A Google nevére illetéktelen felek számára kiállított tanúsítvány jelent meg nem rég a neten. Először egy iráni felhasználónak lett gyanús, hogy a böngészője figyelmeztetést dob a GMail.com meglátogatásakor, mivel az oldal tanúsítványa megváltozott. Az új hitelesítő információ egy holland CA-tól, a DigiNotartól származik.

Bár a tanúsítvány visszavonása megtörtént, a Comodo esetéből tudjuk, hogy ez a gyakorlatban nem sokat ér, így a Mozilla új böngésző kiadással fog jelentkezni az incidens emlékére.

Frissítés:

A DigiNotart birtokló Vasco Inc. kiadott egy közleményt az esettel kapcsolatban, jól figyeljetek:

A DigiNotar rendszerét július 19-én (!) érte támadás, melyet egy belső vizsgálat követett (értsd: mindenki másnak b*sztak szólni). A vizsgálat eredményeként az illetéktelenül kiállított tanúsítványokat visszavonták, de a szóban forgó google.com-os valahogy kimaradt (!!). A cég szerint az incidens hatása minimális, mivel a DigiNotar tanúsító üzletágának éves bevétele csak mintegy 100.000 EUR volt (!!!). Agyameldobom, komolyan.

Az F-Secure a fentieken kívül kiderítette, hogy a www.diginotar.nl-t az elmúlt évben többször megtörték, feltehetően iráni arcok, nyilván ez nem adott okot semmilyen aggodalomra a cégen belül.

Frissítés 2:

Érdemes elolvasni Dr. Berta István Zsolt gondolatait az esettel kapcsolatban! Néhány megjegyzés: 

• A Mozillának az is jó ok lehetett a teljes DigiNotar gyökér letiltására, hogy nem ismert, pontosan milyen tanúsítványok készültek illetéktelenül. A legújabb pletykák szerint a Google mellett több nagy szervezet is érintett lehet.
• A cég bevétele vagy a legitim módon kiállított tanúsítványok száma irreleváns abból a szempontból, hogy hány Google (vagy más) felhasználót lehet átverni egy "hamis" tanúsítvánnyal. Ez alapján nem szabadna a problémát bagatelizálni (ahogy azt a Vasco tette)

Frissítés 3:

A Mozilla újabb közleményt adott ki, melyben megmagyarázzák, hogy miért törölték véglegesen a DigiNotart a megbízható CA-k listájáról. A legfőbb indokok:

• A DigiNotar nem figyelmeztette a Mozillát, pedig az addons.mozilla.org-ra is állítottak ki tanúsítványt a támadók.
• Nem lehet tudni, hogy pontosán mennyi és milyen tanúsítvány került kibocsátásra.
• Éles támadásokat észleltek, melyekben DigiNotaros tanúsítványokat használtak fel.