Hekerji večkrat napadli VeriSign, podjetje molčalo

Na plano so pricurljale informacije, da je bil VeriSign v letu 2010 večkrat žrtev hekerskih napadov, a o tem do letos niso obvestili nikogar. Z napadom niso bili seznanjeni niti delničarji, nadzorni organi podjetja, regulatorji trga vrednostnih papirjev in celo višji menedžment podjetja. Reuters je odkril, da so neznani storilci leta 2010 večkrat napadli računalniške sistema podjetja VeriSign, a resnost in posledice napadov niso dobro znane.

VeriSign je napade razkril šele lani oktobra v poročilu ameriškemu regulatorju trga vrednostnih papirjev SEC-u, saj je ta 13. oktobra od kotirajočih podjetij zahteval razkritje vseh incidentov v zvezi z varnostjo računalniških sistemov (a zanimivo ni predpisal sankcij za nespoštovanje tega navodila). Javnosti v VeriSignu o tem niso posebej obveščali, a so se novinarji pri Reutersu svojega posla lotili z dovolj skrbnosti in predanosti, da so prečesali več kot 2000 poročil. Po več mesecih dela so naleteli tudi na VeriSignov dokument.

V zadnjem letu smo poročali o napadih certifikatska overitelja DigiNotar in Comodo, s čimer je bilo precej načeto zaupanje v sistem certifikatov za SSL. VeriSign pa je v tem pogledu še večja riba. Podjetje upravlja dva izmed trinajstih vrhovnih imenskih strežnikov (A in J), poleg tega pa je tudi odgovorni registrar za vrhovni domeni .com in .net. Do leta 2010 so bili tudi eden izmed priznanih overiteljev SSL-certifikatov, a so to dejavnost kasneje odprodali Symantecu. To pomeni, da se danes na VeriSign naslanja 56 odstotkov vseh gostiteljev DNS (hosts), njegovi strežniki pa odgovarjajo na 50 milijard poizvedb dnevno, zato je podjetje ključnega pomena za delovanje interneta.

Vdor v táko podjetje ni majhna stvar, zato je nerazumljivo, da javnosti niso obvestili o več vdorih. Iz meglene dikcije v poročilu SEC-u prav tako ni mogoče ugotoviti obsega, resnosti ali posledic napada. Zapisali so le, da napadi niso ogrozili integritete DNS-strežnikov ali SSL-certifikatov, podrobnejših pojasnil pa niso dali. Sporočili so še, da so po napadih takoj izvedli ukrepe za preprečitev in izboljšanje varnosti, a vodstva podjetja o napadih niso obvestili do sredine leta 2011. Ken Silva, ki je bil do novembra 2010 v podjetju zaposlen kot vodja IT-oddelka, je zanje izvedel šele od novinarjev.