Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Mobile » Software » Smartphones en tablets blijven kwetsbaar voor valse ssl-certificaten

Smartphones en tablets blijven kwetsbaar voor valse ssl-certificaten

Door Arnoud Wokke, zondag 11 september 2011 10:21, views: 23.166

Mobiele apparaten als smartphones en tablets blijven voorlopig kwetsbaar voor valse certificaten van de DigiNotar-hacker. Android-toestellen, iPhones en BlackBerry's vertrouwen nog altijd op certificaten van het Nederlandse bedrijf.

Daardoor blijven gebruikers van sommige mobiele apparaten kwetsbaar voor aanvallen met valse DigiNotar-certificaten, terwijl gebruikers van Windows, Mac OS X en diverse desktopbrowsers wel beschermd zijn voor valse certificaten.

Met behulp van de valse certificaten kan een site zich voordoen als een vertrouwde site, zoals *.google.com. Omdat het certificaat wordt vertrouwd, hebben de mobiele browsers niet door dat het om een gehackte site gaat. Daardoor kunnen persoonsgegevens van gebruikers worden onderschept en internetverkeer worden afgetapt. De valse DigiNotar-certificaten werden vooral gebruikt in Iran.

Update 23.59 De standaardbrowser van Windows Phone 7 geeft een waarschuwing bij een DigiNotar-certificaat dat de site niet mag worden vertrouwd en dat, als de gebruiker doorgaat, hij of zij beter geen privacygevoelige gegevens kan invullen. De standaardbrowser in Android 2.3 zegt alleen dat er een probleem is met het certificaat, maar zegt niet dat deze niet wordt vertrouwd. Bovendien staat de Doorgaan-knop daarbij prominenter in beeld dan de optie om niet door te gaan naar de site.

Volgende 11:25 Hands-on van metalen BlackBerry Bold-variant verschijnt
Vorige 16:53 AVG: wij bespioneren Windows Phone-gebruikers niet
Advertentie

Categorieën

Lees meer over

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 43 reacties zichtbaar430 Off-topic / Irrelevant: 41 reacties zichtbaar41+1 On-topic: 28 reacties zichtbaar28+2 Informatief: 8 reacties zichtbaar8+3 Spotlight: 0 reacties zichtbaar0
«  1  2  »

Door Zunflappie, zondag 11 september 2011 10:24

Score: 1
Kan je dan als Android-persoon niet zelf die update binnen halen uit de Market oid?
Lijkt me toch niet zo moeilijk....

Door Euwas, zondag 11 september 2011 10:27

Score: 1
Zit denk ik in de browser, en die gaat (nog) niet via de market. Hoewel firefox android dat wel doet, moet die update ook nog komen.

Toch wel jammer dat ze niet zoals firefox een request sturen naar apple / google / microsoft / rim/ mozilla met de vraag of het certificaat nog geldig is. Als je toch een site op kan halen, waarom niet een true / false voor je ssl? Zou meteen een up-to-date lijst zijn die makkelijk te beheren is door een vertrouwde partij. Dit kan natuurlijk voor alle devices.

[Reactie gewijzigd door Euwas op zondag 11 september 2011 10:27]

Door Croga, zondag 11 september 2011 10:35

Score: 1
Als de SSL systemen onbetrouwbaar zijn dan wil je dus niet je SSL confirmatie ophalen bij een site op het Internet. Wat nu als juist die sites gespoofed zijn met valse certificaten? Dan heeft de hacker in één klap het volledige SSL systeem in handen en kan hij alles spoofen wat hij maar wil....

Nee, die controle wil je juist lokaal houden, je lokale bron vertrouw je altijd.

Door jbtbnl, zondag 11 september 2011 11:24

Score: 1
Als Firefox bij Mozilla een blacklist zou ophalen met onvertrouwde certificaten dan zie ik het probleem niet? Dan kan je hooguit als je mozilla gehackt hebt een veilige website onveilig laten lijken.

En als je mozilla kunt hacken kan je natuurlijk net zo goed jouw eigen computer als CA toevoegen in de FF installer :)

[Reactie gewijzigd door jbtbnl op zondag 11 september 2011 11:27]

Door liveandletdie, zondag 11 september 2011 11:50

Score: 1
Wat Croga stelt is dat je DENKT een in jouw voorbeeld goede blacklist down te loaden maar dat dat nu juist niet het geval is omdat je tegen een nep site aan zit te kijken die met een vervalst certificaat zich voordoet als een oorspronkelijke site.

Wat ik weer niet snap, maar dat is vast mijn beperkte kennis, waarom er geen instructies uitgaan op de Diginotar certificaten aan de Certificate Revocation List toe te voegen. Ja je moet het even met het handje doen maar met 3 screenshots of zo is het uitgelegd. Ook voor mobiele versies van browsers lijkt me.

Iemand enig idee?

PS De firefox help pagina op dit gebied is nog niet gevuld.

Door ILUsion, zondag 11 september 2011 13:15

Score: 2
Dat is ook nog het probleem uiteindelijk. Waar zit Mozilla? Om dat te bepalen heb je het DNS nodig: Domain Name System, dat is een vertaling tussen een domeinnaam "mozilla.org" naar hun IP-adressen. Dat systeem is helemaal gedistribueerd, dus in het geval van Iran (of mogelijk zelfs hier), kan je als provider gewoon die DNS-records overriden naar een eigen server.

DNS heeft op zich geen enkele vorm van authenticatie of veiligheid ingebouwd. Als je een corrupte server raadpleegt, ben je gezien voor de moeite en dat zal in Iran ook het geval zijn.

Het probleem is dus zelfs niet om Mozilla te hacken, maar om de DNS-servers waar je doelgroep gebruik van maakt, te beheren en dat is heel wat minder moeilijk voor een overheid. Ik kan me voorstellen dat heel wat DNS-servers ook onder het beheer staan van de overheid of toch op zijn minst een centraal landgebonden organisme waarop de overheid enige druk kan uitoefenen.

Er is wel verbetering op komst met bv. DNSSEC. Heel erg kort door de bocht is DNSSEC een DNS-dienst met bijkomende certificaten die van elk record aangeven dat dat record geldig is, zodat om het even welke partij die records niet kan aanpassen zonder dat de gebruiker dat kan zien. Zodat je weet dat als je "mozilla.org" opvraagt, dat je ook die site gaat terugkrijgen en niet een Iraanse clone daarvan (o.id.) . Maar je zit natuurlijk met hetzelfde probleem van Trust Anchors (lees: Certificate Authorities) die je moet kunnen vertrouwen en dat is ook net in deze hele DigiNotar-zaak misliep: een CA die bewezen heeft onbetrouwbaar te zijn. Je moet dus overal die Trust Anchors uithalen en dat kost spijtiggenoeg tijd.

Met DNSSEC zou je gelukkig wel iets meer vertrouwen moeten kunnen hebben in dat alles omdat het veel gecentraliseerder is. De hoogste niveau's (voornamelijk TLDs, vermoed ik) moeten bij IANA aankloppen voor hun certificaat. In mijn ogen doet IANA dat hele gebeuren zoals het zou moeten: ze publiceren zo veel mogelijk over hun acties (het is iets anders of ze die acties ook werkelijk uitvoeren, maar het is toch al beter dan het gesloten karakter van DigiNotar in deze hele zaak). Ik ken de interne werking niet volledig, maar volgens mij zal het wel voorzien zijn dat een .be-verantwoordelijke geen .com-domein werkzaam kan ondertekenen. Een bepaalde overheid zal dus veel moeilijker (bv. in het geval van Iran) erin slagen om compleet andere domeinen te valideren.

Door supersnathan94, maandag 12 september 2011 17:36

Score: 0
dat is heel leuk, maar ik mag toch aannemen dat een browser niet linkt naar mozilla.org om een bestandje op te halen, maar gewoon rechtstreeks naar het IP adres van de server met de SSL blacklists.

Door HellStorm666, zondag 11 september 2011 10:26

Score: 1
Aangezien Android zo open is zou iedereen toch ebben snel een fix kunnen maken, of mis ik iets?

Door vgroenewold, zondag 11 september 2011 10:29

Score: 1
De tweaker wel maar het moet natuurlijk een zo volledig mogelijke uitrol zijn om de beste veiligheid voor iedereen te garanderen.

Door jan-willem3, zondag 11 september 2011 11:15

Score: 1
De browser is niet het zelfde op elke android telefoon. De intergratie met het framework is vaak verschillend. En daarnaast zijn er veel fabrikanten die de browser aanpassen en je zo dus een custom browser krijgt.

Door Darkstriker, zondag 11 september 2011 10:26

Score: 1
Dit klopt natuurlijk niet helemaal. Google kan via de Android market wel degelijk fixes uitrollen.
Dat is in maart toen ook gebeurt.

En weet iemand hoe dat met programmas als Opera/FF mobile zit? Zijn die ook kwetsbaar?

Door Gondor, zondag 11 september 2011 11:23

Score: 2
Opera mobile op een Symbian/Nokia toestel is afhankelijk van symbian/nokia update. Voor Opera mobile op andere platformen zal deze week een update uitkomen. Voorwaarde is wel dat je minimaal versie 11.10 gebruikt.

bron

Door jan-willem3, zondag 11 september 2011 13:39

Score: 1
Welke fix hebben ze toen uitgebracht? Tuurlijk kan google de android source code aanpassen met een fix en deze vervolgens aan hun eigen nexus telefoons uitrollen. Maar zolang andere fabrikanten niet hun software verbeteren met de laatste AOSP code gebeurt er natuurlijk niks. In tegenstelling tot bijvoorbeeld de android market die kan google wel laten updaten op elke telefoon.

Door Raka, zondag 11 september 2011 13:39

Score: 0
Firefox mobile zit, net als de desktop versie, op 6.02. En houdt verkeerde certificaten tegen.

Door BeF-Bacchus, zondag 11 september 2011 17:49

Score: 0
Opera heeft geen update nodig, die controleert gewoon de CRL.

Door MMaster23, zondag 11 september 2011 10:27

Score: 1
Wat ik niet begrijp is waarom de root-CA lijst ook niet bijgewerkt word zoals bij een revoked-certificate list? Waarom moeten root-CA's zo diep geintegreerd zitten?

Door ReconE, zondag 11 september 2011 10:29

Score: 0
Beetje offtopic, maar weet eigenlijk iemand of je een nieuw wachtwoord voor digid moet regelen als je met een gehackte digid/diginotar hebt gecommuniceerd?
Zo ja, daar heb ik de overheid nog niet over gehoord.

Door Tom-Z, zondag 11 september 2011 10:41

Score: 1
Ik zou me daar geen zorgen over maken. Het is allemaal nogal theoretisch.
De kans dat je daadwerkelijk in aanraking bent gekomen met zo'n vervalst certificaat is erg klein en zolang dat niet het geval is zijn je gegevens ook niet in gevaar. Ik denk dat als er een aanval was geweest, dat dat dan nu wel bekend was geworden.

Door Seal64, zondag 11 september 2011 10:48

Score: 1
Hoe weet jij of die verbinding ook daadwerkelijk onderschept is geweest? Dat er valse certificaten in omloop zijn, hoeft nog niet te betekenen dat je ook daadwerkelijk bij een malafide site hebt gezeten - de echte site bestaat ook gewoon. Dat is precies het geniepige van die DigiNotar hack - je weet het niet meer.

Gezien het feit dat de hack uitgevoerd is door een Iraniër en dat er vooral veel te doen is geweest over het onderscheppen van communicatie zal de kans dat de website van DigID gehackt is, niet zo groot zijn - wat moet een man uit Iran met jouw belastingaangifte of de gegevens voor je studiebeurs? Maar als je dat een beter gevoel geeft kun je natuurlijk een nieuwe login aanvragen, het kan nooit kwaad.

Door Qurmo, zondag 11 september 2011 11:47

Score: 1
Er vanuit gaande dat hij een Iranier is met enkel politieke doelstellingen,... Zoveel verschillende punten waar je maar vanuit gaat om dan te concluderen dat je veilig bent :/. Vergeet niet assumption is the mother of all fuckup's.

Mijn advies eens die Diginotar certs uit de weg zijn veranderen die boel. En de overheid zou dit uit zichzelf moeten doen. Just in case. Weet je wel.

Door Alex3, zondag 11 september 2011 14:02

Score: 0
Die Iraniër werkt hoogstwaarschijnlijk in opdracht van de regering. En wat het vervolgen van hem betreft: die is allang weer vertrokken, als hij hier al geweest is. Voor de volgende hack sturen ze gewoon weer een ander. Belastingaangiften kunnen best interessant zijn voor bedrijfsspionage.

Door blouweKip, zondag 11 september 2011 14:49

Score: 0
weet je zeker dat er sprake was van een mitm attack dan?

Door RedNas74, zondag 11 september 2011 10:32

Score: 2
Als je telefoon geroot is kan je het diginotar certificaat zelf deleten. Hier is een tooltje voor gemaakt. En is hier te vinden: https://market.android.co...fo.guardianproject.cacert

[Reactie gewijzigd door RedNas74 op zondag 11 september 2011 10:35]

Door Yucko, zondag 11 september 2011 11:14

Score: 0
Leuk maar ik vind nergens een certificaat voor Staat der Nederlanden uitgegeven door Diginotar. En de "Staat der Nederlanden Root CA" die ik wel vind vermeldt die info ook niet.

Door borft, zondag 11 september 2011 12:26

Score: 1
je moet ook het diginotar root certificaat verwijderen. Dat is namelijk het gecompromiteerde certificaat. Het certificaat van de Staat der Nederlanden is gewoon veilig (dat is ook niet van Diginotar).

Door borft, zondag 11 september 2011 11:16

Score: 1
goed idee, thanks voor de link! :) Mijn phone is nu iig veilig voor diginotar hackers.


Desalniettemin denk ik dat je in NL redelijk veilig bent voor hacks. Als je een betrouwbare DNS hebt, zal je altijd bij de digid site uitkomen. Dan moet die iranier nog wat extra trucs uithalen voordat ie daar tussen kan gaan zitten. maw, zo'n man-in-the-middel heeft wat meer voeten in de aarde dan alleen een gehacked certificaat.

Door M66B, zondag 11 september 2011 10:44

Score: 2
En voor degenen < Android 2.2: instructies voor het handmatig installeren van een bijgewerkte CACert file (root benodigd).

[Reactie gewijzigd door M66B op zondag 11 september 2011 10:45]

Door wilcooudshoorn, zondag 11 september 2011 10:57

Score: 0
Ik krijg op mijn HTC sinds vorige week al dat de certificaten niet te vertrouwen zijn, heb ik iets gemist maar ik krijg die melding wel zo was ik er ook achter gekomen dat er iets niet in orde was met digid.

Door HtheB, zondag 11 september 2011 11:19

Score: 2
Ondanks dat Maemo al een tijdje EOL is verklaard door Nokia, hebben ze wel geholpen om via de Community Firmware (Community SSU) een update uit te brengen.
Hiermee is de N900 niet meer kwetsbaar. Aanrader voor de N900 gebruikers onder ons!
Bron: talk.maemo.org/showpost.php?p=1085259&postcount=4755

Door Magere Hein, zondag 11 september 2011 11:47

Score: 1
Had iedereen inderdaad maar een Nokia n900 smartphone met Maemo linux: dan had je sinds 2 september al Firefox 6.0.2 kunnen installeren die Diginotar blokkeert:
http://moff.mozilla.com/m...el/fennec_6.0.2_armel.deb

En sinds 8 september Firefox 7.0 beta 5

Door Peetke, zondag 11 september 2011 11:30

Score: 2
Cyanogenmod heeft inmiddels al wel een patch gehad. De bekendste 'mod'-versies (een heleboel custom roms zijn hierop gebaseerd) hebben op 5 september al de patch gehad:
http://review.cyanogenmod.com/#change,7776
http://code.google.com/p/cyanogenmod/issues/detail?id=4260

Google zelf is dus langzamer dan de community!
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende 11:25 Hands-on van metalen BlackBerry Bold-variant verschijnt
Vorige 16:53 AVG: wij bespioneren Windows Phone-gebruikers niet
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011