För att göra detta har de utnyttjat ett fel i De digitala certifikat som används av webbplatser för att bevisa att de är vem de hävdar vara. Genom att utnyttja kända brister i MD5-hash-algoritmen som används för att skapa några av dessa certifikat, kunde forskarna hacka Verisigns certifikatmyndighet RapidSSL.com och skapa falska digitala certifikat för alla webbplatser på Internet.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Använda deras gård av Playstation 3-maskiner, forskarna byggde en "rogue certifikat auktoritet" som kunde sedan utfärda falska certifikat som skulle vara betrodd av nästan alla webbläsare. Playstationens cellprocessor är populär bland kodbrytare eftersom det är särskilt bra att utföra kryptografiska funktioner.

De planerar att presentera sina fynd på Chaos Communication Congress-hackerkonferensen, som hölls i Berlin tisdagen, i ett tal som redan har varit föremål av vissa spekulationer i Internet-säkerhetsgemenskapen.

Forskningsarbetet gjordes av ett internationellt team som inkluderade oberoende forskare Jacob Appelbaum och Alexander Sotirov, samt datavetenskapare från Centrum Wiskunde & Informatica, Ecole Polytechnique Federale de Lausanne, Eindhoven University of Technology och University of California, Berkeley.

Även om forskarna tror att det är osannolikt att ett verkligt angrepp med sina tekniker säger att deras arbete visar att MD5 hash-algoritmen inte längre ska användas av certifikatmyndighetsföretag som utfärdar digitala certifikat. "Det är ett väckarklocka för alla som fortfarande använder MD5," sa David Molnar en kandidatstudent i Berkeley som arbetade med projektet.

Förutom Rapidssl.com, TC TrustCenter AG, RSA Data Security, Thawte och Verisign.co. jp alla använder MD5 för att generera sina certifikat, säger forskarna.

Det är svårt att starta en attack, eftersom de dåliga killarna först måste lura ett offer för att besöka den skadliga webbplatsen som är värd för det falska digitala certifikatet. Detta kan dock ske genom att använda det som kallas en man-i-mitten attack. I augusti visade säkerhetsforskare Dan Kaminsky hur en stor fel i internetets domännamnssystem skulle kunna användas för att starta man-i-mitten attacker. Med den senaste forskningen är det nu lättare att starta denna typ av attack mot webbplatser säkrade med SSL (Secure Sockets Layer) -kryptering, som bygger på pålitliga digitala certifikat.

"Du kan använda kaminsky's DNS-fel i kombination med detta för att få praktiskt taget odetekterbar phishing ", säger Molnar.

" Det här är inte en tjuv i himmelen om vad som kan hända eller vad någon kan göra, det här är en demonstration av vad de faktiskt gjorde med Resultaten för att bevisa det, "skrev HD Moore, chef för säkerhetsforskning vid BreakingPoint Systems, i en bloggpostering på samtalet.

Kryptografer har gradvis chippat bort vid MD5s säkerhet sedan 2004, när ett lag som leddes av Shandong Universitetets Wang Xiaoyun visade brister i algoritmen.

Med tanke på undersökningsgraden för MD5 borde certifikatmyndigheterna ha uppgraderat till säkrare algoritmer som SHA-1 (Secure Hash Algorithm-1) "år sedan", säger Bruce Schneier, en noterad kryptografisk expert och chefsäkerhetstekniker med BT

RapidSSL.com kommer sluta utfärda MD5-certifikat i slutet av januari och tittar på hur man uppmuntrar sina kunder att flytta till nya digitala certifikat efter det, säger Tim Callan, vice vd för produktmarknadsföring med Verisign.

Men först vill företaget få en bra titt på den senaste forskningen. Molnar och hans team hade indirekt, via Microsoft, kommunicerat sina resultat till Verisign, men de har inte talat direkt med Verisign, av rädsla för att företaget kan vidta rättsliga åtgärder för att stoppa sitt samtal. Tidigare har företagen ibland erhållit domstolsordningar för att förhindra att forskare pratar vid hackningskonferenser.

Callan sa att han önskade att Verisign hade fått mer information. "Jag kan inte uttrycka hur besviken jag är att bloggar och journalister informeras om detta men vi är inte med tanke på att vi är de människor som faktiskt måste svara."

Medan Schneier sa att han var imponerad av matematik bakom den senaste forskningen sa han att det redan finns mycket viktigare säkerhetsproblem på Internet - svagheter som exponerar stora databaser med känslig information, till exempel.

"Det spelar ingen roll om du får ett falskt MD5-certifikat, för att du aldrig kontrollerar dina certs, "sa han. "Det finns dussintals sätt att förfalska det och det här är ännu en annan."