Hlavní navigace

Za podvrženými certifikáty pro domény Googlu jsou Francouzi

Daniel Dočekal

Svět podřízený šmírování NSA je i světem, ve kterém nemůžete věřit certifikátům. Ty falešné poslouží tehdy, chce‑li někdo šmírovat. Stopy tentokrát vedou k francouzské vládě.

Google upozorňuje na případ z počátku prosince, který vedl k zásahu do seznamu certifikátů a hlavně certifikačních autorit pro Chrome. Třetího prosince se totiž Google dozvěděl o existenci několika falešných certifikátů pro některé domény Googlu. Pátráním se podařilo najít certifikační autoritu směřující zpět k francouzské vládní agentuře na ochranu počítačových sítí, ANSSI.

Podvržené certifikáty slouží k vydávání se za skutečný web a umožňují vstoupit do komunikace a odchytávat komunikaci i komunikovat za tento web. V tomto konkrétním případě se certifikáty objevily v komerčním zařízení na privátní síti a sloužily k odchytávání komunikace, tedy ke šmírování. Komunikace by za normálních okolností nebyla sledovatelná, protože by byla zašifrována pomocí SSL a dešifrovat by ji mohly jen oba komunikující body. 

ANSSI slouží i jako certifikační autorita, ale hlavně je to instituce zodpovědná za kybernetickou ochranu i bezpečnost informačních systémů. A podle vydaného prohlášení Revocation of an IGC/A branch je dost zřejmé, že falešné certifikáty webů Google byly nejspíše vydány přímo francouzským ministerstvem financí.

Za povšimnutí stojí, že ANSSI svádí v prohlášení vše na „lidskou chybu“. Což vzhledem k okolnostem i cílenému využití je hodně silný způsob černého humoru. A zjištěné ještě navíc znamená, že francouzská vláda má snadnou kontrolu nad certifikáty a neváhá jí zneužívat. Ať už tomu nakonec říká „lidská chyba“, nebo jakkoliv jinak.

Našli jste v článku chybu?