Internetbankieren onveilig ondanks 3x kloppen

Beveiligde verbindingen voor internetbankieren zijn niet meer helemaal te vertrouwen. Door een ernstig DNS-lek is het aanvragen van een SSL-certificaat voor andermans domein namelijk gemakkelijker geworden. Daarom vindt Govcert, het computerincidentrespons team van de Nederlandse overheid, dat de procedures van SSL-providers moeten veranderen.

Een gewaarschuwde ict'er controleert de SSL-verbinding van zijn bank. Als er https:// in de adresbalk staat, het slotje rechtsonderin aanwezig is en er bij dubbelklikken een certificaat verschijnt met de domeinnaam van je bank, dan weet je het zeker: je hebt verbinding met je eigen bank en niet met een of andere DNS-hacker, die je inlogcodes wil stelen om je bankrekening te plunderen.

Was het maar zo. Dat laatste hoeft namelijk niet meer zo te zijn. Beveiligingsonderzoeker Dan Kaminsky wees er anderhalve week geleden op dat een beveiligingslek in het Domain Name System (DNS) verstrekkende gevolgen kan hebben. Zo'n beetje elke internettechniek is namelijk gebaseerd op het DNS-fundament. En dat geldt ook voor het Secure Sockets Layer (SSL), een beveiligingsprotocol voor authenticatie en versleuteling. Kaminsky wees erop dat de bedrijven die SSL-certificaten verkopen, mail gebruiken om te controleren of aanvragers zijn wie ze zeggen te zijn. Kaminsky: "Raad eens hoe veilig die instanties zijn voor DNS-aanvallen. Niet."

Certificaataanvraag deugt niet

Govcert, het computerincidentrespons team van de Nederlandse overheid, vindt daarom nu dat de procedures van SSL-providers moeten veranderen. Woordvoerder Ella Broos: "De procedure van het aanvragen van SSL-certificaten door instanties moet onder de loep worden genomen en minder geautomatiseerd verlopen. Er valt te denken aan extra authenticatie en identificatie van de aanvrager door de leverancier. Op dit moment verschillen de procedures van de CA's (Certificate Authority) veel van elkaar. Bij de een gebeurt het grondiger dan bij de ander."

SSL-certificaat voor andermans domein

Procedures van SSL-providers

Broos: "Hoewel dit scenario heel omslachtig is, doordat eerst de server van de leverancier van SSL-certificaten moet worden gecompromitteerd, is het niet ondenkbaar. In dat geval is het onmogelijk om als eindgebruiker iets te doen om het op te merken en te voorkomen. Het compromitteren van de server van SSL-certificatenleveranciers is overigens niet zomaar gebeurd als we ervan uit mogen gaan dat die vanwege de aard van hun dienstverlening goed beveiligd zijn. Naar onze mening is dit scenario wel een aanleiding om daar extra alert op te zijn."

Olaf Kolkman, directeur NLnet Labs (dat open-source DNS-servers ontwikkelt zoals NSD en Unbound) formuleert het voorzichtig: "Zolang alle controles die een certificerende instantie uitvoert om de identiteit van een aanvrager te achterhalen over internet verlopen, is het gevaar dat een malafide persoon een certificaat ontvangt voor een domein dat niet van hem is, niet geheel academisch."

Antoin Verschuren, technisch adviseur bij SIDN, de organisatie die het .nl-domein beheert: "Het risico is niet geheel verwaarloosbaar meer. Beveiliging is nooit honderd procent te garanderen, maar door de DNS-kwetsbaarheid is de kans dat zo'n aanval slaagt iets groter geworden. Het probleem zit niet zozeer in het SSL-protocol, maar in de procedures van SSL-providers. Je kunt je afvragen of het verscherpen van die procedures een gewenst algemeen beveilingsdoel dient. Als de procedure moeilijker en complexer wordt gemaakt, dan kan dat aanvragers van een SSL certificaat ontmoedigen om er überhaupt een aan te vragen. De echte oplossing is het repareren van de DNS-kwetsbaarheid. De enige lange termijn end-to-end oplossing daarvoor is DNSSEC, een DNS-protocol dat beter beveiligd is."

Blijf het slotje controleren

Broos: "Blijft een feit dat we het risico van deze tijdrovende manier van frauderen niet hoog inschatten, vanwege de complexiteit en de inspanning die het kost. Wij zien als Govcert dat phishing zonder SSL-certificaat al lucratief genoeg blijft: veel mensen controleren helemaal niet of ze veilig aan het werk zijn. Daarom blijft het op dit moment een goed advies om als eindgebruiker te checken of er een beveiligde verbinding tot stand is gekomen, via het hangslotje, https en de url. Het zou de eerste, bijna automatische handeling moeten zijn van iedere internetgebruiker."

Ook volgens Kolkman zijn internetbankklanten vaak niet alert genoeg: "Veel gebruikers controleren niet eens of het slotje aanwezig is. Als je als crimineel erin slaagt internetgebruikers om te leiden naar een nepbankiersite, en dat kan via het lek van Dan Kaminsky, dan heb je dus ook al een aardige kans van slagen."