Doorlopende beveiligingscertificaten doen twijfels rijzen over SSL-betrouwbaarheid

We hebben als consumenten geleerd om te vertrouwen op het hangslotsymbool dat in de adresbalk van onze browsers wordt weergegeven. Er is ons verteld dat dit een teken is dat onze communicatie met een website veilig is. Maar een incident deze week waarbij Google en een Turks beveiligingsbedrijf betrokken zijn, is logisch.

Het bedrijf, TurkTrust, onthulde deze week dat het in augustus 2011 per ongeluk twee hoofdsleutels gaf aan twee 'entiteiten'. Met mastertoetsen, die tussencertificaten worden genoemd, kunnen entiteiten digitale certificaten maken voor elk domein op internet.

Digitale certificaten zijn feitelijk coderingssleutels die worden gebruikt om een ​​website te verifiëren, zoals het zegt. Het certificaat voor uw bank verifieert bijvoorbeeld aan uw browser dat u daadwerkelijk met uw bank praat wanneer u online bankiert.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Certificaten worden gebruikt om ook informatie tussen u en een website te versleutelen. Dat is wat het groene hangslot op de adresbalk van uw browser betekent. De browser communiceert met de website met Secure Sockets Layer, na verificatie van de authenticiteit ervan.

Een miscreant op internet met een nepcertificaat die communicatie tussen u en een vertrouwde website kan onderscheppen, kan uw browser voor de gek houden door te geloven dat deze communiceert met de vertrouwde site en kaping van uw communicatie. Dat wordt een "man in de middelste aanval" genoemd omdat de dief tussen u en de vertrouwde site zit.

Fout verholpen, probleem blijft bestaan ​​

De fout van TurkTust werd op kerstavond door Google ontdekt door een functie die deze in zijn Chrome-browser heeft platform dat een rode vlag naar Google oproept wanneer iemand het platform probeert te gebruiken met een ongeautoriseerd certificaat.

Na het ontdekken van het certificaatprobleem heeft Google TurkTrust op de hoogte gebracht van de situatie, evenals Microsoft en Mozilla, die allemaal hun browserplatforms hebben aangepast om kwaadwillende certificaten te blokkeren die zijn gemaakt met de tussenliggende certificeringsinstantie.

Dit snafu-certificaat is slechts het laatste teken dat het bestaande systeem voor het uitgeven van digitale certificaten moet worden hersteld. In maart 2011 werd bijvoorbeeld een bedrijf dat is gelieerd aan de Comodo-instantie voor de uitgifte van certificaten gebroken en negen nep-certificaten uitgegeven.

Later in het jaar hebben hackers inbreuk gemaakt op een Nederlandse certificeringsinstantie, DigiNotar, en hebben tientallen valse certificaten afgegeven, waaronder een voor Google. De gevolgen van dat incident zetten het bedrijf kapot.

Gezocht: Next-gen beveiliging

Er zijn een aantal voorstellen gelanceerd om de beveiligingsproblemen rond certificaten aan te pakken.

Er is convergentie. Hiermee kan een browser een second opinion krijgen over een certificaat van een bron die door een gebruiker is gekozen. "Het is een briljant idee, maar zodra je een bedrijfsnetwerk hebt en je achter een proxy zit of achter een netwerkvertaler zit, kan het breken," zei Chet Wisniewski, een beveiligingsadviseur bij Sophos, in een interview.

Er is DNSSEC. Het maakt gebruik van het systeem voor het benoemen van domeinnamen - het systeem dat de algemene namen van websites in getallen omzet - om een ​​vertrouwde koppeling tussen gebruiker en website te maken. Niet alleen is het systeem niet gemakkelijk te begrijpen, maar de implementatie kan jaren duren.

"Het probleem met DNSSEC is dat het een nieuwe technologie en een gecoördineerde upgrade van infrastructuur vereist voordat we er gebruik van kunnen maken," zei Wisniewski. "Met de adoptiepercentages die we tot nu toe hebben gezien, betekent dit dat we tien of vijftien jaar geen oplossing zullen hebben. Dat is niet goed genoeg."

Ook voorgesteld zijn twee "pinning" -technieken: Public Key Pinning Uitbreiding voor HTTP en Trusted Assertions voor Certificate Keys (TACK), die vergelijkbaar zijn.

Hiermee kan een website een HTTP-header aanpassen om certificeringsinstanties te identificeren die deze vertrouwt. Een browser slaat die informatie op en stelt alleen een verbinding met een website tot stand als deze een certificaat ontvangt dat is ondertekend door een certificeringsinstantie die door de website wordt vertrouwd.

De pinningvoorstellen zullen het meest waarschijnlijk worden aangenomen om het certificaatprobleem te verhelpen, aldus Wisniewski. "Ze kunnen in korte tijd worden aangenomen," zei hij. "Ze staan ​​mensen toe die willen profiteren van geavanceerde beveiliging om dit meteen te doen, maar het verbreekt geen bestaande webbrowser die niet is bijgewerkt."

Welke schema browserfabrikanten ook gebruiken om het certificaatprobleem aan te pakken, ze moeten doe het snel. Anders blijft snafus zich vermenigvuldigen en kan het vertrouwen op internet onherstelbaar worden geschaad.