Hackers vinden manier om valide certificaten te genereren

Een zevental beveiligingsonderzoekers claimt een kwetsbaarheid te hebben benut bij de uitgifte van certificaten die websites moeten beveiligen. De zwakte zou liggen in het MD5-algoritme.

De kraakmethode van de onderzoekers werd uit de doeken gedaan tijdens de hackersbijeenkomst 25C3 in Berlijn. De Nederlanders Marc Stevens, verbonden aan het Centrum Wiskunde & Informatica in Amsterdam, en Benne de Weger van de Technische Universiteit Eindhoven, maakten deel uit van het team. De hackers zouden er bij een proof-of-concept in geslaagd zijn om een certificaat te maken waarmee zij een vervalste Certificate Authority zijn geworden. Hierdoor kunnen browsers elk certificaat dat is getekend door deze fictieve identiteitsprovider als legitiem interpreteren. Dit geeft kwaadwillende websites de mogelijkheid om als authentiek te worden gezien, mede doordat de site een versleutelde https-sessie kan opzetten.

De onderzoekers hebben eerst dertigduizend certificaten van diverse websites verzameld, waarvan negenduizend met het als kwetsbaar bekendstaande MD5-mechanisme zijn uitgegeven. Nader onderzoek leerde dat zes Certificate Authorities nog steeds certificaten leveren die een MD5-hash worden ondertekend: Rapidssl, Freessl, TC Trustcenter AG, RSA Data Security, Thawte en Verisign.co.jp. Dit is opvallend, omdat al sinds 2004 bekend is dat met zogeheten MD5-collissions andere gegevens toch dezelfde hashwaarde kan krijgen. Vervolgens bleek Rapidssl, dat geheel geautomatiseerd werkt, precies 6 seconden nodig heeft om een aangekocht certificaat te ondertekenen, waardoor de te verwachten verloopdatum is in te schatten. Daarnaast bleken de uitgegeven serienummers sequentieel en niet willekeurig.

Vervolgens werden er met behulp van tweehonderd geclusterde Playstation 3's en Linux-software berekeningen uitgevoerd om een MD5-collission tussen een nepcertificaat en een gekocht exemplaar te vinden. Na 18 uur rekenwerk was het raak en kon in combinatie met de te voorspellen gegevens van Rapidssl - waarvoor 657 dollar aan certificaataanvragen nodig was - een vervalst certificaat worden gemaakt.

De bevindingen tonen volgens de beveiligingsonderzoekers aan dat de Certificate Authorities zo snel mogelijk dienen over te stappen op het SHA1-algoritme, dat momenteel nog als veilig wordt gezien. In de nabije toekomst zou echter al naar SHA2 gekeken moeten worden, omdat dit hash-algoritme als minst kwetsbaar wordt gezien. De hackers hebben onder andere aan Microsoft en Mozilla de problemen binnen Firefox 2 en IE6 - het niet controleren op ingetrokken certificaten - voorgelegd, terwijl ook contacten zouden zijn gelegd met de instanties die de certificaten uitgeven. Verder zullen de beveiligingsonderzoekers voorlopig niet alle details prijsgeven over de algoritmes die zij gebruikt hebben bij het zoeken naar MD5-collissions, in de hoop zo grootschalig misbruik te voorkomen. Het zou volgens hen met enkele optimalisaties zelfs mogelijk zijn om tweeduizend dollar aan rekentijd op Amazons EC2-clouddienst te gebruiken om certificaten te klonen of kopiëren.