Certifikathack visar brister i ömtåligt system

Påföljderna av certifikatattackerna mot Comodo och Diginotar, samt den möjliga certifikatläckan hos GlobalSign, visar att de digitala certifikaten omges av ett ömtåligt tillitssystem. För att förbättra säkerheten måste kanske användarna själva bli mer involverade i hanteringen av certifikaten framöver, skriver Johan Henrikson, vd på IT-säkerhetsföretaget Verisec.

Både Comodo och Diginotar har i år utsatts för attacker vars syfte varit att komma åt digitala certifikat som används för att kryptera trafik och säkra webbplatser. En och samma hackare uppgav sig ligga bakom båda attackerna och påstod sig även ha tillgång till certifikat från bl.a. GlobalSign. Intrång hos certifikatutfärdare (CA) är särskilt känsliga eftersom de öppnar för s.k. ”man-in-the-middle”-attacker och skapar stora säkerhetsproblem på nätet.

”Man kan säga att certifikatattackerna angriper hela det tillitssystem som byggts upp de senaste åren. I praktiken så innebär certifikatstölderna att vi som användare kan luras in på falska sajter när vi i god tro loggar in med våra lösenord. En hackare kan exempelvis använda vår Gmail-inloggning för att få tillgång till alla Googles funktioner, inklusive GoogleDocs och Latitude, samt indirekt komma åt Twitter och Facebook och även få de administrativa rättigheterna till kontona. Samma resonemang gäller för alla sajter som använder SSL-certifikat, vilket de flesta sajter gör. Alla större webbläsare innehåller idag ca 500 CA-certifikat som automatiskt laddas i samband med installationen, vilket gör att vi som användare litar på dessa utan att egentligen vara medvetna om det. Lägger man därtill att alla dessa 500 certifikatutfärdare i sin tur kan ställa ut certifikat för vilken hemsida som helst, så inser man att det har skapats ett väldigt skört tillitssystem som involverar både användare, certifikatutfärdare och deras kunder. Det är exempelvis den ´inbyggda´ tilliten till certifikatutfärdare som gör det möjligt för ett företag som Diginotar att generera ett Google-certifikat trots att de själva inte har Google som kund”, säger han och fortsätter:

”Att det ser ut så här idag beror till stor del på att det skett en avvägning mellan användarvänlighet och säkerhet, det har funnits en tanke om att användarna ska slippa bli inblandade i säkerheten. Men vi måste någonstans acceptera att säkerheten på webben kommer att ställa högre krav på användarnas inblandning. I nuläget finns det dock väldigt få verktyg till förfogande, och certifikaten är heller inte riktigt utformade för att granskas av användarna. Att titta på certifikaten kan förstås ge en indikation på att något är fel, men det är ingen garanti för att skydda sig. I de aktuella fallen skulle man exempelvis inte fått någon varning eftersom det faktiskt rörde sig om giltiga certifikat (dock stulna). En lämplig åtgärd skulle dock kunna vara att göra godkännandet av CA-certifikaten till en aktiv handling. Istället för att som nu ha ca 500 CA-certifikat inbyggda och godkända i webbläsaren på förhand skulle användaren få välja själv. Detta är ingen garanti för att slippa problem i framtiden, men kan definitivt vara ett steg på vägen. Även de tankar som finns kring säker DNS skulle försvåra för hackare att utnyttja certifikaten för sina egna fördelar, även om dessa inte heller fullt löser det grundläggande problemet. Vad som än händer framöver så är det i alla fall säkert att dessa attacker kommer att få efterverkningar eftersom tilliten till säkerheten minskas och tilliten mellan utfärdarna påverkas. Detta kommer sannolikt driva på bättre revision av utfärdare och skapa mer stringenta krav på uppföljning.”

För ytterligare information, vänligen kontakta:

Johan Henrikson, vd

Verisec AB

08-723 09 00

johan.henrikson@verisec.com