Teveel organisaties vertrouwen blindelings op SSL/TLS-certificaten en sleutels
Heartbleed, LogJam, FREAK, Superfish en nu ook DROWN laten zien dat teveel mensen en organisaties blindelings vertrouwen op SSL/TLS-certificaten en sleutels. Volgens security-experts zijn maar liefst 33% van alle webservers via de DROWN-kwetsbaarheid aan te vallen. Kevin Bocek, Vice President Security Strategy & Threat Intelligence van Venafi, verwacht dat er meer protocol-, encryptie- en certificaatkwetsbaarheden op de loer liggen die criminelen kunnen benutten. De architecten van het internet hebben namelijk de hele online wereld gefundeerd op vertrouwen gecreëerd met digitale certificaten en cryptografische sleutels.
“DROWN maakt het voor cybercriminelen mogelijk om binnen een minuut Man-In-The-Middle (MITM) aanvallen uit te voeren op versleutelde TLS-verbindingen. Op servers die met dezelfde privésleutel zowel SSLv2 als TLS ondersteunen. Wat bij ongeveer een derde van alle webservers het geval is. Sleutels en certificaten vormen de fundering voor cybersecurity en worden veelal blindelings vertrouwd voor communicatie en e-commerce. Daarom maken criminelen graag gebruik van kwetsbaarheden in sleutels en certificaten om zich in netwerkverkeer te verbergen, privileges te verkrijgen, malware te installeren, of informatie te stelen”, aldus Bocek.
Te belangrijk om blindelings te vertrouwen
“SSL/TLS-certificaten en –sleutels zijn te belangrijk om blindelings te vertrouwen. Naarmate steeds meer websites daar gebruik van gaan maken, nemen de kansen voor criminelen toe om succesvol in te breken. Daarom hebben zij toenemende interesse in het onderscheppen van versleutelde communicatie, het vervalsen van vertrouwde websites en onzichtbaar inbreken via beveiligd verkeer. Het toenemend aantal ontdekte kwetsbaarheden en aanvallen op SSL/TLS en certificaten tonen aan dat dit een hardnekkig blijvend probleem is. Daarom is het belangrijk dat iedereen meer gaat letten op de bescherming van het online vertrouwen.”
Bocek: “Volgens het Ponemon Institute heeft elke door hen onderzochte organisatie de afgelopen twee jaar te maken gehad met een aanval gericht op het misbruiken van sleutels en certificaten. Maar liefst 54% van hen weet zelfs niet waar alle certificaten worden gebruikt, waardoor het voorkomen van een DROWN-aanval lastig is. Om zich goed te beschermen is het noodzakelijk zowel de beschikbare patch te installeren als de ondersteuning van SSLv2 uit te zetten. Net als bij Heartbleed is het echter tevens nodig dat er nieuwe privésleutels en certificaten worden aangemaakt en gebruikt.”
Meer over
Lees ook
Hackers misbruiken onwaakzaamheid over bekende kwetsbaarheid in netwerktijdprotocol
Sommige kwetsbaarheden worden zo weinig misbruikt dat eigenlijk niemand er aandacht aan besteed. Een voorbeeld hiervan is NTP-servers. Cybercriminelen hebben onverwachts een flinke hoeveelheid aanvallen op netwerktijdprotocol (NTP)-servers uitgevoerd, waardoor zij allerlei servers van grote bedrijven konden neerhalen. Symantec meldt een plotselin1
Rechter oordeelt over nalatigheid bij fraude met internetbankieren
De nieuwe uniforme veiligheidsregels voor online bankieren moeten duidelijkheid geven. Financieel consulent Peter Beszelsen waarschuwde echter in een column in De Telegraaf dat slachtoffers van fraude met internetbankieren voortaan zelf moeten bewijzen dat zij zich aan de regels van banken hebben gehouden. Minister van Financiën Jeroen Dijsselbloe1
Kant-en-klare ransomware te koop voor slechts 100 dollar
Een nieuwe vorm van ransomware is te koop op internet voor slechts 100 dollar. Het gaat om Power Locker, een alternatief voor de beruchte ransomware CryptoLocker. Power Locker, ook wel Prison Locker genoemd, is te koop op ondergrondse marktplaatsen voor cybercriminelen. Al langer is duidelijk dat cybercriminelen op internet allerlei kant-en-klare1