Więcej
Are intermediate certification authority certificates targets for man-in-the-middle attacks?

Are intermediate certification authority certificates targets for man-in-the-middle attacks?

15-01-2014 12:14:39
As many of you may know Google recently detected a TLS/SSL certificate that was created by the Ministry of France and used as “a commercial device, on a private network, to inspect encrypted traffic with the knowledge of the end users.” In general there is no application on the public internet that would require such a certificate and the use of this type of intermediate certificate does create many security related problems such as “internet traffic routing, domain name resolution and the possibility of an unconstrained trusted intermediate CA certificate.”
 
That being said, there are still legitimate reasons why an enterprise, organization or government would need such a certificate. For example, in the financial market regulatory rules require that brokers have all of their communications recorded in order to oversee and regulate their activity. In this case the TLS/SSL certificate is providing a level of encryption to users within the portal but at the same time making such information available for oversight.  However instead of using a publically trusted Root CA and misusing the certificate, the enterprise, organization or government should use a privately trusted CA that is trusted only within the defined scope of that portal.
 
 You may be wondering that if it is easy enough to acquire a TLS/SSL certificate could hackers easily attain an unconstrained trusted intermediate CA certificate? The answer is no because of the standards and rules put into place by the CA/B baseline requirements. The CA/B requires that a TLS/SSL certificate can only be issued after there is confirmation from the domain owner.
 
Depending on the type of SSL certificate, confirmation is made by either responding to an email sent to the registered email address of the domain (DV certificates) or (for the more advanced validated certificates OV SSL Certificates & EV SSL Certificates) by not only contacting the domain owner by email/phone but by also requiring them to submit formal documents to prove the existence of their organization.
 
In closing SSL certificates are a cornerstone of internet and are sometimes required but should always be used for websites that transfer or have the potential to transfer personal data including but not limited to: User-names, passwords, SSN, Debit/Credit Cards, Pin #, Forms, Online Conversations, VOIP, Gateways, Portals, VPNs Etc. SSL does have vulnerabilities and most stem from the element of human error, which is why network administrators should ALWAYS properly store their private keys in a secure environment to avoid the potential of a data breach. 
 
Source: SSLGURU.com
foto by openDemocracy via Flickr.com

Najnowsze wpisy

Zmiany w weryfikacji domeny dla certyfikatów typu Wildcard
29-09-2021 12:13:28

Od listopada zmianie ulegają metody weryfikacji domeny dla realizacji certyfikatu SSL Wildcard. Teraz ubiegając się o certyfikat SSL bądź dokonując jego odnowienia, będziesz musiał wybrać weryfikację domeny za pomocą DNS lub poczty e-mail.

Zmiany w weryfikacji domeny dla certyfikatów typu Wildcard
Tryb domyślnego HTTPS w Chrome
30-07-2021 13:14:39

Google Chrome nie spoczywa w walce o wprowadzenie HTTPS jako obowiązującego standardu. Po ostrzeżeniach w pasku przeglądarki przyszła kolej na ostateczny argument, który ma przekonać opornych. I to jeszcze w tym roku.

Tryb domyślnego HTTPS w Chrome
Firefox wprowadził tryb HTTPS-only
21-01-2021 14:17:11

Pod koniec zeszłego roku na rynku zadebiutowała nowa wersja przeglądarki – Firefox ’83. Użytkownicy znajdą w niej sporo aktualizacji i nowości. Jedną z wprowadzonych zmian, ku większemu bezpieczeństwu i zaufaniu użytkowników, jest tryb HTTPS-Only.

Firefox wprowadził tryb HTTPS-only
więcej wpisów

cyber_Folks S.A. – Ustawienia plików cookies

Lubisz dobre ciastka? My też! Niektóre pliki cookies są wymagane do prawidłowego działania strony. Zaakceptuj także dodatkowe pliki cookies, związane z wydajnością usług, serwisami społecznościowymi i marketingiem. Pliki cookie służą także do personalizacji reklam. Dzięki nim otrzymasz najlepsze doświadczenie naszej strony internetowej, którą stale doskonalimy. Udzielona dobrowolnie zgoda w każdej chwili może być wycofana lub zmodyfikowana. Więcej informacji o wykorzystywanych plikach cookies znajdziesz w naszej polityce prywatności. Jeśli wolisz określić swoje preferencje precyzyjnie – zapoznaj się z rodzajami plików cookies poniżej.

Funkcjonalne (zawsze aktywne)

To niezbędne do funkcjonowania strony pliki cookies. Strona nie będzie działać w pełni prawidłowo bez akceptacji tego rodzaju ciastek. Przykład: Plik cookie, który zapisuje Twoją zgodę lub sprzeciw, jest potrzebny, abyśmy wiedzieli, czy mamy Twoją zgodę na określone działania na stronie, pozwolą również zalogować się do Panelu Klienta, złożyć zamówienie lub skontaktować się z nami przez chat.

Analityczno-wydajnościowe

Umożliwią zebranie informacji o sposobie korzystania ze strony. Te pliki pozwolą nam na zliczanie wizyt i źródeł ruchu w naszej witrynie, dzięki czemu możemy mierzyć i usprawniać jej działanie, a także dowiedzieć się, które strony są najbardziej, a które najmniej popularne, oraz zrozumieć jak odwiedzający poruszają się po naszej witrynie. Pomagają nam w analizie wydajności strony i zbieraniu syntetycznych informacji. Przykład: Możemy wykonywać mapy ciepła, dzięki czemu wiemy, które treści są czytelne, a które nie, a to pozwala na lepsze zaprojektowanie strony. Dzięki nim widzimy także, które wpisy blogowe były czytane częściej, a które rzadziej, co pozwala nam opracowywać bardziej interesujące treści. Głównym narzędziem z jakiego korzystamy jest Google Analytics.

Społecznościowe

To pliki cookies dotyczące platform społecznościowych umożliwią powiązania Cię z Twoimi kontami w mediach społecznościowych. Możesz w nich udostępniać treści pochodzące z naszej strony. Pliki sieci społecznościowych (pochodzące od podmiotów zewnętrznych, np. Facebooka) zbierają informacje w celu zapewnienia spersonalizowanych treści reklamowych. Przykładowo: Reklamy w Twoich mediach społecznościowych są lepiej dopasowane do Ciebie i zmniejszasz szansę na bombardowanie reklamami już kupionych usług lub produktów.

Marketingowe

To pliki związane z działaniem systemów automatyzacji marketingu oraz rozliczalnością reklam. Dzięki nim ograniczamy np. liczbę wyświetleń danej reklamy. Pozwalają nam także wykonywać testy porównawcze, dzięki którym stale doskonalimy działanie naszej strony. Testując wiele układów strony możemy łatwiej uzyskać taki, który zapewnia najlepszą czytelność dla użytkowników. Komunikacja staje się również bardziej spersonalizowana. Przykładowo: możemy podpowiedzieć Ci artykuł na temat tego, jak znaleźć nazwę domenową, kiedy widzimy, że szukasz domeny i trudno Ci znaleźć pasującą nazwę. Możemy też np. wyświetlić Ci podpowiedź, dotyczącą logowania, jeśli widzimy kilka nieudanych prób z rzędu. Na podstawie informacji z tych plików cookie i aktywności w innych serwisach budowany jest Twój profil zainteresowań. Głównie korzystamy z sieci reklamowej Google oraz Facebook.