יום שני, מרץ 14, 2011

למה זה רע להסתמך SSL

כמה ממכם שמעו על אנחנו משתמשים בהצפנת SSL והאתר שלנו מאובטח בטכנולוגיות חדישות.
לפני כחודש שמתי לב ש kmail מתלונן ברשת האלחוט בה אני מתארח על תעודות שהשתנו.

לאחר מספר שעות של חיפוש של באג או משהוא בדקתי מה באמת התעודה שמתקבלת ורואו הפלא:

openssl s_client -connect imap.gmail.com:993 | openssl x509 -text | grep Issuer
depth=0 /C=US/ST=California/L=Mountain View/O=Google Inc/CN=imap.gmail.com
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 /C=US/ST=California/L=Mountain View/O=Google Inc/CN=imap.gmail.com
verify error:num=27:certificate not trusted
verify return:1
depth=0 /C=US/ST=California/L=Mountain View/O=Google Inc/CN=imap.gmail.com
verify error:num=21:unable to verify the first certificate
verify return:1
Issuer: C=US, ST=California, L=Sunnyvale, O=Fortinet, OU=Certificate Authority, CN=FortiGate CA/emailAddress=support@fortinet.com

חיפוש נוסף העלה את הנקודה שמדובר בתעודה מזוייפת שמישהוא ישב ודאג לשים,
אכשיו על מנת להסביר את העניין בצורה פשוטה יותר אדם כל שהוא התיישב ברשת מזייף חותמות של אתרים אחרים ומקבל גישה לכל מה שאתם שולחים.

אם הוא הגדיר פעולה זאת עבור שרת IMAP עולה השאלה מדוע לאדם יש צורך בגישה לדואר שלכם ?

בדקתי על פייסבוק וטוייטר והחותמות תקינות על כן לא מדובר פה באיזה ילד שמנסה לגנוב סיסמאות אלה במשהוא הרבה יותר רציני.

אין תגובות:

הוסף רשומת תגובה