Certifikati obstoječih podjetji dodeljeni brez vprašanj
Raziskovalci so opozorili na ranljivost pri digitalnih certifikatih, ki omogoča še bolj verodostojen napad tipa man-in-the-middle (MITM). Pri tem napadu se napadalec postavi med spletnim strežnikom in uporabnikom, med njima tako nadzira tok podatkov, ne da bi pri tem uporabnik sploh opazil, da je kaj narobe. To je en od načinov, s katerim lahko napadalec dobi uporabnikove podatke za prijavo v spletno banko, saj je uporabnik prepričan, da komunicira neposredno s spletno stranjo banke.
Na nevarnosti nas lahko obvesti že naš brskalnik.
Te banke so po navadi zaščitene z digitalnimi certifikati, pri takem napadu pa se uporabi cenejše certifikate iz neznanih virov, na katere pa nas opozori že naš brskalnik. Napadalci bi ta opozorila lahko obšli z uporabo legitimnih certifikatov, kar pa se je izkazalo kot presenetljivo lahko izvedljivo.
Blogger Eddy Nigg, ki se ukvarja predvsem s računalniško varnostjo, je brez večjih težav kupil digitalni certifikat za stran Mozilla.com. Certifikat je kupil pri posredniku podjetja Comodo (ki sicer podeljuje povsem legitimne certifikate), brez vprašanj in brez kakršne koli verifikacije, ki bi preverila, ali je dejansko povezan z Mozillo ali ne.
Napadalec bi tako lahko dobil v roke še en način več, da nič hudega sluteče uporabnike prepriča, da mu prepustijo osebne podatke. Zaščita podatkov sama po sebi ni povsem nič vredna, če pri tem nimamo načina, da preverimo istovetnost tistega, s katerim se pogovarjamo. Podatki so sicer pri prenosu zaščiteni, a kaj, ko jih prenašamo najprej napadalcu, ki jih brez težav tudi prebere, šele nato pa prenese naprej.
Vir: The Register
