De van oorsprong Nederlandse Certificate Authority (CA) Diginotar heeft de uitgifte van SSL-certificaten stopgezet wegens een lek. Eind augustus werd bekend dat er in Iran vervalste certificaten zijn gebruikt in een aanval op Gmail.
Certificaten vertellen een browser of een webpagina daadwerkelijk afkomstig van de website waar hij vanaf zou moeten komen. Dat is extra belangrijk bij beveiligde verbindingen naar banken en emaildiensten.
Diginotar heeft op 19 juli ontdekt dat hackers een aanval hebben uitgevoerd op de CA- infrastructuur voor SSL en EVSSL certificaten. Diginotar heeft daarop in stilte alle mogelijk gecompromitteerde certificaten ingetrokken. De Nederlandse Govcert ontdekte eind augustus dat er minstens één certificaat niet is ingetrokken, namelijk voor Google.com.
Govcert heeft over de zaak gepubliceerd. Govcert zegt dat de gebeurtenissen zijn in gang gezet door een gebruiker in Iran die op 27 augustus 2011 op een Google forum aangaf hoe hij in probeerde te loggen in zijn gmail-account en van zijn Chrome browser een waarschuwing kreeg over de betrouwbaarheid van het certificaat. Het bleek na inspectie van de gebruiker inderdaad te gaan om een frauduleus certificaat.
De makers onder meer Google Chrome, Microsoft IE en Mozilla Firefox hebben Diginotar in de ban gedaan en waarschuwen dat zulke SSL-verbindingen niet vertrouwd kunnen worden. Door waarnemers wordt de aanval op Gmail in verband gebracht met de Iraanse overheid.
Diginotar zegt dat er een externe audit wordt uitgevoerd en dat de resultaten daarvan gepubliceerd zullen worden. De CA zegt dat er geen andere systemen zijn gehackt, ook niet de PKI infrastructuur voor de Nederlandse overheid die gebruikt wordt voor DigiD. De uitgifte van certificaten is gestaakt tot na een extern onderzoek naar de kwetsbaarheden in het systeem. De omzet van de SSL-verkoop was minder dan een ton in de eerste helft van 2011. De impact op de omzet van Diginotar is minimaal, verwacht moederbedrijf Vasco. Govcert bevestigt dat DigiD niet getroffen is, maar GroenLinks, D66 en PVV hebben daar vragen over.
