Het valse beveiligingscertificaat voor * ... / 2011-08-30

2011-08-30 Het valse beveiligingscertificaat voor * ...
Het valse beveiligingscertificaat voor *.google.com wat zeer waarschijnlijk gebruikt werd voor het afluisteren van gmail verkeer door de overheid in Iran is dus een Diginotar certificaat.

Berichtgeving via onder andere Iran kan Gmail aftappen door Nederlands certificaat - webwereld en Overheidsites gedupeerd na aftappen Gmail - nu.nl. Hoe een 'via inbraak in een computersysteem verkregen' certificaat eindigt in een server bij een ISP in Iran die alle verkeer daarlangs omleid is iets wat vast onder andere de AIVD zich afvraagt.

Een detail wat mij opvalt is dat het valse certificaat de X509v3 Subject Alternative Name verkeerd gebruikt:
            X509v3 Subject Alternative Name:
                email:admin@google.com
In het goede (.. hoop ik) certificaat is dat:
            X509v3 Subject Alternative Name: 
                DNS:*.google.com, DNS:google.com, DNS:*.atggl.com, DNS:*.youtube.com, DNS:youtube.com, DNS:*.ytimg.com, DNS:*.google.com.br, DNS:*.google.co.in, DNS:*.google.es, DNS:*.google.co.uk, DNS:*.google.ca, DNS:*.google.fr, DNS:*.google.pt, DNS:*.google.it, DNS:*.google.de, DNS:*.google.cl, DNS:*.google.pl, DNS:*.google.nl, DNS:*.google.com.au, DNS:*.google.co.jp, DNS:*.google.hu, DNS:*.google.com.mx, DNS:*.google.com.ar, DNS:*.google.com.co, DNS:*.google.com.vn, DNS:*.google.com.tr, DNS:*.android.com, DNS:*.googlecommerce.com
Maar wat natuurlijk verifieerbaar moet zijn, de key identifier. Van het foute certificaat:
            X509v3 Subject Key Identifier:
                07:4A:7D:16:27:32:28:D1:E3:01:31:05:0D:B0:CA:8D:E9:E1:7F:ED
En het goede certificaat:
            X509v3 Subject Key Identifier: 
                72:1F:13:DF:BF:E2:E7:9B:62:A0:89:DE:F6:8D:AD:E9:3A:CC:CC:B2
vanaf meerdere plekken krijg ik dezelfde fingerprint.

Nu nog het duidelijk publiceren van deze fingerprints, ook van bijvoorbeeld mijn.ing.nl:
            X509v3 Subject Key Identifier: 
                CC:14:12:CD:FA:A1:54:57:75:AA:69:8E:03:11:57:95:DF:0D:86:A6
Het is eigenlijk best eng dat een google search op deze string maar 2 hits geeft. Waarom staat deze informatie niet onder elk bankafschrift van de ING?

Update: Nu vermakelijk: de Koninklijke Notariƫle Broederschap was blijkbaar niet blij met de uitleg over een "Notary" bij de uitleg van Jacco de Leeuw over certificaten en wenste een disclaimer. Omhoog scrollen voor een goede uitleg over certificaten.

Tags: ,

IPv6 check

Running test...
, reachable as koos+website@idefix.net. PGP encrypted e-mail preferred. PGP key 5BA9 368B E6F3 34E4 local copy PGP key 5BA9 368B E6F3 34E4 via keyservers

RSS
Meningen zijn die van mezelf, wat ik schrijf is beschermd door auteursrecht. Sommige publicaties bevatten een expliciete vermelding dat ze ongevraagd gedeeld mogen worden.
My opinions are my own, what I write is protected by copyrights. Some publications contain an explicit license statement which allows sharing without asking permission.
Other webprojects: Camp Wireless, wireless Internet access at campsites, The Virtual Bookcase, book reviews
This page generated by $Id: newsitem.cgi,v 1.55 2021/11/09 13:09:49 koos Exp $ in 0.006611 seconds.