Új hozzászólás Aktív témák

• #5421 W666W tag

  Új Válasz 2011-03-30 17:32:32 #5421

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  W666W

  tag

  Na mindegy akit érdekel a dolog nagy nehezen megtaláltam

  A Comodo nevű nemzetközi hitelesítés szolgáltatót a közelmúltban (2011. március 15-én) támadás érte. A Comodo jelentése szerint a támadó az egyik regisztrációs egység jelszavát szerezte meg, amivel kibocsátott magának 9 db hamis webszerver tanúsítványt. (A regisztrációs egység győződik meg a tanúsítvány-igénylő kilétéről, és bírálja el, hogy jogosult fél igényelte-e a tanúsítványt, a hitelesítés szolgáltató hitelesítő egysége általában a regisztrációs egység jóváhagyása alapján adja ki a tanúsítványt. A regisztrációs egység lehet a hitelesítés szolgáltató része, de külön szervezet is lehet.) A 9 hamis tanúsítvány segítségével a támadó néhány ismert nemzetközi weboldalt (pl. google, yahoo, skype stb.) személyesíthet meg.

  A Comodo visszavonta a tanúsítványokat, de - érdekes módon - értesítette az összes nagy böngészőt az incidensről, akik a visszavonás mellett biztonsági frissítéseket bocsátotta ki, miszerint az adott sorozatszámú tanúsítványokat el kell utasítani. Ez különös, mert ha valaki gondosan ellenőriz egy tanúsítványt, akkor azt is megvizsgálja, hogy nem vonták-e vissza. Sajnos sok böngésző nem, vagy nem elég alaposan vizsgálja a visszavonási állapotot, illetve léteznek bizonyos ismert támadások, amelyekkel ki lehet cselezni sok böngésző gyenge visszavonás-ellenőrzését. Számomra az, hogy a böngészők egy-egy tanúsítvány miatt biztonsági frissítéseket jelentettek meg, azt jelenti, hogy szerintük sem ér sokat az, amit visszavonás-ellenőrzés címen végeznek.

  A böngészők egy része nyílt forráskódú, és ott (a Firefox és a Chromium esetén) kutatók (Jacob Appelbaum) kiszúrták ezt a kód módosítást, és kinyomozták, hogy mi történt. Az EFF SSL Observatory projekt a közelmúltban feltérképezte a világban működő hitelesítés szolgáltatókat, az ő eredményeik alapján keresték meg, hogy kinek a visszavonási listáján vannak az adott sorozatszámú tanúsítványok. Felvették a kapcsolatot a Mozillával és a megegyezésük értelmében tegnapelőtt hozták nyilvánosságra az esetet.

  A közelmúltban már volt egy botárny a Comodo-val kapcsolatban, akkor az derült ki, hogy egy regisztrációs egysége (egy külső szervezet) nem végzi el a szükséges ellenőrzéseket. A Comodo a Verisign után második a webszerver-tanúsítvány piacon, botárny a Comodo-val kapcsolatban folytat, de láthatóan néha követ el szakmai hibákat. A napokban ettől volt hangos a PKI-közvélemény.

Új hozzászólás Aktív témák