Kaspersky Lab Kantoor bord

Kaspersky dicht beveiligingslek SSL-verkeer

Laatst bijgewerkt: 29 januari 2019
Leestijd: 1 minuut, 17 seconden

Kaspersky Lab heeft een beveiligingslek gedicht. Het lek in de anti-virussoftware zorgde ervoor dat gebruikers risico liepen op man-in-the-middle-aanvallen.

SSL-verkeer beveiligt met gegenereerde certificaten

De anti-virussoftware van Kaspersky onderschept – net als diverse andere anti-virusaanbidders – het ssl-verkeer op computers die de software gebruiken. Om dit te kunnen doen installeert de Kaspersky beveiligingssoftware een eigen rootcertificaat. Met dit certificaat worden real-time alle certificaten vervangen van websites die de gebruiker bezoekt. Zo kan Kaspersky Lab het verkeer van en naar https-sites inspecteren. Toch kan het juist ook voor problemen zorgen. Tavis Ormandy, onderzoeker bij Google, zegt: “Het onderscheppen van certificaten door Kaspersky heeft eerder al voor ernstige kwetsbaarheden gezorgd, maar een vlugge inspectie leert dat er nog steeds veel problemen aanwezig zijn”.

Om de gegenereerde certificaten op te slaan, maakt Kaspersky gebruik van de eerste 32-bits van een md5-hash als de sleutel. “Je hoeft geen cryptograaf te zijn om te begrijpen dat een 32-bits sleutel niet voldoende is om het brute-forcen van een collision binnen enkele seconden te voorkomen. Het produceren van een collision met een ander certificaat is eenvoudig”, aldus Ormandy. De manier waarop de Russische virusbestrijder de certificaten genereert is dus naïef en een beveiligingsrisico.

Beveiligingsrisico’s gepatcht

Bij een man-in-the-middle-aanval zou een aanvaller tussen de gebruiker en het internet versleuteld verkeer kunnen onderscheppen. Ormandy rapporteerde dit risico op 1 november aan Kaspersky Lab. Op 28 december 2016 heeft Kaspersky het beveiligingslek gepatcht. Daarbij hebben ze ook direct een ander lek gerepareerd. Gebruikers met verminderde rechten op het systeem kunnen nu niet langer een lokale certificaatautoriteit worden.

Hoofdauteur:

Meer artikelen uit het ‘Nieuws’ dossier

Reacties
Plaats een reactie
Een reactie plaatsen

Op zoek naar een VPN?

Bekijk ons overzicht met de meest betrouwbare, snelle en veilige VPN-services.
Uitgebreid getest door experts.

Bekijk welke VPN het beste bij je past