Onderwerp: Diginotar hack

Ik volg de ontwikkelingen rondom Diginotar al een poosje, maar vond het tot nu toe eigenlijk niet echt een bijzonder verhaal.

Nu las ik zojuist dat het incident rondom deze kwestie mogelijk mensenlevens in gevaar zou hebben gebracht. Wtf? http://webwereld.nl/nieuws/107747/ir...pdate-2--.html

Oorspronkelijk geplaatst door webwereld

Het bewust niet bekendmaken van digitale inbraken die mensenlevens in gevaar brengen, zoals bij DigiNotar, moet strafbaar worden gesteld. De directe meldingsplicht moet in de wet worden opgenomen.

Dat zegt Tweede Kamerlid Martijn van Dam van de PvdA. Hij vindt het "ongehoord" en "schandelijk" dat het bedrijf DigiNotar twee maanden lang de hack waarbij beveiligingscertificaten konden worden vervalst, heeft stilgehouden. "Mogelijk zijn de levens van Iraanse dissidenten erdoor in gevaar gekomen. Ik weet niet of het mogelijk is een strafrechtelijk onderzoek te doen, maar als dat kan pleit ik daar wel voor."

Juistem.. omdat er een vervalst SSL certificaat voor Gmail gebruikt werd, zijn de levens van dissidenten in gevaar gebracht? Mis ik nu iets? Gmail wordt toch primair gebruikt om email te versturen over het niet-beveiligde SMTP protocol? Waarom zou het dan überhaupt iets uit maken hoe die dissidenten op Gmail inloggen?

Daarnaast;

- Als de informatie in kwestie levensbedreigend zou zijn, waarom zou je dat dan überhaupt via Google uitwisselen?
- Waarom wordt er hier naar DigiNotar gewezen, terwijl de agressor in kwestie de Iraanse overheid is? Is men bang om Iran zelf eens te confronteren met deze praktijken?

Het feit dat er bij Diginotar is ingebroken is zeker kwalijk, maar niet onoverkomelijk. Het feit dat ze dat daarna nog 6 weken stil hebben geprobeerd te houden is natuurlijk onacceptabel en m.i. een reden om het vertrouwen in dit bedrijf op te zeggen. Maar de richting waar de discussies nu heen gestuurd worden, is wel heel erg overtrokken. Als je het mij vraagt, is dit simpelweg een kwestie van misbruik van de situatie door de politiek om de meldingsplicht er doorheen gedrukt te krijgen.

Als je via Google een mail verstuurd wordt het tussen de client (browser) en Google gewoon via SSL afgehandeld. Net als het uitwisselen van wachtwoorden. De mail wordt vervolgens verstuurd vanaf een hele andere locatie dan waar een Iraanse inlichtingendienst afluistermogelijkheden heeft. Dus dat verklaart het wel een beetje. Met een gekraakt SSL cert zijn zowel de berichten als de wachtwoorden (die vaak ook op andere sites gebruikt worden) af te lezen binnen het gebied waar Iraanse veiligheidsdiensten wél kunnen afluisteren.

En op zich is het toch niet zo gek dat als je miljoenen verdient met lullige certificaatjes verkopen aan de overheid je een meldingsplicht krijgt als je gehackt wordt? De veiligheid van vele hangt er vanaf. Zij zijn de weakest link en ik vind het dan ook kwalijk dat ze het niet genoemd hebben. Je hebt echter helemaal gelijk dat het nooit helemaal te voorkomen is. De overheid moet dan ook zorgen dat de certs snel te vervangen zijn.

En ze moeten vooral niet op het briljante idee komen om alles het 'onder één hand' te doen. Juist door alles onder 1 rootcertificaat te gooien maken ze het zich erg moeilijk en zijn ze kwetsbaar. En laat ze toch voor interne communicatie zelf certificaten maken. Scheelt geld en is, als je het goed doet, veiliger omdat je de risico's kan spreiden.

Oorspronkelijk geplaatst door Apoc

Juistem.. omdat er een vervalst SSL certificaat voor Gmail gebruikt werd, zijn de levens van dissidenten in gevaar gebracht? Mis ik nu iets? Gmail wordt toch primair gebruikt om email te versturen over het niet-beveiligde SMTP protocol? Waarom zou het dan überhaupt iets uit maken hoe die dissidenten op Gmail inloggen?

Verwacht je met bovenstaand nu serieus een serieuze discussie ?

Oorspronkelijk geplaatst door Apoc

Maar de richting waar de discussies nu heen gestuurd worden, is wel heel erg overtrokken. Als je het mij vraagt, is dit simpelweg een kwestie van misbruik van de situatie door de politiek om de meldingsplicht er doorheen gedrukt te krijgen.

Is het ooit anders geweest ? Er zijn inmiddels ontelbare voorbeelden waarbij de journalistiek tot op het bot gaat, en de politiek daar mooi gebruik van maakt. Een mooi voorbeeld van nu is de wapen-wetgeving. Hoeveel jongens en meisjes stappen vanuit de (sport) kantine niet beschonken in hun auto waarbij ze een vierwielig wapen hebben. Het is allemaal symbool politiek.....

Lees het volgende FOX IT oordeel/artikel maar eens:
http://webwereld.nl/nieuws/107833/fo...28Webwereld%29

Bij SSL Certificaten worden toch altijd garanties afgegeven? Wat waren de garantiebepalingen bij diginotar? Ik neem aan dat dit de eerste keer wordt dat er uitgekeerd moet gaan worden?

Da's een goeie. Nu is het natuurlijk wel zo dat er certificaten zijn uitgegeven voor bijv. *.google.com, terwijl Diginotar niet de CA voor dit domein is. Dus google heeft geen overeenkomst met Diginotar. Lijkt mij ook dat er dan geen claim neergelegd kan worden, toch?
In welke situaties wordt er dan eigenlijk uitgekeerd?

Oorspronkelijk geplaatst door rimote

Als je via Google een mail verstuurd wordt het tussen de client (browser) en Google gewoon via SSL afgehandeld. Net als het uitwisselen van wachtwoorden. De mail wordt vervolgens verstuurd vanaf een hele andere locatie dan waar een Iraanse inlichtingendienst afluistermogelijkheden heeft. Dus dat verklaart het wel een beetje. Met een gekraakt SSL cert zijn zowel de berichten als de wachtwoorden (die vaak ook op andere sites gebruikt worden) af te lezen binnen het gebied waar Iraanse veiligheidsdiensten wél kunnen afluisteren.

Op zich heb je daarmee een goed punt. Ik blijf er wel bij dat het me erg onlogisch lijkt om levensbedreigende informatie via Google te versturen, terwijl er veel veiligere kanalen zijn.

Oorspronkelijk geplaatst door Mikey

Is het ooit anders geweest ? Er zijn inmiddels ontelbare voorbeelden waarbij de journalistiek tot op het bot gaat, en de politiek daar mooi gebruik van maakt.

Tuurlijk, maar dat is m.i. des te meer reden om er commentaar op te leveren. Een stukje bewustwording van dit soort misbruik van de situatie kan toch invloed hebben op de uiteindelijke beslissingen.

Het gaat me er vooral om dat er nu geïnsinueerd wordt dat Diginotar strafrechtelijk vervolgd zou moeten worden voor het in gevaar brengen van mensenlevens, en dat lijkt me echt een stap te ver gaan.

Voor het nuttig gebruiken van een vals certificaat is het ook nodig de DNS van de pc aan te passen,
middels de host-file, een browser-aanpassing, of rechtstreekt op de DNS server.
Leuk als onze 95.123..123.123 een gestolen/geldig google.com cerificaat heeft,
maar als er niemand komt (want geen DNS-hack) dan doet dat niet veel.

Ik lees dat er verkeer vanuit minstens 40 iraanse ISP's kwam, dus die zitten met zijn allen op een aangepaste DNS server, ieder op zijn eigen aangepaste DNS server, of heel erg veel iraanse PC's zijn lokaal gecompromitteerd. en als dat zo is, waarom dan nog met certificaten klooien, als je gewoon met ze mee kunt lezen.

Mijn conclusie:
Iran heeft hun ISP's opgedragen de DNS servers lokaal aan te passen, nadat ze de beschikking kregen over de valse certificaten.
Jammer genoeg voor hen hadden ze niet in de gaten dat Chrome de google certificaten zelf checkt bij google.

Hadden ze slechts een paar kleinere sites gespoofed, dan was dit heel lang onontdekt gebleven. (Diginotar had in ieder geval niks gezegd)

Oorspronkelijk geplaatst door rimote

En op zich is het toch niet zo gek dat als je miljoenen verdient met lullige certificaatjes verkopen aan de overheid je een meldingsplicht krijgt als je gehackt wordt

Uiteraard zou er voor dit soort vertrouwen-gebaseerde instanties een meldingsplicht moeten zijn. Waar ik op doelde is dat dit incident nu aangegrepen wordt om de meldingsplicht er in veel bredere zin doorheen te drukken.

Oorspronkelijk geplaatst door Apoc

Het gaat me er vooral om dat er nu geïnsinueerd wordt dat Diginotar strafrechtelijk vervolgd zou moeten worden voor het in gevaar brengen van mensenlevens, en dat lijkt me echt een stap te ver gaan.

Is dat zo ? Bij ander cert verstrekkers staan er anders ook verplichtingen tegenover. Het moge duidelijk zijn dat ze de zaak willens en wetens hebben laten versloffen. Als certificaten onopgemerkt gegenereerd kunnen worden, ingezet worden als man-in-the-middle attack. Zeker in landen waarbij vrijheid van menings uitingen helemaal niet bij de orde van de dag horen. Hoor je daar als bedrijf door nalatigheid voor aangepakt te worden. Het hele certificaat principe is gebaseerd op een chain-of-trust. Dat weet je op moment je er aan begint.

Persoonlijk vind ik het een goede zaak dat bestuurders bij aantoonbaar nalatigheid, eindelijk eens over de knie gaan waar ze overheen behoren te liggen. De witten boorden hebben jarenlang de dans kunnen ontspringen. Als jij of ik wat verkeerd doen, ontspringen wij de dans ook niet, waarom zouden zij dat wel mogen en/of kunnen ?

Oorspronkelijk geplaatst door Apoc

Uiteraard zou er voor dit soort vertrouwen-gebaseerde instanties een meldingsplicht moeten zijn. Waar ik op doelde is dat dit incident nu aangegrepen wordt om de meldingsplicht er in veel bredere zin doorheen te drukken.

En terecht, id/bsn skimming zal aankomende jaren nog veel verder gaan. Dat zal voor onze generatie nog een probleem worden. Neem nou sony met 70 miljoen leden. Hoe groot of klein, elke vorm van gegevens die ongevraagd op straat komt te liggen moet gewoon geregistreerd worden. Als is het alleen maar om jezelf in te kunnen dekken bij bijvoorbeeld een verzekeringsmaatschappij.

Oorspronkelijk geplaatst door Thijsvdbrink

Ik lees dat er verkeer vanuit minstens 40 iraanse ISP's kwam, dus die zitten met zijn allen op een aangepaste DNS server, ieder op zijn eigen aangepaste DNS server, of heel erg veel iraanse PC's zijn lokaal gecompromitteerd. en als dat zo is, waarom dan nog met certificaten klooien, als je gewoon met ze mee kunt lezen.

Of ergens in de pijplijn van verkeer naar het buitenland wordt het verkeer geredirect naar een ander ipadres.
(of het ipadres van google bestaat toevallig ook in iran)
Als je dan ook een ssl certificaat hebt is het voor bezoekers heeeeel lastig te ontdekken dat je niet op de echte google zit.

"De ergste certificaten zijn uitgegeven voor *.*.com en *.*.org, terwijl vervalste certificaten voor Windows Update en andere hosts in vergelijking minder schadelijk zijn", stelt Appelbaum. "De aanvallers hebben ook certificaten uitgegeven uit naam van andere CA's, zoals 'Verisign Root CA' en 'Thawte Root CA', al kunnen we niet bepalen of ze er in zijn geslaagd om onderliggende CA-certificaten uit te geven."

http://tweakers.net/nieuws/76567/dig...-vervalst.html

En gaat nu de volgende Certficaat verstrekker door het stof: http://pastebin.com/1AxH30em

GlobalSign
We are aware of the Comodo hacker BLOG that claims access to a number of major CAs including #GlobalSign

http://twitter.com/#!/globalsign