Computerworld News Service: Det samlede antal af digitale certifikater, der i juli blev stjålet fra en hollandsk certifikatleverandør, er nu opgjort til over 500.
De tæller certifikater til efterretningstjenester som USA's CIA, Storbritanniens MI6 og Israels Mossad, oplyser en udvikler fra Mozilla søndag.
Den bekræftede optælling af disse SSL-certifikater (secure socket layer), udstedt under falske forudsætninger, er nu oppe på 531, oplyser Gervase Markham, der er udvikler hos Mozilla.
Mozilla har arbejdet på højtryk på at sikre, at Firefox blokerer alle websites, der er underskrevet med de stjålne certifikater.
Markham nævner en række organisationer, hvis domæner er påvirket af hændelsen.
De tæller CIA, MI6, Mossad, Microsoft, Yahoo, Skype, Facebook, Twitter. Det fremhæves, at Microsofts Windows Update-service også er påvirket.
"Nu hvor nogen (tilsyneladende fra Iran) har fået fat på et legitimt HTTPS-certifikat til CIA.gov, spekulerer jeg over, om ikke den amerikanske regering vil tage sig af dette rod," bemærker analytiker Christopher Soghoian lørdag i en tweet i forbindelse med en rapport om privacy på nettet.
Måske iranske hackere
Soghoian henviser her til den antagelse blandt mange eksperter, at det var iranske hackere muligvis med opbakning fra landets regering, der stod bag angrebet.
Google har peget på Iran med oplysningen om, at iranske brugere har været mål for angreb, der har gjort brug af et stjålent certifikat til google.com.
Selskabet hævdede at have tilbagekaldt alle de stjålne certifikater, men indså derefter at have overset et, der kunne bruges til at efterligne enhver Google-service inklusiv Gmail.
DigiNotar gik først offentligt til bekendelse, efter nogle brugere havde rapporteret om sagen til Google.
Så farlig er tyveriet
Kriminelle eller regeringer kan bruge de stjålne certifikater til at gennemføre "man-in-the-middle"-angreb, hvor brugerne narres til at tro, de besøger et legitimt website, mens deres kommunikation faktisk opsnappes i hemmelighed.
Google og Mozilla oplyste i denne weekend, at de to virksomheder vil blokere permanent for alle digitale certifikater udstedt af DigiNotar heriblandt for de, der anvendes af den hollandske stat.
Denne beslutning falder under en uge efter, Google, Mozilla og Microsoft alle tilbagekaldte mere end 200 SSL-certifikater til brug i deres browsere, mens flere hundrede andre certifikater ikke blev rørt, hvoraf mange bliver anvendt af den hollandske stat til at sikre dens websites.
"Baseret på den hollandske regerings konklusioner og beslutning samt på diskussioner med andre browserproducenter har vi besluttet at afvise alle de certifikatmyndigheder, som drives af DigiNotar," forklarer Heather Adkins, der er information security manager hos Google, i et blogindlæg søndag.
Johnathan Nightingale, der er udviklingsleder af Firefox, gav udtryk for det samme i fredags.
"Ingen af Mozillas produkter vil have tillid til nogen af DigiNotars certifikater," forklarer Nightingale, som også påpeger, at den hollandske regering nu har ændret sin holdning fra sidste uge i sagen - hvor den hollandske regering bad browserproducenterne om at gøre undtagelser for dens certifikater fra DigiNotar.
"Den hollandske regering har siden revideret DigiNotars præstation og trukket denne vurdering tilbage," fortæller Nightingale. "Dette drejer sig ikke om nogen midlertidig udelukkelse, certifikaterne bliver fjernet fuldstændigt fra vores program af rodcertifikater, der er tillid til."
Oversat af Thomas Bøndergaard
