Säkerhetscertifikat för säkerhetsövervakning ökar frågan om SSL-tillförlitlighet

Som konsumenter har vi lärt oss att lita på hänglåsikonen som visas på adressfältet i våra webbläsare. Vi får veta att det är ett tecken på att vår kommunikation med en webbplats är säker. Men en händelse i denna vecka som involverar Google och ett turkiskt säkerhetsföretag tror det här.

Företaget TurkTrust avslöjade i veckan att det i augusti 2011 av misstag utfärdades till två huvudnycklar till två "enheter". Masternycklar, som kallas mellanliggande certifikat, låter enheterna skapa digitala certifikat för alla domäner på Internet.

Digitala certifikat är faktiskt krypteringsnycklar som används för att verifiera en webbplats är vad den säger att den är. Certifikatet för din bank verifierar till exempel till din webbläsare att du faktiskt pratar med din bank när du gör internetbank.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Certifikat används att kryptera information mellan dig och en webbplats också. Det betyder det gröna hänglåset på webbläsarens adressfält. Webbläsaren kommunicerar med webbplatsen med Secure Sockets Layer efter verifiering av dess äkthet.

En Internetmiscreant med ett falskt certifikat som kan fånga upp kommunikation mellan dig och en pålitlig webbplats kan lura din webbläsare för att tro att den kommunicerar med den betrodda webbplatsen och kapacera din kommunikation. Det kallas en "man i mittangreppet", eftersom tjuven sitter mellan dig och den betrodda webbplatsen.

Felet fixat, problemet fortsätter

TurkTusts misstag upptäcktes av Google på julafton av en funktion som den har i sin Chrome-webbläsare plattform som höjer en röd flagga till Google när någon försöker använda plattformen med ett obehörigt certifikat.

Efter att ha upptäckt certifikatproblemet informerade Google TurkTrust om situationen, liksom Microsoft och Mozilla, som alla har ändrat sina webbläsarfält för att blockera skurkrollcertifikat som skapats med den mellanliggande certifikatmyndigheten.

Detta certifikat snafu är bara det senaste tecknet att det existerande systemet för att utfärda digitala certifikat behöver repareras. I mars 2011 bryts ett företag som är anslutet till certifikatutfärdande myndighet Comodo och utfärdar nio falska certifikat.

Tidigare på året brytte hackare en nederländsk certifikatmyndighet, DigiNotar, och utfärdat dussintals falska certifikat, inklusive en för Google. Nedgången från den händelsen slog företaget ur drift.

Önskat: Nästa generationsskydd

Ett antal förslag har blivit utsända för att lösa säkerhetsproblemen kring certifikat.

Det finns konvergens. Det gör det möjligt för en webbläsare att få en andra åsikt om ett certifikat från en källa som valts av en användare. "Det är en briljant idé, men så snart du kommer på ett företagsnätverk och du är bakom en proxy eller bakom en nätverks översättare kan det bryta," sa Chet Wisniewski, en säkerhetsrådgivare med Sophos, i en intervju. > Det finns DNSSEC. Det använder domännamnupplösningssystemet - det system som gör de vanliga namnen på webbplatser till nummer-för att skapa en pålitlig länk mellan användare och webbplats. Systemet är inte bara lätt att förstå, men genomförandet kan ta år. "Problemet med DNSSEC är att det krävs implementering av en ny teknik och en samordnad uppgradering av infrastruktur innan vi kan dra nytta av det, säger Wisniewski. "Med de antagningsfrekvenser som vi har sett hittills betyder det att vi inte kommer att ha en lösning på plats i tio eller 15 år. Det är inte tillräckligt bra."

Också föreslagna är två "pinning" -teknik-Public Key Pinning Extension för HTTP och tillförlitliga påståenden för certifikatnycklar (TACK), som liknar.

De tillåter en webbplats att ändra en HTTP-rubrik för att identifiera certifikatmyndigheter som den litar på. En webbläsare skulle lagra den informationen och bara upprätta en anslutning till en webbplats om den får ett certifikat som är signerat av en certifikatmyndighet som är betrodd av webbplatsen.

Den fastslagna förslagen är mest sannolika att antas för att bota certifikatproblemet, enligt Wisniewski. "De kunde antas i kort ordning", sa han. "De tillåter människor som vill dra nytta av avancerad säkerhet för att göra det genast, men det bryter inte någon befintlig webbläsare som inte är uppdaterad."

Oavsett vilken webbläsare som planerar att anta för att åtgärda certifikatproblemet måste de gör det snart Annars fortsätter snafus att växa och förtroende för Internet kan vara irreparabelt skadad.