Onderwerp: Lekker veilig die ssl certificaten ;)

Kwam dit toevallig tegen op een nieuws site, wordt wel leuk zo. Iedereen zot maken dat je een ssl certificaat nodig hebt en dan je eigen servers niet (genoeg) beveiligen.

SSL provider Comodo was hacked allowing attackers to obtain secure certificates for Google, Yahoo, Skype and others. comodo is claiming that the sophisticated attack against its European partner must have been "state-driven." Comodo's own incident report points out IP addresses from Iran responsible for the attack. While simply obtaining these certificates, which have since been disabled, wouldn't make those sites vulnerable -- it would allow passwords and emails to be snooped using man-in-the-middle attacks to impersonate the legitimate sites. That would be pretty trivial to do if, say, you were Iran, which controls the nations telecommunications infrastructure.

een ketting is zo zwak als de zwakste schakel...

maar kan iemand mij vertellen hoe een certificaat gedisabled kan worden?

Hoorde dit al op WHD en ik moet je zeggen dat ik (en anderen) denken dat dit een gecoordineerde aanval is. Je weet dat eerder ook RSA hacked is?
En zo zijn er nog wat voorbeelden van de afgelopen tijd. Dit lijkt me echt het werk van dezelfde groep mensen. Mensen met heel veel kennis van zaken...

Oorspronkelijk geplaatst door Domenico

Hoorde dit al op WHD en ik moet je zeggen dat ik (en anderen) denken dat dit een gecoordineerde aanval is. Je weet dat eerder ook RSA hacked is?
En zo zijn er nog wat voorbeelden van de afgelopen tijd. Dit lijkt me echt het werk van dezelfde groep mensen. Mensen met heel veel kennis van zaken...

Er is al jaren een router in de handel die gebouwd is om dat soort pakketjes on the fly te decrypten. Dat gaat alleen voor diegenen die een root certificaat kunnen verspreiden/bemachtigen. En wie kan dat? Juist: de overheid en misschien de georganiseerde misdaad...

Er is BTW ook een sql-injection attack aan de gang om bogus AV software te verkopen. Een half miljoen servers zijn 't slachtoffer. Daaronder gekende namen. Voor België bv. Delhaize, het Willemsfonds, Nearly New Car...

Zie:

[ame="http://www.google.com/search?client=safari&rls=en&q=%22%3Cscript+src=htt p://lizamoon.com/ur.php%22&ie=UTF-8&oe=UTF-8&redir_esc=&ei=G9OUTe7VAszrsgbA_Yy4CA"]"<script src=http://lizamoon.com/ur.php" - Google Search[/ame]

Oorspronkelijk geplaatst door cyrano

Er is al jaren een router in de handel die gebouwd is om dat soort pakketjes on the fly te decrypten. Dat gaat alleen voor diegenen die een root certificaat kunnen verspreiden/bemachtigen. En wie kan dat? Juist: de overheid en misschien de georganiseerde misdaad...

Er is BTW ook een sql-injection attack aan de gang om bogus AV software te verkopen. Een half miljoen servers zijn 't slachtoffer. Daaronder gekende namen. Voor België bv. Delhaize, het Willemsfonds, Nearly New Car...

Zie:

"<script src=http://lizamoon.com/ur.php" - Google Search

Leuk een NOD32 die flipt op basis van die link

Oorspronkelijk geplaatst door cyrano

Er is al jaren een router in de handel die gebouwd is om dat soort pakketjes on the fly te decrypten. Dat gaat alleen voor diegenen die een root certificaat kunnen verspreiden/bemachtigen. En wie kan dat? Juist: de overheid en misschien de georganiseerde misdaad...

Hier heb je wat misverstanden. Met een root certificaat kun je *niet* on the fly willekeurige sessies passief decrypten.
Wat je wel kunt doen is een actieve Man In The Middle attack uitvoeren, of eventueel een site volledig spoofen.
Een extreem oplettende en paranoide gebruiker kan dat wel opmerken, omdat de site dan gesigned is met een 'onverwacht' root certificaat.
En eventueel omdat het certificaat anders is dan een 'known good' certificate.
Maar dat is iets wat je alleen merkt als je er actief naar kijkt, of misschien tegen aan loopt wanneer je het gecompromitteerde root certificaat *niet* in je browser hebt.

In de praktijk kan zoiets een content scanning proxy in een bedrijf zijn, waarbij op de werkplekken een extra CA in de browser geinstalleerd is, waarna de proxy de SSL sessie kan openbreken en inspecteren.

Er zijn heel veel root CA's in de gemiddelde browser, inclusief een aantal overheids CA's.

Om on the fly verkeer mee te lezen zonder in te grijpen in de sessie heb je de private key van de ontvangende site nodig, niet een root certificaat.

Oorspronkelijk geplaatst door Acceleratic

Leuk een NOD32 die flipt op basis van die link

LOL

Dan is die NOD32 behoorlijk braindead, IMHO.

Oorspronkelijk geplaatst door visser

Hier heb je wat misverstanden. Met een root certificaat kun je *niet* on the fly willekeurige sessies passief decrypten.
Wat je wel kunt doen is een actieve Man In The Middle attack uitvoeren, of eventueel een site volledig spoofen.
Een extreem oplettende en paranoide gebruiker kan dat wel opmerken, omdat de site dan gesigned is met een 'onverwacht' root certificaat.
En eventueel omdat het certificaat anders is dan een 'known good' certificate.
Maar dat is iets wat je alleen merkt als je er actief naar kijkt, of misschien tegen aan loopt wanneer je het gecompromitteerde root certificaat *niet* in je browser hebt.

In de praktijk kan zoiets een content scanning proxy in een bedrijf zijn, waarbij op de werkplekken een extra CA in de browser geinstalleerd is, waarna de proxy de SSL sessie kan openbreken en inspecteren.

Er zijn heel veel root CA's in de gemiddelde browser, inclusief een aantal overheids CA's.

Om on the fly verkeer mee te lezen zonder in te grijpen in de sessie heb je de private key van de ontvangende site nodig, niet een root certificaat.

Dat klopt natuurlijk volledig. Ik had het beter kunnen uitleggen. Maar ik verwacht dat de gemiddelde geïnteresseerde het hier zelf wel kan ontcijferen.

Het punt is dat SSL niet zo veilig is als velen denken.

antivirus scanners die je niet update zijn ook niet veilig, en je een briefje met je pin in je portemonnee is dat ook niet.

maar wil je bij mij thuis of op het werk een MitM aanval uitvoeren zul je controle moeten hebben over de images die worden uitgerolt en de netwerken die worden beheerd op ons werk is er een eigen samengestelde lijst met trusted CA keys waarbij er dus enkelen uit in de browser zijn verweiderd waaronder die van startcom (vanwege hun gratis certs)

het doel van ssl lijkt me om een zo goed mogelijke beveiliging af te handelen het is altijd nog beter dan helemaal geen beveiliging denk ik dan. - en voor de mensen die echt twijfelen, mischien valt er een firefox plugin te bouwen die je automatisch waarschuwd voor verdachte root ca's als er iets vreemds aan de hand zou kunnen zijn. (bijv als de root ca voor de site van mozilla vandaag ineens anders is dan gisteren) .

Ik ben nu wel benieuwd of er ook browsermakers zijn die het lef hebben Comodo uit hun CA db te gooien. Leuk dat ze er in komen, maar dat hoeft niet per definitie voor altijd te zijn.

dat denk ik niet, het gaat er natuurlijk ook om hoe je met beveiligings problemen omgaat,
niemand kan 100% foutvrij werken, en ga er maar gerust vanuit dat er altijd een betere hacker bestaat dan jouw beveiliging...

de vraag is wat doe je zodra je dat bevestigd krijgt.. speel je open kaart, trek je zo'n cert in, stel je browserbouwers op de hoogte voor een 'emergency patch' of doe je lekker niets en laat je de dingen op z'n beloop...

ik geloof wat dat betreft best dat de de heren en dames managers bij google, mozilla microsoft en apple (om de grootste even te noemen) best wel hele contact hebben gezocht met comodo..

Oorspronkelijk geplaatst door Freakingme

Ik ben nu wel benieuwd of er ook browsermakers zijn die het lef hebben Comodo uit hun CA db te gooien. Leuk dat ze er in komen, maar dat hoeft niet per definitie voor altijd te zijn.

Zal niet gebeuren. Dit had iedere CA kunnen overkomen (en enkele CA's hebben dat ook erkend).