Car-tech

Google vindt ongeautoriseerd certificaat voor google.com-domein

Typfouten in je domeinnaam, goed of niet goed?

Typfouten in je domeinnaam, goed of niet goed?
Anonim

Google heeft stappen ondernomen om potentiële beveiligingslekken te dichten die zijn ontstaan ​​door een frauduleus certificaat voor zijn google.com-domein, dat eind december is ontdekt. ​​

Het certificaat is ten onrechte uitgegeven door een tussenliggende certificeringsinstantie (CA) terug te koppelen aan TurkTrust, een Turkse CA.

"Intermediate CA-certificaten dragen de volledige autoriteit van de CA, dus iedereen die er een heeft kan het gebruiken om een ​​certificaat te maken voor elke website die zij willen nabootsen", schreef Adam Langley, een Google-softwareingenieur, in een blogbericht op donderdag.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Google heeft het bestaan ​​van het certificaat op kerstavond ontdekt, heeft de Chrome-browser de volgende keer bijgewerkt dag om de tussenliggende CA en aangemelde TurkTrust en andere browsermakers over het probleem te blokkeren.

TurkTrust voerde vervolgens een eigen onderzoek uit en ontdekte dat het in augustus 2011 ten onrechte twee tussenliggende CA-certificaten had uitgegeven aan organisaties die in plaats daarvan regelmatig SSL hadden moeten ontvangen certificaten, volgens Langley.

Google vervolgens opnieuw Chrome bijgewerkt om het tweede CA-certificaat te blokkeren en wederom op de hoogte gebracht van andere browserleveranciers.

"Onze acties hebben het onmiddellijke probleem voor onze gebruikers aangepakt. Gezien de ernst van de situatie zullen we Chrome in januari opnieuw bijwerken om niet langer de Extended Validation-status voor certificaten van TurkTrust aan te geven, hoewel verbindingen met TurkTrust-gevalideerde HTTPS-servers mogelijk nog steeds worden toegestaan, "schreef Langley.

Google kan aanvullende stappen ondernemen als reactie op dit probleem, voegde hij eraan toe.

Een woordvoerder van Google zei via e-mail dat, hoewel TurkTrust ten onrechte twee tussencertificaten heeft uitgegeven, er slechts één is gebruikt om een ​​niet-geautoriseerd certificaat te genereren.

"We geloven dat er was één geval waarin het certificaat intern wordt gebruikt op het bedrijfsnetwerk, "zei de woordvoerder.