Let"s Encrypt izdao 15 000 certifikata za phishing veb stranice

Let"s Encrypt je certifikacioni autoritet koji je osnovan krajem 2015. godine sa svrhom da obezbjedi veb stranicama besplatne certifikate sa kojim bi enkriptovali saobraćaj korišćenjem TLS-a. Enkriptovanje saobraćaja bi onemogućilo čitanje poruka u slučajevima da kriminalci presretnu saobraćaj.

Ovaj servis koristi automatizaciju kako bi ubrzao proces dodjele certifikata. Eksperti su sumnjali da bi ovaj CA mogao biti zloupotrebljen od stane kriminalaca koji bi certifikate mogli koristiti da naprave vjerodostojnije phishing stranice i da istovremeno sakriju svoje aktivnosti korišćenjem enkripcije.

Ekspert za enkripciju Vincent Lynch otkrio je da je Let"s Encrypt izdao preko 15 000 digitalnih certifikata koji su iskorišćeni od strane kriminalaca. Lynch je otkrio da je 96,7% svih certifikata koji su izdati za veb stranice koje sadrže frazu PayPal završilo na phishing stranicama.

Phishing stranice su najčešće kratkog trajanja, jer se brzo blokiraju ili izbrišu. Korišćenje validnih digitalnih certifikata pomaže napadačima da njihova veb stranica izgleda legitimnije. Veliki problem predstavljaju i korisnici koji slijepo vjeruju indikatorima veb čitača.

Stručnjaci već neko vrijeme pokušavaju da zamijene nezaštićen HTTP saobraćaj sa HTTPS saobraćajem, i za sada im dobro ide, ali se pojavljuje novi set problema.

Veb čitači stranice koje koriste HTTPS sa validnim certifikatom automatski označavaju kao bezbjedne, te će se u bezbjednosti ovi indikatori, algoritmi koje koriste i svijest korisnika morati mijenjati.

Izvor:www.securityweek.com