Minimálne 14% zabezpečených webstránok používa certifikát s MD5

DSL.sk, 5.1.2009

14% z certifikátov používaných pre zabezpečovanie zabezpečených HTTPS stránok používa certifikát, ktorý je priamo podpísaný s použitím MD5 kontrolnej sumy.

Vyplýva to zo štatistiky SSL certifikátov webových stránok za december vypracovanej spoločnosťou Netcraft.

Certifikátom, ktoré v certifikačnej ceste používajú aspoň jeden certifikát okrem koreňového podpísaný s použitím MD5, v súčasnosti nie je možné plne dôverovať. Tím bezpečnostných expertov totiž v predposledný decembrový deň preukázal, že s využitím zraniteľnosti MD5 je možné vytvoriť falošný certifikát používajúci MD5 s korektným podpisom.

Počet certifikátov, ktoré používajú certifikačnú cestu s dĺžkou väčšou ako dva, používajú v nej aj certifikát sprostredkúvajúcej certifikačnej autority nenachádzajúci sa štandardne v prehliadačoch a tento je podpísaný s použitím MD5, spoločnosť nezverejnila. Celkový počet certifikátov s MD5 v certifikačnej ceste by sa mohol ešte o niečo zvýšiť, minimálne 14% zabezpečeným HTTPS stránkam tak nie je v súčasnosti možné automaticky dôverovať.

Pokiaľ všetky certifikačné autority pozitívne nepotvrdia, že nimi vydaný certifikát nebol použitý na vytvorenie falošného certifikátu, zostáva zatiaľ jediným plne bezpečným riešením nepovažovať stránky využívajúce certifikát s MD5 v certifikačnej ceste za plne bezpečné.

Ak nové verzie prehliadačov začnú upozorňovať na potenciálnu nebezpečnosť certifikátov používajúcich MD5, znamenalo by to tak problém pre 14% súčasných zabezpečených webových stránok. Väčšina z nich používa certifikát od certifikačnej autority RapidSSL, ktorej koreňový certifikát nesie označenie Equifax a ktorá patrí v súčasnosti VeriSign.

Spoločnosť VeriSign u nových certifikátov RapidSSL prešla ešte v deň oznámenia zraniteľnosti na vydávanie certifikátov s podpisovaním s použitím SHA-1, zároveň oznámila bezplatnú výmenu platných RapidSSL certifikátov používajúcich MD5.


Najnovšie články:



Diskusia:

nevygooglil som Od: rms | Pridané: 5.1.2009 10:44 hodil by sa zoznam popularnych stranok s MD5 ja som videl napr na ebay.com Odpovedať Hodnotiť:

Re: nevygooglil som Od: Accuphose+ | Pridané: 5.1.2009 10:50 No tobě by ten seznam stejně k ničemu nebyl :-D Odpovedať Známka: -6.7 Hodnotiť:

Re: nevygooglil som Od: sogjh | Pridané: 5.1.2009 12:16 preco? Odpovedať Hodnotiť:

Re: nevygooglil som Od: Tomibojko | Pridané: 5.1.2009 13:44 tiež by ma zaújimalo prečo by mu to nepomohlo.... osobne som tiež tento članok otvoril z očakávania že bude obsahovať zoznam u nás a celosvetovo populárnych stranok kedže o problematike som čital predtym a štatistika v nadpise mi uplne stačila :D tak som bol skôr zvedavy že kto to ešte využiva Odpovedať Hodnotiť:

Re: nevygooglil som Od reg.: Chuck Garabedian | Pridané: 5.1.2009 14:36 napriklad https://is.stuba.sk/ Odpovedať Hodnotiť:

plugin pre firefox Od reg.: Marki555 | Pridané: 5.1.2009 13:10 Plugin "SSL Blacklist" ktory funguje uz cca pol roka (od objavenia chyby v SSL implementacii v debiane) ma novu aktulizaciu, ktora upozornuje ak sa pokusate pripojit na stranku s MD5 "certifikatom". Odpovedať Hodnotiť:

banky Od: kubogav | Pridané: 5.1.2009 16:21 hmm, aj CSOB pouziva stale md5 Odpovedať Hodnotiť:

Re: banky Od: ---- | Pridané: 5.1.2009 17:48 A este dlho bude. Odpovedať Hodnotiť:

Dostatocne nahodny retazec Od: Edison (unreg) | Pridané: 5.1.2009 18:40 Pokial autorita RapidSSL k certifikatu pridava dostatocne nahodny retazec, ich certifikaty su zatial doveryhodne. Odpovedať Hodnotiť:

Pridať komentár