Het internetverkeer is in gevaar

Overheid heeft geen vertrouwen in de certificaten van Diginotar

Onlangs is duidelijk geworden, dat er elektronisch is ingebroken bij het bedrijf Diginotar. Daar zijn frauduleuze certificaten bij in omloop gekomen. Certificaten zijn nodig om het internetverkeer veilig te laten verlopen.

Diginotar geeft twee soorten certificaten uit, de Diginotar eigen merk certificaten en PKI Overheid (Public Key Infrastructure voor de overheid) certificaten. De eigen merk certificaten worden sinds het begin van deze week niet meer als veilig geaccepteerd.

(Bron Internet - 2011)

Untrusted connection, of onbetrouwbare verbinding

Vrijdag 2 september 2011 zijn de resultaten van een onderzoek door ICT-beveiligingsbedrijf Fox-IT bekend geworden. Dit onderzoek laat zien dat niet uitgesloten kan worden, dat ook de PKI Overheid certificaten van Diginotar gecompromitteerd zijn.

De gebruiker van overheidssites heeft niet langer de garantie, dat hij daadwerkelijk op de site van zijn keuze uitkomt. Gebruikers kunnen bij het benaderen van de websites de melding krijgen dat deze website niet langer betrouwbaar zijn. De volgende maatregelen zijn genomen om de veiligheid zo snel mogelijk weer te garanderen:

-Websites gaan op zo kort mogelijke termijn over op andere PKI-certificatenleveranciers.

-We kiezen voor een beheerst overgangsscenario waarbij het operationeel beheer van alle certificaten van Diginotar wordt overgenomen.

-Door operationeel beheer over te nemen kunnen we aansluitend monitoren of oneigenlijk gebruik plaatsvindt tijdens de overgangsfase. ICT-veiligheidsspecialisten zullen uitgenodigd worden om de overgangsfase zo snel mogelijk af te ronden. Ondanks, dat dit voor Diginotar een hele vervelende situatie is werkt het bedrijf professioneel mee aan de overname van het operationele beheer en de vervanging van de certificaten.

Informatie voor bedrijven die de certificaten gebruiken

Het probleem met de certificaten kan ook bedrijven raken die gebruik maken van deze certificaten. Deze maatregelen zijn afgestemd met VNO-NCW. Voor de zakelijke markt is meer informatie over het wijzigen van certificaten te verkrijgen op www.logius.nl  of belt u 0900 5554555 (op zaterdag 3 en zondag 4 september 08.00 – 17.00, anders op werkdagen 08.00-17.00).

SSL?

Secure Sockets Layer (SSL) en Transport Layer Security (TLS) (zijn opvolger), zijn encryptie-protocollen die communicatie op het Internet beveiligen.

PKIoverheid?

PKIoverheid is de Public Key Infrastructure (PKI) van de Nederlandse overheid. Net als elke andere PKI is het een systeem, waarmee uitgiften en beheer van digitale certificaten kan worden gerealiseerd. PKIoverheid wordt beheerd door Logius.

Om vast te stellen, of een systeem, of een persoon inderdaad is die hij zegt dat hij is, kunnen certificaten gebruikt worden. Als men bijvoorbeeld wil internetbankieren via abnamro.nl, wil men graag weten dat dit niet een gekopieerde phishing site is, maar echt de ABN AMRO bank is. Dit is mogelijk door in het SSL certificaat te kijken.

Hierin staat bijvoorbeeld, dat het certificaat is uitgegeven door VeriSign. Feitelijk zegt men dus: Ik weet zeker, dat het de echte abnamro.nl site is, omdat VeriSign dat zegt. Hierbij wordt gebruik gemaakt van een server certificaat, zodat de klant (client) de bank (server) kan identificeren. Lees meer uitleg over: Digid en alle andere overheidssites niet meer veilig? op de site van Bits of Freedom. Check hier het SSL certificaat van uw website.