OpenSSL bevat opnieuw beveiligingsgat
Opnieuw is een kwetsbaarheid aangetroffen in OpenSSL. Aanvallers kunnen met behulp van het lek kwetsbare applicaties dwingen een ongeldig certificaat als een legitiem transport layer security (TLS) of secure sockets layer (SSL) certificaat te behandelen.
Het lek is aangetroffen door Adam Langley, cryptografisch engineer bij Google, en David Benjamin, een ontwikkelaar van het BoringSSL project. Zodra door een applicatie een versleutelde verbinding wordt opgezet met een server worden controles uitgevoerd om het gebruikte certificaat te authentificeren. De kwetsbaarheid stelt aanvallers in staat dit mechanisme te omzeilen, waardoor een ongeldig certificaat afkomstig lijkt van een legitieme Certificate Authority (CA). Aanvallers kunnen hierdoor voor iedere website valse certificaten afgeven.
De kwetsbaarheid (CVE-2015-1793) is overigens alleen aanwezig in OpenSSL 1.0.2c, 1.0.2b, 1.0.1n en 1.0.1o, die allen verouderd zijn. Gebruikers wordt geadviseerd te upgraden naar 1.0.2d of 1.0.1p.
Meer over
Lees ook
Microsoft uit kritiek op Google na snelle publicatie over kwetsbaarheid
Microsoft uit kritiek op Google nadat het bedrijf informatie heeft vrijgegeven over een zero-day kwetsbaarheid in Windows waarvoor nog geen update beschikbaar is. Microsoft stelt dat Google met de actie meer kwaad dan goed doet. Microsoft uit de kritiek in een blogpost. Google waarschuwde op maandag 31 oktober voor een beveiligingslek in het Windo1
Google wil dat alle websites aan Certificate Transparency standaard gaan voldoen
Google kondigt aan vanaf oktober 2017 een Certificate Transparency beleid te gaan hanteren in de webbrowser Chrome. Deze nieuwe standaard maakt het mogelijk websites met een onjuist SSL-certificaat automatisch te detecteren en labelen. SSL-certificaten geven gebruikers de mogelijkheid de legitimiteit van een website te controleren en zeker te stel1
Gratis tool van Mozilla helpt SSL-gebruik van websites te controleren
Mozilla stelt een gratis tool beschikbaar waarmee kan worden nagegaan hoe websites SSL of TLS hebben geïmplementeerd. De tool heet Observatory en is bedoeld om websitebeheerders te helpen hun websites veiliger te maken. In een blogpost wijst April King, Information Security Engineer bij Mozilla, erop dat er allerlei technologieën beschikbaar zijn1