Kwetsbaarheid certificaten

Afgelopen weken is een kwetsbaarheid aan het licht gekomen met betrekking tot SSL certificaten. Met gebruik van 200 Playstations 3 is men erin geslaagd een certificaat te signeren als of deze door een CA is uitgegeven.

( zie ook: Hackers kraken SSL certificaten met 200 Playstations op Security.nl

De hack is gebaseerd op een al 3 jaar bekende zwakheid in het MD5 algoritme. De kwetsbaarheid heeft ook alleen betrekking op certificaten die gesigneerd zijn door een MD5-hash en tevens zijn uitgegeven door organisaties die niet voldoende controleren op de authenticiteit van de aanvrager. Certificaten die bij TUNIX aangeschaft zijn en worden bewaakt door de TUNIX/Certificatedienstverlening, zijn allen gecontroleerd en zijn niet gevoelig voor de kwetsbaarheid.

Heeft u uw certificaat elders aangevraagd en u wilt weten of uw certificaat met een MD5-hash getekend is kunt u dit met behulp van een browser controleren. Open dan de Certificaat Details middels het slotje die verschijnt als u naar de pagina gaat welke met uw certificaat beveiligd is. Selecteer "Certificaat weergeven/bekijken" en vervolgens "Details". Zoek dan naar het veld "Algoritme voor handtekening" voor IE en voor Firefox naar "Certificaatondertekeningsalgoritme" en klik hierop. Deze waarde moet dan geen MD5 bevatten. Mocht hier wel MD5 gebruikt zijn dan kunt u het beste bij de signerende partij een vervangend certificaat aanvragen die wel met SHA-1 gesigneerd is.

Indien u vragen heeft of gebruik wilt maken van de TUNIX/Certificatedienstverlening,
kunt u mailen naar fwsupport@tunix.nl.

Back to the overview...