Valse SSL-certificaten na inbraak DigiNotar

Afbeelding: Lock 4 van Andrew Magill | Licentie: CC BY

Hackers hebben bij een Nederlandse uitgever van SSL-certificaten ingebroken en bijna 250 vervalste certificaten in omloop gebracht.

In het artikel Iran kan Gmail aftappen door Nederlands certificaat op Webwereld:

De Iraanse overheid tapt het verkeer vanuit het eigen land naar Gmail. Ze gebruikten een door Diginotar goedgekeurd certificaat om legitiem te ogen. Dat bedrijf tekende ook het DigiD-certificaat.

Diginotar is niet alleen verantwoordelijk voor reguliere certificaten. Het bedrijf levert ook certificaten voor PKI-Overheid (Public Key Infrastructure voor de overheid) en het tekent het certificaat voor DigiD. Het is onduidelijk of deze zaak daar invloed op DigiD-certificaten heeft.

In het artikel Hackers maakten meer DigiNotar certificaten buit schrijft Webwereld:

“Op 19 juli heeft DigiNotar een inbraak in zijn Certificate Authority (CA) infrastructuur gedetecteerd. Dit heeft geresulteerd in de uitgifte van beveiligingscertificaten voor een aantal domeinen, waaronder Google.com.”

Dit meldt Vasco, moederconcern van DigiNotar, in een verklaring naar aanleiding van het nieuws dat er met een vals DigiNotar certificaat mogelijk Gmail-accounts van Iraniërs zijn gekaapt en bespioneerd.

In Google onthult 247 valse DigiNotar certificaten schrijft Webwereld:

Google heeft 247 DigiNotar certificaten voor niet-Google domeinen aangemerkt als gecorrumpeerd. 12 ervan blijken valse certificaten voor het anonimiseringsnetwerk Tor.

DigiNotar en moederbedrijf Vasco spraken eerder deze week van ‘tientallen’ valse certificaten, maar dat blijken er dus honderden te zijn. Het bedrijf weigert nu in te gaan op de openbaarmaking van Google.