Veiligheid van websites met SSL-"beveiliging" in twijfel getrokken

Scanit onderzoek toont aan dat vier op tien van de SSL-beschermde .be websites kwetsbaar is. Recent onderzoek door Scanit laat ernstige lacunes zien in de veiligheid van met SSL beveiligde Belgische websites, van wie er heel wat nochtans hoge volumes aan veiligheidsgevoelige gegevens bevatten, zoals vertrouwelijke medische informatie, ATM transacties, financiële gegevens en geheime bedrijfsinformatie.

Brussel – Infosecurity.be, maart 2008 – Uit een recent onderzoek van Scanit, een Belgisch IT beveiligingsbedrijf gespecialiseerd in security audits, naar de veiligheid van Belgische websites, blijkt dat 40,05% van de steekproef van met SSL-beveiligde websites onder http:// URLs, moet beschouwd worden als kwetsbaar voor aanvallen door buitenstaanders.

SSL-beveiliging minder betrouwbaar

Scanit identificeerde 432 SSL beveiligde .be websites via Google, Yahoo en een aantal publieke websites. De steekproef omvatte dus een representatieve doorsnede van bekende en minder bekende gouvernementele- en bedrijfswebsites. De doelstelling van het onderzoek bestond erin het reële veiligheidsrisico te bepalen van die sites, die door hun gebruik van SSL-protocollen, duidelijk streven naar een hoog niveau van gegevensbeveiliging.

Het SSL-protocol (Secure Sockets Layer) streeft naar een veilige "verpakking", waardoor de uitwisseling van gevoelige gegevens mogelijk wordt. Door de aard zelf van SSL is het slechts een veiligheidsmaatregel voor netwerktransmissie die vaak inherente configuratieproblemen blijkt te bevatten. Die problemen kunnen leiden tot gedeeltelijke en zelfs volledige breuken in de beveiliging die het protocol geacht wordt te bieden.

Man-in-the-middle aanvallen

Nog verontrustender is het feit dat het onderzoek alleen nog maar uitging van aanvallen die geacht worden binnen het bereik van "simpele" hackers te liggen, die met andere woorden geen toegang hebben tot bijzonder krachtige computerinfrastructuur, en dus ook geen rekening hield met implementatiespecifieke aanvallen zoals aanvallen via lekkende private sleutels.

De resultaten tonen dus aan dat 40,05% van alle sites met SSL-beveiliging moet beschouwd worden als kwetsbaar voor de man-in-the-middle (of de MITM-aanvallen). Die vonden ofwel plaats door het SSL protocol zelf aan te tasten (14,1%), of omdat de server een certificaat gebruikt dat vervallen is (5,32%), dat zelf ondertekend is (9,95%) of dat een verkeerde naam bevat (20,60%).

De resultaten van het onderzoek zijn tegelijk onthullend en onthutsend. SSL-gebruikers zullen zich in alle ernst moeten buigen over de implicaties ervan en dringend plannen maken om de veiligheid van hun servers op te voeren.

Scanit op Infosecurity.be (Stand D069)

Scanit zal aanwezig zijn op Infosecurity.be Expo in Brussel, op 19 en 20 maart 2008, telkens tussen 9u30 en 17u00. De onderneming zal te vinden zijn op stand nr. D069. De Expo vindt plaats in Brussels Kart, Alfons Gossetlaan 11, 1702 Groot-Bijgaarden. Meer informatie over Infosecurity.be is te vinden op hun website op: www.infosecurity.be.

Oprichter en Managing Director Steven Van Reempts en Senior Security Engineer Daniel Lucq zullen beiden aanwezig zijn en nodigen u graag uit om een bezoek te brengen aan hun stand. Zij geven u graag meer informatie omtrent SSL en de resultaten en gevolgen van dit onderzoek. Een volledig verslag van dit onderzoek is beschikbaar op de stand.

LAAT EEN REACTIE ACHTER

Please enter your comment!
Please enter your name here