op 03-09-2011 @ 01:41
Minister Donner heeft vanacht het vertrouwen in Diginotar, een dochterbedrijf van Vasco Data Security, opgezegd. De minister heeft officieel bevestigd dat Diginotar onder toezicht is gesteld. De doelstelling van de ondertoezichtstelling is dat er zo snel mogelijk duidelijkheid komt over welke overheidssites gekraakt zijn door de vermoedelijk Iraanse hackers.
Dat Diginotar gehackt was, is al sinds 19 juli bekend binnen het bedrijf. Diginotar heeft dit om onduidelijke redenen niet naar buiten gebracht. Volgens advocaten die anoniem wensen te blijven zou dit 'laakbaar' en strafbaar gedrag zijn.
Het betreft hier niet alleen certificaten die de authenticiteit van de overheidssite naar de eindgebruiker moeten garanderen, maar ook de certificaten die de communicatie van overheidsservers onderling garanderen. Minister Donner sprak van een dermate ernstig geschaad vertrouwen in Diginotar, dat hij wil overstappen op een certificeringsorgaan dat in overheidshanden is.
De minister zei verder zo snel mogelijk de huidige certificaten te vervangen door elders afgenomen certificaten.
Gebruikers van de sites die een melding krijgen dat het certicficaat niet vertrouwd wordt, worden geadviseerd om de transactie niet voort te zetten omdat er daadwerkelijk niet gegarandeerd kan worden dat de beveiligde site echt beveiligd is. Voor zover bekend zou het gaan om de overheidssites van de Rijksdienst Wegverkeer, wat grote gevolgen kan hebben voor garagebedrijven die bijvoorbeeld APK's afmelden, of andere kenteken gerelateerde zaken moeten afhandelen.
Ook de sites van de Belastingdienst en DigiD zijn op dit moment onbetrouwbaar. De minister verwacht dat deze problemen met enkele dagen opgelost zouden moeten zijn. Hij noemde het wel een voordeel dat er in het weekend veel minder gebruik wordt gemaakt van de overheidssites. Op vragen wat de gevolgen zullen zijn voor het Beverwijkse bedrijf Diginotar, wilde de minister nog nog niet antwoorden.
Update 12.00 uur
Ook de browsermakers zeggen het vertrouwen in Diginotar op. Mozilla, de maker van Firefox, heeft al een update uitgebracht waarin de Diginotar certificaten worden ingetrokken. Andere browsermakers hebben dit ook al gedaan, of zullen snel volgen. Het is nog niet bekend wie de nieuwe leverancier wordt en wanneer de nieuwe certificaten geïnstaleerd zullen zijn.
Reacties op dit bericht
quote:Buiten dat, deze certificaten werken op basis van vertrouwen. Een bedrijf dat een danig grote hack niet snel meld aan de overheid en zijn klanten zorgt neit voor veel vertrouwen. Zeker niet omdat de schade niet alleen onbekend was voor het grote publiek, maar ook nog eens niet goed opgelost was.Op zaterdag 3 september 2011 @ 02:52 schreef elkravo het volgende:
Lijkt me juiste insteek... Diginotar houdt onder de pet.... helemaal afstraffen.
quote:Dat was ook mijn gedachte. Helaas kan de overheid niet de lonen bieden die de markt wel kan en kunnen ze voor dit soort werk niet de juiste specialisten aantrekken. Het is sneu, maar wel de realiteit.Op zaterdag 3 september 2011 @ 06:34 schreef EvilBert het volgende:
"dat hij wil overstappen op een certificerings orgaan dat in overheidshanden is."
Dan was dit natuurlijk niet gebeurt en als toch gehackt was was het zeker meteen gemeld....
Slaap rustig verder, de overheid waakt over U...
/me mompelt wat over Donner's hoofd op het hakblok...
Netsplitter (Forum Admin) 03-09-2011 @ 08:42
quote:HuhMinister Donner sprak van een dermate ernstig geschaad vertrouwen in Diginotar, dat hij wil overstappen op een certificerings orgaan dat in overheidshanden is.
Wait, wait. Overheid en ICT gaan niet samen. De overheid kan dit niet en moet het overlaten aan mensen met verstand vanzaken. (Duidelijk geen DigiNotar). 
quote:Mh, ja, deels mee eens. Maar de overheid is ook al niet zo goed in het inschatten van marktspelers op ICT gebied. Het voordeel van het zelf doen is in ieder geval dat veiligheidsdiensten van de overheid er direct op kunnen zitten.Op zaterdag 3 september 2011 @ 09:11 schreef Karrs het volgende:
[..]
Huh
Als de overheid de ICT-security zelf gaat regelen, heeft Iran niet eens meer hackers nodig om aan gegevens te komen...
quote:Onderbouwing graag.Op zaterdag 3 september 2011 @ 08:42 schreef Netsplitter het volgende:
Maw, hij is pas gezwicht na publieke druk, anders had hij dit nooit gedaan.
Zo slim is hij niet.....
quote:Zo'n bullshit. Hij is gewoon ingelicht door Fox-IT.Op zaterdag 3 september 2011 @ 08:42 schreef Netsplitter het volgende:
Maw, hij is pas gezwicht na publieke druk, anders had hij dit nooit gedaan.
Zo slim is hij niet.....
quote:Lijkt me geen goede zaak.Minister Donner sprak van een dermate ernstig geschaad vertrouwen in Diginotar, dat hij wil overstappen op een certificerings orgaan dat in overheidshanden is.
.gif)
quote:Iraanse hackers of hackers welke in dienst zijn van de Mossad en de CIA en die zich voordoen als Iraanse hackers om ervoor te zorgen dat Iran nog meer in diskrediet wordt gebracht zodat een inval in dat land gerechtvaardigd wordt?door de vermoedelijk Iraanse hackers.
quote:En dat denk jij omdat?Op zaterdag 3 september 2011 @ 12:14 schreef Nieuwe_user het volgende:
[..]
Iraanse hackers of hackers welke in dienst zijn van de Mossad en de CIA en die zich voordoen als Iraanse hackers om ervoor te zorgen dat Iran nog meer in diskrediet wordt gebracht zodat een inval in dat land gerechtvaardigd wordt?
quote:Ja lijkt me geweldig. De overheid heeft al keer op keer bewezen dat ze heel betrouwbaar met onze digitale gegevens omgaan.Op zaterdag 3 september 2011 @ 06:34 schreef EvilBert het volgende:
"dat hij wil overstappen op een certificerings orgaan dat in overheidshanden is."
Dan was dit natuurlijk niet gebeurt en als toch gehackt was was het zeker meteen gemeld....
Slaap rustig verder, de overheid waakt over U...
/me mompelt wat over Donner's hoofd op het hakblok...
quote:Ik zou het niet zo vol zekerheid durven verkondigen als Nieuwe_user; maar het lijkt me geen onmogelijke situatie. Op het moment wil de VS Iran maar dolgraag invallen, naar hun zeggen i.v.m. de illegale onderzoeken naar kernwapens.
harry64 (Redactie Frontpage) 03-09-2011 @ 12:40
quote:ING en SNS werken met VeriSign, geen Diginotar.Op zaterdag 3 september 2011 @ 12:32 schreef MakkieR het volgende:
Kan iemand mij vertellen of het internetbankieren ING, Rabo, ABN ook onder dezelfde diginotar certificaten valt, want het nieuws is hier erg onduidelijk over.
quote:Dan kunnen ze toch beter een groter land uitkiezen, een land met een grotere vinger in de pap?!Op zaterdag 3 september 2011 @ 12:38 schreef Tweeks het volgende:
[..]
Ik zou het niet zo vol zekerheid durven verkondigen als Nieuwe_user; maar het lijkt me geen onmogelijke situatie. Op het moment wil de VS Iran maar dolgraag invallen, naar hun zeggen i.v.m. de illegale onderzoeken naar kernwapens.
Kleine maar belangrijke landen als Nederland staan nog te neutraal tegenover Iran. Als de VS ons zover krijgt om Iran als een dreiging te zien, dan is voor hen de kans groter dat wij minder negatief zullen reageren op een inval bij Iran; mogelijk hopen ze zelfs op onze steun.
quote:dat zou zo maar kunnen, zie webwereld.Op zaterdag 3 september 2011 @ 12:44 schreef Bushmaster het volgende:
Dus de DigID's liggen te grabbel voor de hackers of wat. Wees eens duidelijk, Donner.
quote:Valse certs in het wild
Verder is de omvang van de cyberkraak nog steeds onduidelijk, constateert Mozilla. Iraanse hackers hebben meer dan 200 frauduleuze certificaten aangemaakt, maar het is nog steeds onbekend hoeveel precies en voor welke domeinen.
quote:Kan je zelf nagaan...Op zaterdag 3 september 2011 @ 12:40 schreef harry64 het volgende:
[..]
ING en SNS werken met VeriSign, geen Diginotar.
Andere banken weet ik ff niet zo snel.
quote:Einde van Diginotar is niet door de hack... einde van Diginotar is door niet meteen alarm slaan, en stil houden. Onvergeeflijke fout.Op zaterdag 3 september 2011 @ 13:01 schreef DrXLTrouble het volgende:
Ik denk dat dit geintje het einde van Diginotar zal betekenen.
Lullig als dit door een hack gebeurd.
quote:Komt zo een beetje over alsof ze dit in navolging van Donner doen. De update van de software was wellicht pas gisteren/vandaag, maar ze (in ieder geval Mozilla) hadden dit dinsdag al afgekondigd, veel eerder dus dan dat Donner hetzelfde deed.Update 12:00
Ook de browsermakers zeggen het vertrouwen in Diginotar op.
JeMoeder (Moderator / Redactie Frontpage) 03-09-2011 @ 14:10
quote:Iran kan hiermee niets, zonder ook controle te hebben over DNS servers. Waarschijnlijk heeft Iran de valse certificaten gebruikt om internet verkeer binnen het eigen land te onderscheppen.Op zaterdag 3 september 2011 @ 14:10 schreef JeMoeder het volgende:
Ik neem aan dat als Iran hier echt achter zit, dit wordt gezien als een oorlogsdaad en we terugslaan? Of laten we over ons heen lopen door een stel Fundi's?
harry64 (Redactie Frontpage) 03-09-2011 @ 18:07
quote:Bij mijn beste weten zijn ssl-certificaten gekoppeld aan domeinnaam en IP-adres, en een server-hashtag. Ik heb i.i.g. 1x een server moeten verhuizen naar een andere co-locatie, toen moest er voor de https ook een nieuw certificaat op wegens een ander IP-adres.Op zaterdag 3 september 2011 @ 14:52 schreef kipknots het volgende:
[..]
Iran kan hiermee niets, zonder ook controle te hebben over DNS servers. Waarschijnlijk heeft Iran de valse certificaten gebruikt om internet verkeer binnen het eigen land te onderscheppen.
Dit levert ook niet direct een security probleem op voor de Nederlandse overheid (althans, niet meer dan andere sites) aangezien de certificaten voor ieder adres kan worden uitgegeven. Of die site in werkelijkheid gebruik maakt van DigiNotar of een andere Certificate Authority weet een browser niet. Wat wel het probleem is is dat browsers dus certificaten van DigiNotar als onveilig gaan bestempelen en sites die deze certificaten gebruiken gaan blokkeren.
quote:Reken daar maar niet op. Het moederbedrijf van Diginotar is Vasco, wat naast bedrijven zoals Verisign en Thawte een grote speler is op het gebied van certificaten en beveiliging met bijvoorbeeld tokens. En ook grote jongens overkomt dit soort zaken soms, zoals een tijd geleden alle RSA tokens vervangen moesten worden, omdat er een belangrijke server van RSA was gehackt.Op zaterdag 3 september 2011 @ 12:25 schreef spoorrails het volgende:
Zo, het einde van dit bedrijf...
quote:Dit kun je zien binnen je browser door op het icoon voor de url te klikken.Op zaterdag 3 september 2011 @ 12:32 schreef MakkieR het volgende:
Kan iemand mij vertellen of het internetbankieren ING, Rabo, ABN ook onder dezelfde diginotar certificaten valt, want het nieuws is hier erg onduidelijk over.
