Diginotar hack

wat ik niet begrijp is dat er mensen zijn die niet inzien dat dit ECHT wel degelijk tot levensbedrijgende situaties kan leiden... bijv het EPD maakt ook gebruik van deze root-CA met andere woorden, je zou dit soort informatie kunne jatten en misbruiken om 'de ideale moord' te plegen...

je zou gegevens van de aivd kunnen jatten daardoor terroristen op de hoogte kunnen zijn van sporen die men heeft... en plots besluiten ergens anders bommen af te laten gaan...

je zou militaire sluitels kunnen genereren waardoor men in afghanistan behoorlijke gevaar kunnen lopen... er zijn MEER dan genoeg mogelijkheden om met valse certs levens in gevaar te brengen...
dat google toevallig als eerste in het nieuws kwam wil niet zeggen dat dit het meest omvangrijke cert blijkt...

Ik kwam deze nog tegen op tweakers

http://tweakers.net/nieuws/76623/ssl...tificaten.html

We kunnen wel stellen dat het 'game over' is voor Diginotar.

Citaat:

---

Diginotar-partners zoeken naar alternatieven

---

Citaat:

---

Advocatenorde zegt vertrouwen in Diginotar op

---

Maar een goed alternatief voor certificaat ontbreekt nog.

Citaat:

---

Oorspronkelijk geplaatst door Domenico

Maar een goed alternatief voor certificaat ontbreekt nog.

---

Het lijkt me ook wat onzinnig om te stellen dat er een alternatief voor SSL nodig is op basis van wat er nu gebeurd is. Diginotar en Comodo hadden hun beveiliging simpelweg niet op orde, waarbij Diginotar er wel echt een potje van heeft gemaakt. Er zouden m.i. heel strikte veiligheidsnormen opgelegd moeten worden aan de CA's (met regelmatige audits door externe partijen), en de totale hoeveelheid CA's zou ingeperkt moeten worden. Daarnaast zou ook de verificatie van de authenticiteit van de aanvrager ook een stuk strikter moeten worden; momenteel wordt er voor budget-certificaten niet veel meer gedaan dan het versturen van een verificatie-emailtje, en als je dat mailtje kan onderscheppen, werkt dat systeem al niet meer. Dit alles zou natuurlijk resulteren in een hogere kostprijs, maar daar zie ik het probleem niet van in.

Natuurlijk kan er ook naar alternatieven gekeken worden, maar ik denk dat het erg lastig/onmogelijk zal zijn om alle risico's volledig uit te sluiten.

apoc minder ca's zie ik eigenlijk niet zo zitten, dat is net als met minde mobiele providers in plaats van innovatie krijg je dan gewoon prijsverhogingen ...

neej minder spelers in de markt is zelden DE oplossing... bedrijven - en hun bestuur hoofdelijk (ook bv's, nv's etc - en incl aanddeelhouders)... aansprakelijk stellen bij dit soort fouten - en mensen gewoon uit huis zetten als ze hiervoor verantwoordelijk zijn DAT beweegt mensen misschien om hun beveiliging nog eens te controleren...

en ALS er dan al een hack geschiede, (er zijn altijd slimmere mensen dan jij op deze wereld (er is maar 1 uitzondering daarop en wel een heel specifieke)... weet dan wat voor maatregelen je moet treffen en rust niet voor je die getroffen hebt...

dat lakse van diginotar (zomaar een kut bedrijfje uit nergenshuizen)... DAT is het grote probleem op het boze interwebz...

"het zal mij niet overkomen" en "ach zeur niet zo, je zet het toch zeker niet in je rapport he" of "ach joh die hack, vast een scriptkiddie, maak je maar geen zorgen, gewoon een storm in een glas water" ...

bah.... standrechtelijk executeren die gasten...

En het laatste bericht van de 21 jarige cracker. Lees!
bron: http://pastebin.com/GkKUhu35


Hi again

Some more clarification seems to be needed...

a) What you did affected Iranian users, you attacked Iranian people, etc. etc. etc. bla bla bla
First of all people against Iranian government or Islam, even if they live inside Iran, we can't count them as Iranian people, I can't! If they get power to harm Islam and Iranian government, spying for foreign spying agencies (Mossad, CIA, MI6), they won't miss it. If they get paid from a foreign secret service, they can gather and send ANY information THEY CAN. These are not people of Iran, these type of people was my target, not normal people, people who don't have anything to do with secret services, Iran's enemies, Islam's enemies, etc.

Second: this time attack was limited to Iran, next time, I'll own as more as gateways in Israel, USA, Europe, as more as ISPs and attack will run there. You know man, I give promises and I keep them, I say words and they just happen, I told you wait and see previous time (Comodo case), now you see more. For an example ask a little from LMI.NET Berkley's ISP, ask about user Todd and password loc!666 (for example), ask if they detected that I was owned their all Linux boxes and I got access to their DNS servers, you see? I'm really sharp, powerful, dangerous and smart! I told in Comodo hack case that I rule the internet, I'll bring equality of controlling internet like USA for myself and you see I'm simply doing it, huh? How you are going to stop me you Mossad animals? Like this: http://www.silviacattori.net/article1421.html ? Israel still lives in age of stones, they kill people they just can't see, they kill Palestinian children and women, believe me, they shouldn't exists in this world. Hope to see that day soon...

Third: Do you know meaning of "Unstoppable Genius Digital Hacker?"

b) Some small brains said in their articles that it was easy hack, passwords was weak, it was a simple DNN bug, etc. etc. etc. bla bla bla blaaaa
First: If I gave all hackers of the world, ALL hackers by it's real meaning, they wouldn't be able to reach that network behind all those firewalls, routers and final networks without any access to internet which even doesn't have internet connection. So shut the ....

Second: You think I generated SSL and code signing certificates by sending some SQL queries or sending some requests or using some ready made in desktop applications with 1234 password default? Ahhh man! Stop taking people's work easy... There was netHSM with OpenBSD OS, only 1 port open, totally closed/protected with RSA SecurID and SafeSign Token management systems, they had around 8 smart card totally (a company with a lot of employees, only 8 smart card for SSL generation), you see? It's not "simple DNN bug", ok? I had remote desktop access in last RSA Certificate Manager system which had no any connection to internet, all files was coded in XUDA (there is no reference to XUDA programming language, even a single line), no one can access those server via Remote desktop, there was enough firewalls and routers which even blocked their own employeee to access that network. That network had different domain controller with different users, man! There is so much thing to explain, I'll do it later, just know it is most sophisticated hack of all time, that's all!

Third: You only heards Comodo (successfully issued 9 certs for me -thanks by the way-), DigiNotar (successfully generated 500+ code signing and SSL certs for me -thanks again-), StartCOM (got connection to HSM, was generating for twitter, google, etc. CEO was lucky enough, but I have ALL emails, database backups, customer data which I'll publish all via cryptome in near future), GlobalSign (I have access to their entire server, got DB backups, their linux / tar gzipped and downloaded, I even have private key of their OWN globalsign.com domain, hahahaa).... BUT YOU HAVE TO HEAR SO MUCH MORE! SO MUCH MORE! At least 3 more, AT LEAST! Wait and see, just wait a little bit like I said in Comodo case.

P.S. In wikipedia of SSL, it should be added for future that I caused to remove SSL or CA system security model, I have a special idea for private communication via browsers which could be used instead of SSL, but why should I share it and cause trouble for my own country? When USA and Israel can read all emails they want in Gmail, in Yahoo, data in Facebook, Twitter, etc. How my country should control those services? I'll help my own country for it as I did and you saw it. If my country get equal right as USA in controlling emails, I may share my brilliant unbreakable encryption system for replacement of SSL and CA system.
World is shocked just by my Comodo and DigiNotar hack, what would happen if I show my other skills in cryptography, cryptanalysis, binary analysis (assessment), reversing, kernel programming, other high profiles servers I hacked and extracted all needed information from them, etc. etc. Ohhh! May they change internet model, hahahahaaaaa

P.S.S. never forget, I'm just 21, you have to see much more from me!
By the way, I heard that Comodo CEO (poor Melih) have talked again and said it was again State sponsored and I'm not a single hacker bla bla... Dear Melih, please wake up, I'm the only hacker, just I have shared some certs with some people in Iran, that's all... Hacker is single, just know it

Hoe meer ik er over lees hoe triester ik het vind.

Citaat:

---

Ondermaatse bescherming
In een interimrapport schetst het securitybedrijf Fox-IT nu een eerste beeld van de ‘Operation Black Tulip’ hack. Daaruit blijkt dat in totaal 531 vervalste certificaten werden uitgegeven, en dat in wezen alle servers kwetsbaar waren voor misbruik door de hackers. Niet alleen bleken alle servers tot een zelfde Windows-domein te behoren (beschermd met een zwak paswoord), maar bovendien bleek de software op de publieke servers verouderd en niet gepatcht, terwijl op de onderzochte servers ook geen antivirussoftware stond.

---

Wat een prutsers. :(

Citaat:

---

Oorspronkelijk geplaatst door ichat

apoc minder ca's zie ik eigenlijk niet zo zitten, dat is net als met minde mobiele providers in plaats van innovatie krijg je dan gewoon prijsverhogingen ...

---

Nee hoor, er zijn maar een handjevol spelers in de markt die concurrerende prijzen bieden. De overgrote meerderheid heeft nauwelijks bestaansrecht. Er zijn in totaal zo'n 175 CAs waarvan maar een heel klein deel bekend is.

Citaat:

---

Een Beverwijkse hacker van het eerste uur vertelt: ,,Vroeger zat Diginotar in de Zeestraat in Beverwijk, in het pand van notariskantoor Batenburg die met het bedrijf is begonnen. Ons cybercaf WorldCity zat slechts enkele panden verderop in die straat. Ooit hadden wij te maken met een uitvallende internetverbinding. Toen konden we gewoon doorgaan, want bij Diginotar stond een WiFi-verbinding (draadloos internet) wagenwijd open. We hebben daar toen dagenlang gebruik van gemaakt, en later nog wel eens. Er was volstrekt geen beveiliging op dat netwerk.

Hij vervolgt: ,,We wisten niet wat daar toen omging in dat bedrijf, we dachten aan stoffige notarissen en het interesseerde ons weinig. Hadden wij toen geweten wat we nu weten, dan hadden we het waarschijnlijk veel eerder gehackt. Bij Diginotar is zon beetje de hele beveiliging van de overheid ontworpen.

---

http://www.noordhollandsdagblad.nl/n...-bij-Diginotar

Ach ja. Tot ziens!

Citaat:

---

Beverwijkse hackers weten al sinds twaalf jaar dat inbreken bij Diginotar kinderspel is. Niet dat ze erg ver zijn gegaan, maar als ze het hadden gewild, waren ze toen al net zo makkelijk in alle systemen gekomen als de Iraanse hackers die het beveiligingsbedrijf nu aan de rand van de afgrond hebben gebracht.

Een Beverwijkse hacker van het eerste uur vertelt: ,,Vroeger zat Diginotar in de Zeestraat in Beverwijk, in het pand van notariskantoor Batenburg die met het bedrijf is begonnen. Ons cybercaf WorldCity zat slechts enkele panden verderop in die straat. Ooit hadden wij te maken met een uitvallende internetverbinding. Toen konden we gewoon doorgaan, want bij Diginotar stond een WiFi-verbinding (draadloos internet) wagenwijd open. We hebben daar toen dagenlang gebruik van gemaakt, en later nog wel eens. Er was volstrekt geen beveiliging op dat netwerk.

---

Wat een gelul, we spreken over het jaar 2000. Cybercafe's met WiFi verbindingen.. sure.... WiFi is pas sinds 2003 'gemeengoed' en bruikbaar geworden. Daarvoor kon je er geen flikker mee. ADSL kwam in die tijd net een beetje opzetten.

Mijn gevoel zegt dat dit een enrom bullshit verhaal is.

Ik denk dat dat gemeengoed nog wel later is dan 2003, eerder rondom het punt dat adsl boeren modems met access points samen integreren. Dit lag rondom het punt dat laptop fabrikanten ook massaal wifi in hun laptops staken.

Blijft het toch overeind dat Diginotar "sucks" je houdt het toch niet voor mogelijk wat zich alleen al bij die toko heeft afgespeeld! en ook nog eens de hoofdleverancier was van de overheid met de certs.

Citaat:

---

Oorspronkelijk geplaatst door drex

Blijft het toch overeind dat Diginotar "sucks" je houdt het toch niet voor mogelijk wat zich alleen al bij die toko heeft afgespeeld! en ook nog eens de hoofdleverancier was van de overheid met de certs.

---

Dat maakt het des te kwalijker dat de overheid klaarblijkelijk geen toezicht hield. Het lijkt me voor dergelijke zaken toch de normaalste zaak dat er regelmatig audits uitgevoerd worden. Zo'n partij als Fox-IT kan dat prima verzorgen.

Het wordt tijd dat er een ministerie van internet in het leven wordt geroepen. De overheid zegt wel het belang van internet in te zien, maar de beslissingen worden doorgaand genomen door politici die totaal geen verstand van zaken hebben.

Citaat:

---

Oorspronkelijk geplaatst door Apoc

Dat maakt het des te kwalijker dat de overheid klaarblijkelijk geen toezicht hield. Het lijkt me voor dergelijke zaken toch de normaalste zaak dat er regelmatig audits uitgevoerd worden. Zo'n partij als Fox-IT kan dat prima verzorgen.

Het wordt tijd dat er een ministerie van internet in het leven wordt geroepen. De overheid zegt wel het belang van internet in te zien, maar de beslissingen worden doorgaand genomen door politici die totaal geen verstand van zaken hebben.

---

Anders maar even Neelie Kroes contacteren. De overheid is al jaren slecht bezig op het ICT gebied en de toezicht daarop. Idem voor het crisis.nl verhaal wat laatst ook in het nieuws kwam. Daarbij zal de gehele website herbouwd zal worden. Het heeft in 3 jaar bijna een half miljard in totaal gekost. Dan kan het opnieuw bouwen van de website er natuurlijk ook nog wel bij. Waarom niet?

http://www.intermediair.nl/artikel/b...-verspilt.html

Citaat:

---

Een op de vijf grote ict-projecten bij de overheid komt nooit van de grond, en dat kostte tot nu toe miljarden. De Tweede Kamer wil nu een parlementair onderzoek. Maar in de ict-sector weet men allang waarom het zo vaak misgaat. Over megalomanie, fantasy-deadlines en de wederzijdse wurggreep van de aanbesteding.

---

Ik vind het wel een hoop blabla in dat verhaal van die comodo hacker hoor. Zal het nou echt een 21 jarig gastje zijn? Ik kan dat nogal moeilijk geloven. Uiteraard zijn comodo en diginotar gehackt, maar de rest.... eerst zien, dan geloven. Wat denken jullie?