Slo-Tech - Aktualna prekinitev financiranja in s tem delovanja nenujnih delov ameriške vlade sega že v 23. dan, s čimer je postala najdaljša v zgodovini. To pot ima prvikrat vpliv tudi na internet, saj nekatere državne službe zaradi prekinitve niso obnovile certifikatov svojih spletnih strani. Doslej je poteklo že več kot 80 certifikatov TLS za domene .gov - nekatere so dostopne z opozorilom, druge pa zaradi poostrenih varnostnih ukrepov sploh niso.

Primer so na primer podstrani ministrstva za pravosodje (https://ows2.usdoj.gov/), ki jim je certifikat potekel 17. decembra, ali podstrani NASE (https://rockettest.nasa.gov/), ki imajo neveljaven certifikat od 5. januarja. Dokler se vladne službe ponovno ne zaženejo, certifikati ne bodo obnovljeni.

Večino teh...

Slo-Tech - Britanski posrednik certifikatov HTTPS Trustico je te dni zakuhal pravi škandal, saj je objavil zasebne ključe 23.000 certifikatov svojih strank, s čimer je povzročil množičen preklic. Trustico je imel doslej partnerja Symantec (DigiCert), kateremu pa se bo odrekel in ga zamenjal s Comodom. Razlog so številne nepravilnosti na Symantecovi strani, zaradi česar bodo letos brskalniki nehali zaupati njegovim certifikatom. Ko se bo to zgodilo, bodo zaupanja nevredni tudi Trusticovi certifikati, zato je podjetje preventivno reagiralo in šlo na nož.

Trustico je od DigiCerta zahteval, da prekliče izdane certifikate, s čimer bi svoje stranke prisilil, da bi jih zamenjale za Comodove certifikate. DigiCert tega ni...

Slo-Tech - Prejšnji konec tedna so se začeli napadi na nizozemske banke, ki so vrhunec dosegli v torek. Začetek napadov nenavadno sovpada z objavami nizozemskih medijev, kako so nizozemski obveščevalci vdrli v bazo ruskih državnih hekerje, spremljali njihove aktivnosti in Američane opozorili na vmešavanje v volitve. Sum je zato takoj padel na Ruse, ki so jih obtoževale tudi analize dogajanja. Toda v resnici še vedno ni jasno, kdo stoji za napadi.

Napadi so prizadeli velike nizozemske banke ABN Amro, ING in Rabobank. Z botnetom Zbot so jih napadalci prek domnevno ruskih strežnikov zasuli z zahtevki (napad DDoS), zaradi česar so bančni strežniki postali neodzivni. Krajši čas je bila neodzivna tudi spletna stran nizozemskega davčnega urada. V torek je zaradi napadov krajši čas počival...

Slo-Tech - Spet je tisti dan, ko moram državnim biričem nakazati desetino polovico svojih mesečnih prihodkov – oziroma, kot oni temu pravijo, plačati moram davke. Mesečni ritual se začne s pregledom eDavkov, ali država želi od mene še kaj razen običajnih davkov in prispevkov. In, kot vsakokrat, me brskalnik spet prijazno opozori, da spletna stran eDavki ne zagotavlja minimalnih varnostnih zahtev. Roka zadrhti, že tako razredčeni lasje štejejo nove žrtve in možgani preračunavajo, kaj mi država nudi za skoraj 1000 evrov plačanih davkov vsak mesec. Očitno niti varnosti na internetih ne.

Nič, dvignem telefon in v slabi uri sedim na kavi skupaj s tremi ljudmi, ki se imajo za etične hekerje. Prepričam jih, da svoje znanje usmerijo na spletne dacarje in mi pomagajo ugotoviti,...

Vice - Kazahstanska vlada si želi nadzor nad internetnimi komunikacijami svojih državljanov, pri čemer se ne želijo ubadati z zapletenimi ali celo prikritimi metodami za dosego tega cilja. Kitajci imajo veliki požarni zid, a to je drago početje. Zato so se v Kazahstanu odločili, da bodo uporabnikom interneta preprosto predpisali, da jim morajo to dovoliti. Od 1. januarja bodo morali uporabniki obvezno namestiti vladni certifikat, ki bo omogočal branje nešifriranih in šifriranih komunikacij. Sporočilo so v angleščini objavili na spletnih straneh državnega telekoma, a je po nekaj dneh skrivnostno izginilo.

Spomnimo, da je Lenovo na svoje računalnike nameščal certifikat s sumljivimi nameni, Dell pa je po neumnem uporabnike...

Google Online Security Blog - Google je odkril lažne certifikate za svoje strežnike, ki jih je izdalo egiptovsko podjetje MCS Holdings. Ker je MCS Holdings vmesni certifikatni urad (intermediate CA), ki ga je kot zaupanja vrednega proglasil kitajski CNNIC, mu zaupajo vsi brskalniki. Firefox in Chrome sicer omenjenih certifikatov za dostop do Googlovih strani nista uporabljala, ker upoštevata public key pinning. Vseeno je početje podjetja MCS Holdingsa hud prekršek, zaradi česar so njihove certifikate proizvajalci brskalnikov takoj po odkritju uvrstili na listo neveljavnih.

CNNIC je potrdil, da so z MCS Holdings sklenili pogodbo, ki jim je dovoljevala le izdajo certifikatov za domene, ki jih imajo registrirane. Kot kaže, je MCS Holdings svoj zasebni...

Ars Technica - Ponavlja se zgodba, ki se je DigiNotarju zgodila leta 2011, le da z novimi igralci. Neznani napadalci so pridobili dostop do NIC (National Informatics Centre), ki deluje pod okriljem indijskega CCA (Controller of Certifying Authorities), in izdali vsaj štiri lažne certifikate za Google in Yahoo, kar je povzročilo precej težav zlasti uporabnikom operacijskega sistema Windows in brskalnika Internet Explorer.

CCA sicer trdi, da so lažni certifikati le štirje, a Googlov Adam Langley trdi, da imajo dokaze o večjem številu izdanih lažnih certifikatov. CCA je sicer takoj razveljavila vse certifikate, ki jih je izdal NIC, a uvrstitev na listo neveljavnih (revocation list) ni stoodstotna rešitev.

Windows in IE sta posebej prizadeta, ker je...

Digital Trends - Omrežje TOR omogoča anonimno brskanje po spletu, kar pride prav zlasti v boju zoper nedemokratične režime, ki zatirajo svobodo govora in pretoka informacij. Orodje je tako uporabno, da ga blokirajo tako nedemokratične kakor tudi demokratične države, a z enako lahkoto kot politični oporečniki ga lahko zlorabijo tudi hudodelske združbe. Iz ZDA in Nizozemske prihajajo vesti o razbitju velike organizirane združbe, ki je prek interneta vodila pravo spletno prodajalno nedovoljenih mamil.

Ameriška Agencija za nadzor mamil (DEA), FBI ter nizozemska in kolumbijska policija so ob zaključku operacije Adam Bomb aretirali osem ljudi, ki jih bremenijo razpečevanja mamil prek interneta, in sedem posameznikov, ki so bili njihove največje stranke. Aretirani so upravljali...

SecurityWeek - Po septembrskem fiasku nizozemskega centralnega overitelja certifikatov (CA) DigiNotar, ki so ga napadli hekerji in izkoristili za izdajo lažnih certifikatov, zaradi česar je bil po odkritju izločen z vseh seznamov zaupanja vrednih CA-jev, kar je podjetje prignalo v stečaj, ima težave še en nizozemski CA. To pot so hekerji napadli Gemnet, a naj bi bila škoda omejena javni del strani in nekaj javno nedostopnih podatkovnih baz, ki pa niso imele povezave z oddelkom za izdajo certifikatov.

Kot lahko preberemo v nizozemskih časnikih, so napadalci zlorabili pomanjkljive nastavitve nameščenega PHPMyAdmina na strežnikih, ki je omogočal dostop brez vnosa gesla. Tudi izbrano administratorsko...

Network World - Nizozemsko podjetje DigiNotar, ki se ukvarja z izdajanjem certifikatov SSL ter je prejšnji mesec postalo svetovno znano zaradi vdora in izdaje več kot petsto lažnih certifikatov, bo prenehalo poslovati. Kmalu po javnem razkritju vdora, ki se je zgodil že junija, podjetje pa je od julija do konca avgusta o njem molčalo, se je začelo zgražanje javnosti nad početjem podjetja. Nizozemska vlada je prenehala sodelovati s podjetjem, ki je bilo do tedaj glavni CA zanje, vse DigiNotarjeve certifikate so brskalniki odstranili s seznamov zaupanja vrednih certifikatov, od podjetja pa se je distanciral tudi večinski lastnik...

The H - Po seriji alarmantnih vdorov v korenske overitelje (root CA) Comodo, DigiNotar in potencialno še v GlobalSign, imajo ponudniki brskalnikov počasi dovolj "popravljanja za nazaj" z brisanjem spornih certifikatov iz svoje baze zaupanja vrednih overiteljev. Med samim vdorom in izbrisom lahko namreč mine kar nekaj časa in ves ta čas so uporabniki potencialno izpostavljeni vdoru ali nadzoru v njihove priljubljene servise. To pa uničuje zaupanje, ki je nujno za delovanje internetne ekonomije in ki so ga dolga leta le počasi vzpostavljali.

Mozilla je zdaj poslala nujni poziv vsem overiteljem, ki so vključeni v njihovo bazo (okoli 50). Poziv jih prosi, da takoj izvedejo obsežno varnostno...

BBC - Zgodba o zaupanja vrednih overiteljih digitalnih potrdil (CA), ki so to zaupanje zaradi vdorov in nezavednega izdajanja ponarejenih certifikatov izgubili, dobiva nove razsežnosti. Že več kot teden dni je na tapeti nizozemski registrar DigiNotar, ki so ga napadli neznani hekerji (najverjetneje Iranci) in ga izkoristili za izdajo lažnih certifikatov. Sprva je bil odkrit le Googlov, kasneje pa se je število povzpelo na vsaj 531. DigiNotar je seveda izgubil vso kredibilnost in mesto v seznamu...

The H -

No anti-virus, a single Windows domain for many CA servers, an easily brute-forced password and a tempest proof server room accessible from the management LAN: DigiNotar's security was full of holes.

Nizozemska vlada je pripravila vmesno poročilo z naslovom Črni tulipan (pdf) o varnostni situciji pri njihovi 'črni ovčki'; SSL overitelju DigiNotar. Kot smo že poročali v zadnjih dneh, so vanj enkrat poleti vdrli nepridipravi in si izdali ponarejene, a povsem legitimno izgledajoče certifikate za več deset domen visoke vrednosti, npr. za Google Mail ali določene varnostne službe. S temi certifikati je mogoče izvajati man-in-the-middle napade na lokalnih omrežjih ali - v skrajnem primeru - celo na posamezni državi.

Napadalci bi v strežnik prišli skozi neposodobljen spletni vmesnik. Nad tem naj bi bdel IDS (intrusion detection system), ki je sicer tekel, a naj ne bi bil ustrezno konfiguriran. Zatem so uspeli uganiti administratorsko geslo za Windows domeno, ki naj bi bilo pretirano...

Heise - Napad na nizozemskega overitelja digitalnih potrdil DigiNotar je obširnejši in resnejši, kot je kazalo na začetku. Sprva se je odkril le lažni certifikat za Googlove strežnike, kasneje je bilo potrjenih več deset, sedaj pa se je število odkritih lažnih certifikatov povzpelo na 532.

Nizozemska vlada je skrbnikom omrežja Tor (uporablja se za anonimni dostop do interneta) izročila seznam vseh lažnih certifikatov, ki so bili izdani in podpisani v DigiNotarjevem imenu (Excelova datoteka s...

PC World - Včeraj smo poročali o lažnem SSL-certifikatu za Googlove strani, ki so ga nepridipravi izdali in podpisali kot DigiNotarjev certifikat, kar so uporabili za prisluškovanje iranskim uporabnikom Gmaila. Danes je znanih že več podrobnosti, med drugim tudi to, da je šlo za več strani.

DigiNotar, podružnica podjetja Vasco Data Security International, je izdala uradno izjavo javnost, v kateri so navedli nekaj pojasnil. Dejali so, da žal ni bil izdan le lažni certifikat za Google, ampak še za nekaj...

Slashdot - Ponovila se je marčevska zgodba, ko so zlikovci pridobili nadzor nad izdajateljem spletnih certifikatov (CA) in izdali veljavne certifikate za lažne strani. To pot je žrtev nizozemski CA DigiNotar, saj so napadalci pridobili veljavne certifikate za lažne strani, ki se pretvarjajo, da so Googlove (certifikat je wildcard, kar pomeni da velja za vse Googlove strežnike in podstrani). Prva poročila o napadu so se pojavila včeraj, certifikat pa je že na listi blokiranih.

Na Mozillinih straneh so...

Heise - Prejšnji teden smo poročali, da so neznani napadalci uspeli pridobiti zasebni ključ overitelja digitalnih potrdil Comodo, kar jim je omogočilo izdajo ponarejenih varnostnih certifikatov. Takoj po odkritju je bil Comodo dodan na seznam preklicanih overiteljev (ARL, authority revocation list), Chrome in Firefox pa sta še dodatno blokirala certifikate, ki jih je podpisal omenjeni overitelj (kar se po osvežitvi baze ARL tako ali tako zgodi v vseh brskalnikih). Sumov, kdo stoji za napadom na Comodo, je bilo cel kup, nekateri pa so s prstom kazali na iransko vlado. Izkazalo se je, da so ga usmerili v pravo državo, ne pa v pravo organizacijo.

Včeraj je 21-letni heker iz Irana, poznan pod vzdevkom Comodohacker, prevzel odgovornost za napad z objavo izvlečkov na pastebin.com. Varnostni strokovnjaki priznavajo, da je njegov opis povsem mogoč in verjeten, dvomijo pa, da je...

Slo-Tech - Konec julija je Moxie Marlinspike na konferenci BlackHat 09 in Defconu 17 predstavil nov napad na SSL in TLS certifikate. Gre za tim. napad z ničelno predpono (ang. null prefix attack), ki izkorišča ranljivosti pri obravnavi SSL in TLS certifikatov. Marlinspike je namreč odkril, da je mogoče registrirati certifikate v obliki www.banka.si\0zlonamernastran.si. CA (Certificate Authority) bo vse znake pred "\0" ignoriral in brez težav podpisal certifikat za zlonamernastran.si, saj bo lastnik zlonamerne strani svojo identiteto in lastništvo strani seveda brez težav dokazal.

Izkaže pa se, da pri uporabi takega certifikata brskalnik certifikat prepozna kot veljaven tudi, če je uporabljen na domeni www.banka.si. Tako ustvarjen zlonamerni certifikat je torej mogoče uporabiti pri prestrezanju s posrednikom (ang. man-in-the-middle napad). Napadalec, ki uspe prestreči komunikacije žrtve (za ta namen je bilo (za okolje Linux) razvito posebno orodje SSLsniff), le-tej sedaj podtakne lažen...

Slo-Tech - Kot na svojem blogu poroča Eddy Nigg, je tokrat Božiček hekerjem prinesel odlično darilo - popoln napad s posrednikom.

Napad s posrednikom, znan tudi pod imenom MITM (man-in-the-middle) napad, je posebna oblika napada, kjer napadalec skuša "prisluškovati" šifriranemu prometu med žrtvijo in spletnim (ali drugim) strežnikom. Deluje tako, da napadalec preko sebe preusmeri ves promet do nekega https strežnika, žrtvi podtakne lažen SSL certifikat, promet pa nato dešifrira in pošilja dalje do pravega strežnika.



Vendar pa se je do sedaj napade s posrednikom dalo zaznati na relativno enostaven način. Ker naj bi izdajatelji SSL certifikatov preverili identiteto oseb, ki se predstavljajo za upravitelje varnih spletnih strani, napadalec ne more dobiti s strani zaupanja...