Bekijk Volledige Versie : Diginotar hack
Ik volg de ontwikkelingen rondom Diginotar al een poosje, maar vond het tot nu toe eigenlijk niet echt een bijzonder verhaal.
Nu las ik zojuist dat het incident rondom deze kwestie mogelijk mensenlevens in gevaar zou hebben gebracht. Wtf? http://webwereld.nl/nieuws/107747/iran-kan-gmail-aftappen-door-nederlands-certificaat--update-2--.html
Het bewust niet bekendmaken van digitale inbraken die mensenlevens in gevaar brengen, zoals bij DigiNotar, moet strafbaar worden gesteld. De directe meldingsplicht moet in de wet worden opgenomen.
Dat zegt Tweede Kamerlid Martijn van Dam van de PvdA. Hij vindt het "ongehoord" en "schandelijk" dat het bedrijf DigiNotar twee maanden lang de hack waarbij beveiligingscertificaten konden worden vervalst, heeft stilgehouden. "Mogelijk zijn de levens van Iraanse dissidenten erdoor in gevaar gekomen. Ik weet niet of het mogelijk is een strafrechtelijk onderzoek te doen, maar als dat kan pleit ik daar wel voor."
Juistem.. omdat er een vervalst SSL certificaat voor Gmail gebruikt werd, zijn de levens van dissidenten in gevaar gebracht? Mis ik nu iets? Gmail wordt toch primair gebruikt om email te versturen over het niet-beveiligde SMTP protocol? Waarom zou het dan überhaupt iets uit maken hoe die dissidenten op Gmail inloggen?
Daarnaast;
- Als de informatie in kwestie levensbedreigend zou zijn, waarom zou je dat dan überhaupt via Google uitwisselen?
- Waarom wordt er hier naar DigiNotar gewezen, terwijl de agressor in kwestie de Iraanse overheid is? Is men bang om Iran zelf eens te confronteren met deze praktijken?
Het feit dat er bij Diginotar is ingebroken is zeker kwalijk, maar niet onoverkomelijk. Het feit dat ze dat daarna nog 6 weken stil hebben geprobeerd te houden is natuurlijk onacceptabel en m.i. een reden om het vertrouwen in dit bedrijf op te zeggen. Maar de richting waar de discussies nu heen gestuurd worden, is wel heel erg overtrokken. Als je het mij vraagt, is dit simpelweg een kwestie van misbruik van de situatie door de politiek om de meldingsplicht er doorheen gedrukt te krijgen.
Als je via Google een mail verstuurd wordt het tussen de client (browser) en Google gewoon via SSL afgehandeld. Net als het uitwisselen van wachtwoorden. De mail wordt vervolgens verstuurd vanaf een hele andere locatie dan waar een Iraanse inlichtingendienst afluistermogelijkheden heeft. Dus dat verklaart het wel een beetje. Met een gekraakt SSL cert zijn zowel de berichten als de wachtwoorden (die vaak ook op andere sites gebruikt worden) af te lezen binnen het gebied waar Iraanse veiligheidsdiensten wél kunnen afluisteren.
En op zich is het toch niet zo gek dat als je miljoenen verdient met lullige certificaatjes verkopen aan de overheid je een meldingsplicht krijgt als je gehackt wordt? De veiligheid van vele hangt er vanaf. Zij zijn de weakest link en ik vind het dan ook kwalijk dat ze het niet genoemd hebben. Je hebt echter helemaal gelijk dat het nooit helemaal te voorkomen is. De overheid moet dan ook zorgen dat de certs snel te vervangen zijn.
En ze moeten vooral niet op het briljante idee komen om alles het 'onder één hand' te doen. Juist door alles onder 1 rootcertificaat te gooien maken ze het zich erg moeilijk en zijn ze kwetsbaar. En laat ze toch voor interne communicatie zelf certificaten maken. Scheelt geld en is, als je het goed doet, veiliger omdat je de risico's kan spreiden.
Juistem.. omdat er een vervalst SSL certificaat voor Gmail gebruikt werd, zijn de levens van dissidenten in gevaar gebracht? Mis ik nu iets? Gmail wordt toch primair gebruikt om email te versturen over het niet-beveiligde SMTP protocol? Waarom zou het dan überhaupt iets uit maken hoe die dissidenten op Gmail inloggen?
Verwacht je met bovenstaand nu serieus een serieuze discussie ?
Maar de richting waar de discussies nu heen gestuurd worden, is wel heel erg overtrokken. Als je het mij vraagt, is dit simpelweg een kwestie van misbruik van de situatie door de politiek om de meldingsplicht er doorheen gedrukt te krijgen.
Is het ooit anders geweest ? Er zijn inmiddels ontelbare voorbeelden waarbij de journalistiek tot op het bot gaat, en de politiek daar mooi gebruik van maakt. Een mooi voorbeeld van nu is de wapen-wetgeving. Hoeveel jongens en meisjes stappen vanuit de (sport) kantine niet beschonken in hun auto waarbij ze een vierwielig wapen hebben. Het is allemaal symbool politiek.....
Lees het volgende FOX IT oordeel/artikel maar eens:
http://webwereld.nl/nieuws/107833/fox-it--diginotar-gebruikte-niet-eens-virusscanner.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Webwereld+%28Webwereld%29
Bij SSL Certificaten worden toch altijd garanties afgegeven? Wat waren de garantiebepalingen bij diginotar? Ik neem aan dat dit de eerste keer wordt dat er uitgekeerd moet gaan worden?
hrodenburg
06/09/11, 09:38
Da's een goeie. Nu is het natuurlijk wel zo dat er certificaten zijn uitgegeven voor bijv. *.google.com, terwijl Diginotar niet de CA voor dit domein is. Dus google heeft geen overeenkomst met Diginotar. Lijkt mij ook dat er dan geen claim neergelegd kan worden, toch?
In welke situaties wordt er dan eigenlijk uitgekeerd?
Als je via Google een mail verstuurd wordt het tussen de client (browser) en Google gewoon via SSL afgehandeld. Net als het uitwisselen van wachtwoorden. De mail wordt vervolgens verstuurd vanaf een hele andere locatie dan waar een Iraanse inlichtingendienst afluistermogelijkheden heeft. Dus dat verklaart het wel een beetje. Met een gekraakt SSL cert zijn zowel de berichten als de wachtwoorden (die vaak ook op andere sites gebruikt worden) af te lezen binnen het gebied waar Iraanse veiligheidsdiensten wél kunnen afluisteren.
Op zich heb je daarmee een goed punt. Ik blijf er wel bij dat het me erg onlogisch lijkt om levensbedreigende informatie via Google te versturen, terwijl er veel veiligere kanalen zijn.
Is het ooit anders geweest ? Er zijn inmiddels ontelbare voorbeelden waarbij de journalistiek tot op het bot gaat, en de politiek daar mooi gebruik van maakt.
Tuurlijk, maar dat is m.i. des te meer reden om er commentaar op te leveren. Een stukje bewustwording van dit soort misbruik van de situatie kan toch invloed hebben op de uiteindelijke beslissingen.
Het gaat me er vooral om dat er nu geïnsinueerd wordt dat Diginotar strafrechtelijk vervolgd zou moeten worden voor het in gevaar brengen van mensenlevens, en dat lijkt me echt een stap te ver gaan.
Thijsvdbrink
06/09/11, 12:44
Voor het nuttig gebruiken van een vals certificaat is het ook nodig de DNS van de pc aan te passen,
middels de host-file, een browser-aanpassing, of rechtstreekt op de DNS server.
Leuk als onze 95.123..123.123 een gestolen/geldig google.com cerificaat heeft,
maar als er niemand komt (want geen DNS-hack) dan doet dat niet veel.
Ik lees dat er verkeer vanuit minstens 40 iraanse ISP's kwam, dus die zitten met zijn allen op een aangepaste DNS server, ieder op zijn eigen aangepaste DNS server, of heel erg veel iraanse PC's zijn lokaal gecompromitteerd. en als dat zo is, waarom dan nog met certificaten klooien, als je gewoon met ze mee kunt lezen.
Mijn conclusie:
Iran heeft hun ISP's opgedragen de DNS servers lokaal aan te passen, nadat ze de beschikking kregen over de valse certificaten.
Jammer genoeg voor hen hadden ze niet in de gaten dat Chrome de google certificaten zelf checkt bij google.
Hadden ze slechts een paar kleinere sites gespoofed, dan was dit heel lang onontdekt gebleven. (Diginotar had in ieder geval niks gezegd)
En op zich is het toch niet zo gek dat als je miljoenen verdient met lullige certificaatjes verkopen aan de overheid je een meldingsplicht krijgt als je gehackt wordt
Uiteraard zou er voor dit soort vertrouwen-gebaseerde instanties een meldingsplicht moeten zijn. Waar ik op doelde is dat dit incident nu aangegrepen wordt om de meldingsplicht er in veel bredere zin doorheen te drukken.
Het gaat me er vooral om dat er nu geïnsinueerd wordt dat Diginotar strafrechtelijk vervolgd zou moeten worden voor het in gevaar brengen van mensenlevens, en dat lijkt me echt een stap te ver gaan.
Is dat zo ? Bij ander cert verstrekkers staan er anders ook verplichtingen tegenover. Het moge duidelijk zijn dat ze de zaak willens en wetens hebben laten versloffen. Als certificaten onopgemerkt gegenereerd kunnen worden, ingezet worden als man-in-the-middle attack. Zeker in landen waarbij vrijheid van menings uitingen helemaal niet bij de orde van de dag horen. Hoor je daar als bedrijf door nalatigheid voor aangepakt te worden. Het hele certificaat principe is gebaseerd op een chain-of-trust. Dat weet je op moment je er aan begint.
Persoonlijk vind ik het een goede zaak dat bestuurders bij aantoonbaar nalatigheid, eindelijk eens over de knie gaan waar ze overheen behoren te liggen. De witten boorden hebben jarenlang de dans kunnen ontspringen. Als jij of ik wat verkeerd doen, ontspringen wij de dans ook niet, waarom zouden zij dat wel mogen en/of kunnen ?
Uiteraard zou er voor dit soort vertrouwen-gebaseerde instanties een meldingsplicht moeten zijn. Waar ik op doelde is dat dit incident nu aangegrepen wordt om de meldingsplicht er in veel bredere zin doorheen te drukken.
En terecht, id/bsn skimming zal aankomende jaren nog veel verder gaan. Dat zal voor onze generatie nog een probleem worden. Neem nou sony met 70 miljoen leden. Hoe groot of klein, elke vorm van gegevens die ongevraagd op straat komt te liggen moet gewoon geregistreerd worden. Als is het alleen maar om jezelf in te kunnen dekken bij bijvoorbeeld een verzekeringsmaatschappij.
Ik lees dat er verkeer vanuit minstens 40 iraanse ISP's kwam, dus die zitten met zijn allen op een aangepaste DNS server, ieder op zijn eigen aangepaste DNS server, of heel erg veel iraanse PC's zijn lokaal gecompromitteerd. en als dat zo is, waarom dan nog met certificaten klooien, als je gewoon met ze mee kunt lezen.
Of ergens in de pijplijn van verkeer naar het buitenland wordt het verkeer geredirect naar een ander ipadres.
(of het ipadres van google bestaat toevallig ook in iran)
Als je dan ook een ssl certificaat hebt is het voor bezoekers heeeeel lastig te ontdekken dat je niet op de echte google zit.
"De ergste certificaten zijn uitgegeven voor *.*.com en *.*.org, terwijl vervalste certificaten voor Windows Update en andere hosts in vergelijking minder schadelijk zijn", stelt Appelbaum. "De aanvallers hebben ook certificaten uitgegeven uit naam van andere CA's, zoals 'Verisign Root CA' en 'Thawte Root CA', al kunnen we niet bepalen of ze er in zijn geslaagd om onderliggende CA-certificaten uit te geven."
http://tweakers.net/nieuws/76567/diginotar-hackers-blijken-531-certificaten-te-hebben-vervalst.html
En gaat nu de volgende Certficaat verstrekker door het stof: http://pastebin.com/1AxH30em
GlobalSign
We are aware of the Comodo hacker BLOG that claims access to a number of major CAs including #GlobalSign
http://twitter.com/#!/globalsign
wat ik niet begrijp is dat er mensen zijn die niet inzien dat dit ECHT wel degelijk tot levensbedrijgende situaties kan leiden... bijv het EPD maakt ook gebruik van deze root-CA met andere woorden, je zou dit soort informatie kunne jatten en misbruiken om 'de ideale moord' te plegen...
je zou gegevens van de aivd kunnen jatten daardoor terroristen op de hoogte kunnen zijn van sporen die men heeft... en plots besluiten ergens anders bommen af te laten gaan...
je zou militaire sluitels kunnen genereren waardoor men in afghanistan behoorlijke gevaar kunnen lopen... er zijn MEER dan genoeg mogelijkheden om met valse certs levens in gevaar te brengen...
dat google toevallig als eerste in het nieuws kwam wil niet zeggen dat dit het meest omvangrijke cert blijkt...
Ik kwam deze nog tegen op tweakers
http://tweakers.net/nieuws/76623/ssl-verstrekker-globalsign-staakt-uitgeven-certificaten.html
We kunnen wel stellen dat het 'game over' is voor Diginotar.
Diginotar-partners zoeken naar alternatieven
Advocatenorde zegt vertrouwen in Diginotar op (http://www.computable.nl/artikel/ict_topics/security/4141174/1276896/diginotarpartners-zoeken-naar-alternatieven.html)
Maar een goed alternatief voor certificaat ontbreekt nog (http://www.computable.nl/artikel/ict_topics/internet/4144232/1282763/alternatief-voor-certificaat-ontbreekt-nog.html).
Maar een goed alternatief voor certificaat ontbreekt nog (http://www.computable.nl/artikel/ict_topics/internet/4144232/1282763/alternatief-voor-certificaat-ontbreekt-nog.html).
Het lijkt me ook wat onzinnig om te stellen dat er een alternatief voor SSL nodig is op basis van wat er nu gebeurd is. Diginotar en Comodo hadden hun beveiliging simpelweg niet op orde, waarbij Diginotar er wel echt een potje van heeft gemaakt. Er zouden m.i. heel strikte veiligheidsnormen opgelegd moeten worden aan de CA's (met regelmatige audits door externe partijen), en de totale hoeveelheid CA's zou ingeperkt moeten worden. Daarnaast zou ook de verificatie van de authenticiteit van de aanvrager ook een stuk strikter moeten worden; momenteel wordt er voor budget-certificaten niet veel meer gedaan dan het versturen van een verificatie-emailtje, en als je dat mailtje kan onderscheppen, werkt dat systeem al niet meer. Dit alles zou natuurlijk resulteren in een hogere kostprijs, maar daar zie ik het probleem niet van in.
Natuurlijk kan er ook naar alternatieven gekeken worden, maar ik denk dat het erg lastig/onmogelijk zal zijn om alle risico's volledig uit te sluiten.
apoc minder ca's zie ik eigenlijk niet zo zitten, dat is net als met minde mobiele providers in plaats van innovatie krijg je dan gewoon prijsverhogingen ...
neej minder spelers in de markt is zelden DE oplossing... bedrijven - en hun bestuur hoofdelijk (ook bv's, nv's etc - en incl aanddeelhouders)... aansprakelijk stellen bij dit soort fouten - en mensen gewoon uit huis zetten als ze hiervoor verantwoordelijk zijn DAT beweegt mensen misschien om hun beveiliging nog eens te controleren...
en ALS er dan al een hack geschiede, (er zijn altijd slimmere mensen dan jij op deze wereld (er is maar 1 uitzondering daarop en wel een heel specifieke)... weet dan wat voor maatregelen je moet treffen en rust niet voor je die getroffen hebt...
dat lakse van diginotar (zomaar een kut bedrijfje uit nergenshuizen)... DAT is het grote probleem op het boze interwebz...
"het zal mij niet overkomen" en "ach zeur niet zo, je zet het toch zeker niet in je rapport he" of "ach joh die hack, vast een scriptkiddie, maak je maar geen zorgen, gewoon een storm in een glas water" ...
bah.... standrechtelijk executeren die gasten...
En het laatste bericht van de 21 jarige cracker. Lees!
bron: http://pastebin.com/GkKUhu35
Hi again
Some more clarification seems to be needed...
a) What you did affected Iranian users, you attacked Iranian people, etc. etc. etc. bla bla bla
First of all people against Iranian government or Islam, even if they live inside Iran, we can't count them as Iranian people, I can't! If they get power to harm Islam and Iranian government, spying for foreign spying agencies (Mossad, CIA, MI6), they won't miss it. If they get paid from a foreign secret service, they can gather and send ANY information THEY CAN. These are not people of Iran, these type of people was my target, not normal people, people who don't have anything to do with secret services, Iran's enemies, Islam's enemies, etc.
Second: this time attack was limited to Iran, next time, I'll own as more as gateways in Israel, USA, Europe, as more as ISPs and attack will run there. You know man, I give promises and I keep them, I say words and they just happen, I told you wait and see previous time (Comodo case), now you see more. For an example ask a little from LMI.NET Berkley's ISP, ask about user Todd and password loc!666 (for example), ask if they detected that I was owned their all Linux boxes and I got access to their DNS servers, you see? I'm really sharp, powerful, dangerous and smart! I told in Comodo hack case that I rule the internet, I'll bring equality of controlling internet like USA for myself and you see I'm simply doing it, huh? How you are going to stop me you Mossad animals? Like this: http://www.silviacattori.net/article1421.html ? Israel still lives in age of stones, they kill people they just can't see, they kill Palestinian children and women, believe me, they shouldn't exists in this world. Hope to see that day soon...
Third: Do you know meaning of "Unstoppable Genius Digital Hacker?"
b) Some small brains said in their articles that it was easy hack, passwords was weak, it was a simple DNN bug, etc. etc. etc. bla bla bla blaaaa
First: If I gave all hackers of the world, ALL hackers by it's real meaning, they wouldn't be able to reach that network behind all those firewalls, routers and final networks without any access to internet which even doesn't have internet connection. So shut the ....
Second: You think I generated SSL and code signing certificates by sending some SQL queries or sending some requests or using some ready made in desktop applications with 1234 password default? Ahhh man! Stop taking people's work easy... There was netHSM with OpenBSD OS, only 1 port open, totally closed/protected with RSA SecurID and SafeSign Token management systems, they had around 8 smart card totally (a company with a lot of employees, only 8 smart card for SSL generation), you see? It's not "simple DNN bug", ok? I had remote desktop access in last RSA Certificate Manager system which had no any connection to internet, all files was coded in XUDA (there is no reference to XUDA programming language, even a single line), no one can access those server via Remote desktop, there was enough firewalls and routers which even blocked their own employeee to access that network. That network had different domain controller with different users, man! There is so much thing to explain, I'll do it later, just know it is most sophisticated hack of all time, that's all!
Third: You only heards Comodo (successfully issued 9 certs for me -thanks by the way-), DigiNotar (successfully generated 500+ code signing and SSL certs for me -thanks again-), StartCOM (got connection to HSM, was generating for twitter, google, etc. CEO was lucky enough, but I have ALL emails, database backups, customer data which I'll publish all via cryptome in near future), GlobalSign (I have access to their entire server, got DB backups, their linux / tar gzipped and downloaded, I even have private key of their OWN globalsign.com domain, hahahaa).... BUT YOU HAVE TO HEAR SO MUCH MORE! SO MUCH MORE! At least 3 more, AT LEAST! Wait and see, just wait a little bit like I said in Comodo case.
P.S. In wikipedia of SSL, it should be added for future that I caused to remove SSL or CA system security model, I have a special idea for private communication via browsers which could be used instead of SSL, but why should I share it and cause trouble for my own country? When USA and Israel can read all emails they want in Gmail, in Yahoo, data in Facebook, Twitter, etc. How my country should control those services? I'll help my own country for it as I did and you saw it. If my country get equal right as USA in controlling emails, I may share my brilliant unbreakable encryption system for replacement of SSL and CA system.
World is shocked just by my Comodo and DigiNotar hack, what would happen if I show my other skills in cryptography, cryptanalysis, binary analysis (assessment), reversing, kernel programming, other high profiles servers I hacked and extracted all needed information from them, etc. etc. Ohhh! May they change internet model, hahahahaaaaa
P.S.S. never forget, I'm just 21, you have to see much more from me!
By the way, I heard that Comodo CEO (poor Melih) have talked again and said it was again State sponsored and I'm not a single hacker bla bla... Dear Melih, please wake up, I'm the only hacker, just I have shared some certs with some people in Iran, that's all... Hacker is single, just know it
Hoe meer ik er over lees hoe triester ik het vind.
Ondermaatse bescherming
In een interimrapport schetst het securitybedrijf Fox-IT nu een eerste beeld van de ‘Operation Black Tulip’ hack. Daaruit blijkt dat in totaal 531 vervalste certificaten werden uitgegeven, en dat in wezen alle servers kwetsbaar waren voor misbruik door de hackers. Niet alleen bleken alle servers tot een zelfde Windows-domein te behoren (beschermd met een zwak paswoord), maar bovendien bleek de software op de publieke servers verouderd en niet gepatcht, terwijl op de onderzochte servers ook geen antivirussoftware stond.
Wat een prutsers. :(
apoc minder ca's zie ik eigenlijk niet zo zitten, dat is net als met minde mobiele providers in plaats van innovatie krijg je dan gewoon prijsverhogingen ...
Nee hoor, er zijn maar een handjevol spelers in de markt die concurrerende prijzen bieden. De overgrote meerderheid heeft nauwelijks bestaansrecht. Er zijn in totaal zo'n 175 CAs waarvan maar een heel klein deel bekend is.
Een Beverwijkse hacker van het eerste uur vertelt: ,,Vroeger zat Diginotar in de Zeestraat in Beverwijk, in het pand van notariskantoor Batenburg die met het bedrijf is begonnen. Ons cybercaf WorldCity zat slechts enkele panden verderop in die straat. Ooit hadden wij te maken met een uitvallende internetverbinding. Toen konden we gewoon doorgaan, want bij Diginotar stond een WiFi-verbinding (draadloos internet) wagenwijd open. We hebben daar toen dagenlang gebruik van gemaakt, en later nog wel eens. Er was volstrekt geen beveiliging op dat netwerk.
Hij vervolgt: ,,We wisten niet wat daar toen omging in dat bedrijf, we dachten aan stoffige notarissen en het interesseerde ons weinig. Hadden wij toen geweten wat we nu weten, dan hadden we het waarschijnlijk veel eerder gehackt. Bij Diginotar is zon beetje de hele beveiliging van de overheid ontworpen.
http://www.noordhollandsdagblad.nl/nieuws/stadstreek/kennemerland/article11197931.ece/UPDATE-14.50-uur%3A-Hackers-kwamen-twaalf-jaar-geleden-al-%E2%80%99binnen%E2%80%99-bij-Diginotar
Ach ja. Tot ziens!
Beverwijkse hackers weten al sinds twaalf jaar dat inbreken bij Diginotar kinderspel is. Niet dat ze erg ver zijn gegaan, maar als ze het hadden gewild, waren ze toen al net zo makkelijk in alle systemen gekomen als de Iraanse hackers die het beveiligingsbedrijf nu aan de rand van de afgrond hebben gebracht.
Een Beverwijkse hacker van het eerste uur vertelt: ,,Vroeger zat Diginotar in de Zeestraat in Beverwijk, in het pand van notariskantoor Batenburg die met het bedrijf is begonnen. Ons cybercaf WorldCity zat slechts enkele panden verderop in die straat. Ooit hadden wij te maken met een uitvallende internetverbinding. Toen konden we gewoon doorgaan, want bij Diginotar stond een WiFi-verbinding (draadloos internet) wagenwijd open. We hebben daar toen dagenlang gebruik van gemaakt, en later nog wel eens. Er was volstrekt geen beveiliging op dat netwerk.
Wat een gelul, we spreken over het jaar 2000. Cybercafe's met WiFi verbindingen.. sure.... WiFi is pas sinds 2003 'gemeengoed' en bruikbaar geworden. Daarvoor kon je er geen flikker mee. ADSL kwam in die tijd net een beetje opzetten.
Mijn gevoel zegt dat dit een enrom bullshit verhaal is.
Ik denk dat dat gemeengoed nog wel later is dan 2003, eerder rondom het punt dat adsl boeren modems met access points samen integreren. Dit lag rondom het punt dat laptop fabrikanten ook massaal wifi in hun laptops staken.
Blijft het toch overeind dat Diginotar "sucks" je houdt het toch niet voor mogelijk wat zich alleen al bij die toko heeft afgespeeld! en ook nog eens de hoofdleverancier was van de overheid met de certs.
Blijft het toch overeind dat Diginotar "sucks" je houdt het toch niet voor mogelijk wat zich alleen al bij die toko heeft afgespeeld! en ook nog eens de hoofdleverancier was van de overheid met de certs.
Dat maakt het des te kwalijker dat de overheid klaarblijkelijk geen toezicht hield. Het lijkt me voor dergelijke zaken toch de normaalste zaak dat er regelmatig audits uitgevoerd worden. Zo'n partij als Fox-IT kan dat prima verzorgen.
Het wordt tijd dat er een ministerie van internet in het leven wordt geroepen. De overheid zegt wel het belang van internet in te zien, maar de beslissingen worden doorgaand genomen door politici die totaal geen verstand van zaken hebben.
Dat maakt het des te kwalijker dat de overheid klaarblijkelijk geen toezicht hield. Het lijkt me voor dergelijke zaken toch de normaalste zaak dat er regelmatig audits uitgevoerd worden. Zo'n partij als Fox-IT kan dat prima verzorgen.
Het wordt tijd dat er een ministerie van internet in het leven wordt geroepen. De overheid zegt wel het belang van internet in te zien, maar de beslissingen worden doorgaand genomen door politici die totaal geen verstand van zaken hebben.
Anders maar even Neelie Kroes contacteren. De overheid is al jaren slecht bezig op het ICT gebied en de toezicht daarop. Idem voor het crisis.nl verhaal wat laatst ook in het nieuws kwam. Daarbij zal de gehele website herbouwd zal worden. Het heeft in 3 jaar bijna een half miljard in totaal gekost. Dan kan het opnieuw bouwen van de website er natuurlijk ook nog wel bij. Waarom niet?
http://www.intermediair.nl/artikel/branches-ict/54704/het-ictdrama-hoe-de-overheid-miljarden-verspilt.html
Een op de vijf grote ict-projecten bij de overheid komt nooit van de grond, en dat kostte tot nu toe miljarden. De Tweede Kamer wil nu een parlementair onderzoek. Maar in de ict-sector weet men allang waarom het zo vaak misgaat. Over megalomanie, fantasy-deadlines en de wederzijdse wurggreep van de aanbesteding.
hrodenburg
09/09/11, 14:16
Ik vind het wel een hoop blabla in dat verhaal van die comodo hacker hoor. Zal het nou echt een 21 jarig gastje zijn? Ik kan dat nogal moeilijk geloven. Uiteraard zijn comodo en diginotar gehackt, maar de rest.... eerst zien, dan geloven. Wat denken jullie?
Ik vind het wel een hoop blabla in dat verhaal van die comodo hacker hoor. Zal het nou echt een 21 jarig gastje zijn? Ik kan dat nogal moeilijk geloven. Uiteraard zijn comodo en diginotar gehackt, maar de rest.... eerst zien, dan geloven. Wat denken jullie?
Het is sowieso een narcist. Of zijn claims waar zijn of niet; dat is moeilijk te zeggen op basis van de beperkte informatie die naar buiten komt. Een persoon als deze heeft duidelijk bevestiging/bewondering nodig, dus het lijkt me vrij waarschijnlijk dat hij nog wel meer naar buiten zal brengen (hopelijk met controleerbare feiten)
Moxy Marlinspike's voordracht over SSL:
http://www.youtube.com/watch?v=Z7Wl2FW2TcA
Diginotar zijn knoeiers, Comodo zijn leugenaars en nu mag Verisign ook aan 't lijstje toegevoegd worden...
Ik vind het wel een hoop blabla in dat verhaal van die comodo hacker hoor. Zal het nou echt een 21 jarig gastje zijn? Ik kan dat nogal moeilijk geloven. Uiteraard zijn comodo en diginotar gehackt, maar de rest.... eerst zien, dan geloven. Wat denken jullie?
Er zijn voorbeelden genoeg van zeer jonge hackers die gevoelige systemen van bedrijven of defensie gepenetreerd hebben. Feit is dat jonge mensen veel vrije tijd hebben en dus ook veel tijd om zich bepaalde zaken eigen te maken. Soms denk ik wel eens dat ik alleen daarom al rond het jaar 2000 een jaar of 14 had willen zijn, dan had ik een hoop kunnen leren zonder druk van buitenaf. En ja een narcist zal deze hacker ook wel zijn als ik zo zijn taalgebruik lees ;)
Ik had het al op Twitter gepost maar voor de mensen die hun iPhone hebben gejailbreakt is er weer een update van isslfix. https://github.com/jan0/isslfix
Even snel installeren via cydia mocht je dit nog niet gedaan hebben.
Changelog
v1.2 : DigiNotar blacklist
v1.1 : fix repeated leaf false positives bug
v1.0 : initial release