Angriper nettets viktigste sikkerhetsprotokoll

Angriper nettets viktigste sikkerhetsprotokoll

SSL-hengelåsen (Secure Socket Layer) skal garantere for sikre websider. Siste nytt innen nettfiske er falske SSL-hengelåser.

Metodene for å hente inn nøkkelinformasjon om brukere, helst kredittkortnumre og persondata, blir stadig mer utspekulerte og sofistikerte. Nå viser det seg at også SSL-symbolet, hengelåsen som skal garantere for sikkerheten på websiden du besøker, blir forfalsket.

Det britiske analysefirmaet Netcraft har det siste året oppdaget 450 tilfeller av nettfiske (phishing) der falske SSL-sertifikater er benyttet. Og forfalskningene er varierte. De kan gå ut på å utnytte svakheter i nettleserne og hacke virkelige nettsider, eller bare rammene på slike nettsider, for å skape noe som ser ut som et ekte banknettsted.

En annen og mer avansert form for lureri er å kjøpe domenenavn som ligger tett opptil navn på kjente bank-nettsteder, og deretter benytte SSL-ikonet som gir inntrykk av garantert sikkerhet.

Ignorerer advarsler

Slike angrep vil som regel utløse advarsler i nettleserne om at sertifikatet ikke blir gjenkjent. Men ifølge analysefiremaet Netcraft vil det likevel være mange vanlige brukere som velger å overse slike meldinger. Nylig empiri dokumenterer dette.

Da SSL-sertifikatet til en bank i New Zealand utløp i fjor, gikk det 12 timer før sertifikatet var fornyet. I denne perioden var det 300 pålogginger. Bare én av de 300 tok hensyn til meldingen om at det var problemer med SSL-serifikatet.

Når meldingen "Vil du fortsette likevel?" vises, er det altså oppsiktsvekkende mange som uansett svarer ja.

Tydeligere informasjon

Ifølge Netcraft blir det bedringer i nye nettlesere som Internet Explorer 7, med tydeligere informasjon til brukerne. Men det hjelper lite når mange banker har gått bort fra en helhetlig bruk av SSL, og i stedet kjører innloggingen på egne, ukrypterte nettsider.

Analysefirmaet etterlyser enklere og mer lettfattelig informasjon om sikkerhetsmekanismene på nettsteder.

"Disse funnene, kombinert med den økende mengden nettfiske-metoder som gjør bruk av SSL, bør motivere sertifikat-autoriteter og nettleser-utviklere til å doble anstrengelsene for å informere nettbrukere om sertifikater og varsler om SSL-sikkerhet" skriver Netcraft i sin analyse.