certyfikacji został naruszony, ale to, że ktoś to zauważył, mówi Moxie Marlinspike, dyrektor ds. technologii i współzałożyciel Whisper Systems, firmy zajmującej się zabezpieczaniem komunikacji mobilnej. Dzieje się tak cały czas.
Firma DigiNotar zajmująca się skompromitowaną certyfikacją jest jedną z około 650 firm, znanych jako urzędy certyfikacji lub urzędy certyfikacji, które są zaufane do wystawiania certyfikatów. Na początku tego roku inny urząd certyfikacji, Comodo, przyznał, że atakujący naruszył bezpieczeństwo jego systemów i wydał co najmniej dziewięć certyfikatów dla dużych domen, w tym Google, Skype i Yahoo. Na konferencji Black Hat Security w sierpniu Marlinspike skrytykował obecny system urzędów certyfikacji i zaproponował inny model, znany jako Convergence, oparty na modelu zaufania peer-to-peer.
Electronic Frontier Foundation, grupa zajmująca się prawami cyfrowymi, argumentowała w analizie opublikowano w tym tygodniu, że ostatnie włamania sugerują, że wybór zaufania do urzędu certyfikacji powinien leżeć od użytkownika, a nie od dostawców przeglądarek lub witryn internetowych.
Wydaje się, że te CA istnieją w jurysdykcjach około 50 krajów, piszą autorzy raportu. Każdy z tych krajów mógłby zmusić urząd certyfikacji do tworzenia fałszywych certyfikatów w celu szpiegostwa lub szpiegowania obywateli tego kraju.
Ostatni atak pokazuje, że pojedyncze naruszenie może mieć dalekosiężne skutki. A raport wstępny wydany przez holenderską firmę zajmującą się bezpieczeństwem Fox-IT na początku września wykazał, że intruzi wykorzystali istotne słabości w zabezpieczeniach sieci DigiNotar, w tym jedno konto zdolne do kontrolowania wszystkich serwerów certyfikatów i używając słabego hasła w celu uzyskania dostępu do konta. Firma odkryła, że ponad 300 000 unikalnych adresów IP — prawie w całości z Iranu — napotkało jeden fałszywy certyfikat wydany dla domeny Google. Już teraz Apple, Google, Microsoft i Mozilla zaktualizowały swoją przeglądarkę, aby nie ufać jakimkolwiek certyfikatom podpisanym przez DigiNotar.
Holenderski rząd, który do szyfrowanej komunikacji opiera się na podpisach cyfrowych wydawanych przez DigiNotar, przejął operacje certyfikacyjne firmy. Ponadto bada, czy skupienie się na irańskich użytkownikach może wskazywać, że rząd kraju mógł być zamieszany w atak.
System certyfikatów działa, ale wymaga większego skupienia się na bezpieczeństwie, mówi Amar Doshi, starszy menedżer ds. produktów certyfikujących w firmie Symantec zajmującej się bezpieczeństwem, która nabyła i obecnie zarządza urzędem certyfikacji VeriSign.
Wszystkie wydarzenia z ostatnich kilku tygodni naprawdę pokazują, że „certyfikat to certyfikat to certyfikat” tak naprawdę nie ma zastosowania, mówi Doshi. Istnieją różnice między certyfikatami. Istnieją różnice między urzędami certyfikacji.
Niektórzy twórcy przeglądarek wydają się gotowi skupić się na tych różnicach. W zeszłym tygodniu Mozilla Foundation, grupa zarządzająca rozwojem przeglądarki Firefox, dostarczyła urzędom certyfikacji listę kontroli bezpieczeństwa do wykonania w ciągu ośmiu dni. Powiedział, że każdy organ, który nie zastosuje się do żądania, może znaleźć wszelkie wydane przez siebie certyfikaty, które Mozilla uznała za niewiarygodne.
Uczestnictwo w programie root firmy Mozilla jest według naszego wyłącznego uznania i podejmiemy wszelkie niezbędne kroki, aby zapewnić bezpieczeństwo naszym użytkownikom, Kathleen Wilson, menedżer programu odpowiedzialna za moduł certyfikatów CA firmy Mozilla, powiedział w e-mailu organom certyfikującym.