Нов проект на EFF следи за лоши SSL сертификати
August 17th, 2010 от singu
“In God we trust, all others must submit X.509 Certificate”
Стара шега из ИТ средите, която обаче напоследък може да изиграе лоша шега – повечето потребители смятат HTTPS за сигурен протокол, който защитава от подслушване. Все повече потребители се научават да гледат за зеленото катинарче, чавка или какъвто графичен елемент в браузера показва, че сертификатът на сайта е валиден и е подписан от валидно ауторити от верига, на която браузърът или операционната система се доверяват. Откъдето може да възникне проблем – EFF обявиха на DefCon18 своят нов проект – SSL Observatory, който цели да изследва всъщност на колко ауторитита вашият компютър се доверява по подразбиране и доколко всъщност можем да се доверим на тях. Защото ако злоумишлена организация може да генерира валидни сертификати, от верига, на която се доверявате, то те спокойно могат да подслушват комуникацията ви, била тя и през SSL.
Намереното от проекта до момента е изключително интересно:
- наблюдавани са над 1.3 милиона валидни сертификата
- Mozilla се доверява по подразбиране на 124 ауторитита ( събрани в около 60 организации )
- Microsoft се доверява само на 19 в Windows 7, но това може да бъде “ъпгрейдвано” тихомълком
- Голям брой сертификати подписани от единични leaf-ове – например един сертификат от GoDaddy е подписал 300 224 сертификата ,един от Equifax – 244 185
- много от организациите споделят ключове – открити са над 80 уникални ключа, които се използват в различни сертификати на ауторитита
- над 6000 сертификати за localhost, частни IP адреси и т.н.
- root CA сертификати, които не се използват ( но браузера ви им се доверява )
- Интересни организации, които притежават CA сертификат – например Department of Homeland Security, Etisalat1, Dell, Ford, Google, Marks and Spencer и т.н.
ето цялата презентацията от DefCon, препоръчително четиво, ако темата ви е интересна. Също така е достъпна карта на 650+ организации, които могат да издават сертификати.
В скоро време се очаква проекта да публикува цялата събрана информация ( включително събраните сертификати ), както и да направи няколко допълнителни анализа.
Update 23.10.2010 ето и линк към видеото от презентацията на DefCon.
_________- тези, които се опитаха да забранят Blackberry в Обединените Арабски Емирства [обратно ↩]
Подобни статии:
