De consequenties van het Diginotar incident voor de consument.

Vorige week werd bekend dat er twee maanden geleden een digitale inbraak bij certificate authority (CA) Diginotar heeft plaatsgevonden. Vrijdag bleek dat het niet is uit te sluiten dat ook PKIOverheid certificaten (die bijvoorbeeld door DigiD gebruikt worden) betrokken zijn geweest bij deze inbraak. Daarom doet de overheid Diginotar in de ban en zeggen browsermakers het vertrouwen in alle Diginotar certificaten op. De consequenties hiervan zijn groot, maar worden niet door iedereen even goed begrepen.

Als er bij een CA ingebroken wordt, kan de inbreker zelf nieuwe certificaten aanmaken voor elk willekeurig domein. Met zo'n certificaat kan de aanvaller een nep site voor dat domein opzetten, en bijvoorbeeld proberen inloggegevens van gebruikers van die site te onderscheppen. Totdat de inbraak ontdekt wordt, en de CA op een zwarte lijst is geplaatst (zoals nu met Diginotar is gebeurd), kan een gebruiker die naar een website browsed niet zien of een site beveiligd is met een echt of een vals certificaat. In deze periode zijn alle officieel uitgegeven certicaten nog wel geldig, maar in feite waardeloos: ze zijn niet te onderscheiden van de valse certificaten. In deze periode is dus in feite het hele Internet onbeveiligd.

Na plaatsing van de CA op de zwarte lijst veranderd de situatie. Alle certificaten die door deze CA zijn ondertekend (zowel de officieel uitgegeven certificaten maar ook de valse die bij de inbraak zijn aangemaakt) worden ongeldig. De resterende certificaten (die niet door deze CA zijn ondertekend) blijven geldig, en hebben hun waarde weer terug. Er zijn immers niet langer mogelijk valse certificaten in omloop voor hetzelfde domein. Dat is heel jammer voor de officieel uitgegeven certificaten door de CA die op de zwarte lijst is geplaatst, want daar was natuurlijk niets mee mis. Maar daar is in het huidige certificaten model weinig aan te doen. Dat is wrang, omdat het de inbrekers in het geval van Diginotar niet te doen lijkt te zijn geweest om officieel door Diginotar uitgegeven certificaten te vervalsen. (Je zou in theorie alle certificaten die tijdens de inbraak zijn aangemaakt kunnen herroepen. Maar dan moet je wel heel erg zeker weten dat echt al deze certificaten herroept, en dat er niet toch stiekem één ongemerkt is aangemaakt. In het geval van Diginator is dat overzicht nog niet compleet.)

In tegenstelling tot wat de NRC meldt is het dus onwaarschijnlijk dat

.. inloggegevens van burgers op overheidssites zoals die van DigiD, de belastingdienst en de sociale dienst in verkeerde handen terechtgekomen.

De notitie van BZK noemt inderdaad dat

.. niet voor de volle 100% [valt] uit te sluiten dat u als gebruiker geen risico loopt als gevolg van frauduleuze certificaten.

Maar even verder lezen maakt duidelijk dat dit om de algemene constatering gaat dat in de periode tussen de inbraak en het op de zwarte lijst zetten van Diginotar, het hele Internet onveilig is geweest. Verderop staat immers

Voor zover bekend is de beveiliging van overheidssites niet daadwerkelijk in gevaar geweest. Daar is geen enkele aanwijzing voor.

Deze foutive berichtgeving is wellicht ook te wijten aan dit bericht van BoF waarin staat:

Dat heeft verstrekkende gevolgen. Het betekent dat Nederlanders in ieder geval sinds juli - toen is ingebroken bij Diginotar - hebben gecommuniceerd met overheidssites waarvan niet zeker is of die wel betrouwbaar waren. Het is dus theoretisch mogelijk geweest dat iemand die toegang heeft tot jouw internetverkeer, bijvoorbeeld in een internetcafé, zich voordoet als de website van de Belastingdienst en jouw belastingaangifte aftapt.

Dat is dus maar de halve waarheid: het betreft niet alleen Nederlanders (alle Internetters over de hele wereld waren mogelijk slachtoffer), en het betreft niet alleen Nederlandse overheidssites.

Wel moge uit bovenstaande duidelijk zijn dat Diginotar er erg slecht aan heeft gedaan de digitale inbraak twee maanden stil te houden. Dat heeft alle Internetters in wereld onnodig risico doen lopen.

Gelukkig geeft de overheid het goede advies aan burgers om, zolang ze een veiligheidswaarschuwing zien op een beveiligde website, deze website niet te gebruiken. Het bericht in de NRC van zaterdag 3 september waarin stond dat instellingen als Digid en het CBS adviseren om waarschuwingen van webbrowsers te omzeilen of te negeren, "bijvoorbeeld door een andere browser te gebruiken", blijken na controle op de website van DigiD zelf onjuist te zijn. Over ongeveer een week zullen al deze sites een nieuw certificaat hebben aangevraagd bij een andere CA, en zullen de veiligheidswaarschuwingen vanzelf verdwijnen.

Het systeem van certificaten om het Internet te beveiligen is aan vervanginging toe. Een nieuw systeem zal het mogelijk moeten maken om een CA op de zwarte lijst te plaatsen zonder dat meteen miljoenen gebruikers waarschuwingen krijgen over mogelijk onveilige certificaten, waar werkelijk niets mis mee is.