KPN hervat uitgifte van certificaten aan nieuwe klanten

KPN is woensdag weer begonnen met het uitgeven van veiligheidscertificaten aan nieuwe klanten, nadat het gehele uitgifteproces door een externe audit veilig was bevonden. Volgens KPN Corporate Market zijn alle servers nu weer in de lucht.

Vorige week was KPN Corporate Market weer voorzichtig begonnen met het verstrekken van beveiligingscertificaten aan bestaande klanten. Het telecombedrijf was genoodzaakt om het uitgifteproces op vrijdag 4 november stil te leggen nadat bekend werd dat er een webserver van het voormalige Getronics was gekraakt. Deze server zou mogelijk gebruikt kunnen worden voor het uitvoeren van ddos-aanvallen.

De productieserver, waarop bestaande certificaten worden beheerd, werd vorige week weer vrijgegeven nadat er door een externe partij proces- en penetratietests op de server waren uitgevoerd. Inmiddels is ook de webserver voor het aanvragen van certificaten, die inmiddels door KPN is vervangen voor een nieuw exemplaar, weer veilig bevonden, zo meldt het bedrijf. Hierdoor kunnen nu ook nieuwe klanten bij KPN Corporate Market weer een aanvraag voor een certificaat indienen.

KPN stelt dat het de downtime heeft aangegrepen om de dienstverlening op zijn website voor het aanvragen van certificaten te verbeteren. Daarnaast stelt de telecomaanbieder dat alle veiligheidstests zijn uitgevoerd in nauw overleg met overheidsautomatiseerder Logius en het ministerie van Binnenlandse Zaken.

Reacties (9)

[webkiller71]

Maar is al bekend hoe het 4 jaar lang onopgemerkt is gebleven?

[demonic]

Waar heb jij gelezen dat het 4 jaar is geweest?

[Hoowgii]

nieuws: KPN staakt uitgifte certificaten na ontdekking verdachte sporen

"Tijdens zo’n onderzoek zijn in de server van de website waar bedrijven terecht kunnen voor informatie over certificaten, sporen ontdekt die zouden kunnen duiden op misbruik, vier jaar geleden."

Daar dus!

[Alexxxxxxxxxx]

Hmm, vraag me af wie hier de 'externe audit' is.
KPN Security afdeling kunnen ze daar ook onder laten vallen

[BDHowner]

Het is nog maar afvragen in hoeverre een bedrijf er een "probleem" van maakt.

Ik zie het zo gebeuren dat de eindconclusie van een bedrijf "er kunnen mogelijk valse certificaten in omloop zijn, maar dat is waarschijnlijk niet gebeurd" naar buiten word gebracht als "er zijn geen valse certificaten in omloop".

Sowieso erg slecht dat een bedrijf dat zich specialiseert in veiligheid, zelf het slachtoffer daarvan is. Komt ook erg betrouwbaar over...

[IMarks]

kwestie van het is nooit goed? ze hebben tenminste gehandeld.

[Thulium]

Iets met mosterd en na de maaltijd.

Ze handelen wel, maar wel een beetje aan de late kant, en dat is een probleem. Idem dito met Diginotar toen. Ze hebben wel gehandeld, maar onadequaat en absoluut niet op tijd.

Het enige pluspuntje wat KPN hier heeft is dat ze wel grondig(er) te werk gegaan zijn.

[QuintMidas]

Vertel mij, hoe kun je als bedrijf op zoek gaan naar zaken waarvan je van het bestaan niet af weet? Vergelijk het met dopinggebruik in het wielerpeloton. Je kunt toch pas naar op zoek naar een bepaald middel als je weet dat het ontwikkeld is en gebruikt wordt? EPO en CERA konden ook pas na jaren aangetoond worden. Zijn de antidopingauthoriteit dan nalatig geweest?

[QuintMidas]

Het ontgaat je wellicht dat security 9 van de 10 keer een kwestie van achter de feiten aan hollen is. Kwaadwillenden zullen altijd weer iets nieuws ontwikkelen waarmee ze binnen kunnen komen. Jij kunt alleen hopen dat het niet bij jou gebeurt, en zorgen dat als het elders gebeurt, het niet ook bij jou voor kan komen.

Je kunt je hut nog zo goed dichtgetimmerd hebben, als er een achterdeur is waar jij nog geen weet van hebt, dan zul je hem ook niet bewaken en zullen er mensen binnenkomen. Het enige wat je vervolgens kunt doen als je daar achter komt is onderzoeken of er schade is en de zaken dusdanig dichttimmeren dat het niet weer via die deur gebeurt. Om vervolgens ongenode gasten via de schoorsteen binnen te krijgen. Beetje flauw dus om dit KPN aan te rekenen.