Moja škrabalica

Sigurnost samopotpisanog sertifikata

Izvršio svoju „građansku dužnost“ i poslao pismo, čekam odgovor tokom nedelje.

Dodatak: Danas, prvog radnog dana po slanju pisma, primio sam odgovor e-postom i po naknadnom telefonskom pozivu iz Halcoma su mi potvrdili verodostojnost pomenutog otiska. Naravno, ovim ne pozivam da vi verujete meni, već skrećem pažnju da efikasno možete da proverite i osigurate sigurno korišćenje usluge elektronskog bankarstva.

Želim javno da pohvalim profesionalan odgovor tehničke službe i razgovor sa Anom Stojaković, vođe opšte službe Halcom a.d. Beograd. Halcom je u proceduri registracije sertifikacionog tela za izdavanje kvalifikovanog elektronskog potpisa u registru MTID-a, a potvrđeno mi je da će sugestiju da preuzimanje korenskog sertifikata bude ponuđeno na stranici koja je verifikovana sertikatom u već priznatom stablu biti prosleđena dalje.

Za:	helpdesk na halcom tačka rs
Kopija:	Nikola Bakaric <ca na halcom tačka rs>
Naslov:	Sigurnost samopotpisanog sertifikata

Poštovani,

Pokušao sam da koristim uslugu VobHomeBanka Vojvođanske banke koja se
pruža preko lokacije webebank.ebb-bg.com odakle sam odlaskom na
www.ebb-bg.com došao i do ove kontakt adrese Halcoma.

SSL sertifikat koji se koristi za zaštitu komunikacije (CN =
webebank.ebb-bg.com, ID: 42 89 08 96 F6 91 56 02) nije izdat od strane ni jednog poznatog sertifikacionog tela, već internog CA tela:

        CN = EBB Beograd CA 2
        O = Halcom
        GUID Microsoft домена = EBBBG2
        C = SI
        ID: 45 42 42 5F 42 47

Sa ulazne stranice pod opcijom "Namesti sertifikat servera" moguće je
preuzeti korenski sertifikat tog internog CA.

Interesuje me kako ja kao korisnik mogu da verifikujem da CA sertifikat
koji ću tako preuzeti i postaviti na računar zapravo jeste sertifikat u
vlasništvu Halcom/EBB, a ne sertifikat zlonamernog napadača.

Pogledao sam PDF dokument Pravilnik rada sertifikacionog tela Halcom BG
CA sa vašeg sajta, ali tamo se ne pominje ovo drugo interno
sertifikaciono telo, iako ni pominjanje ne bi rešilo moj problem.

Pretpostavimo da se napadč nalazi između mene i Vašeg servera, ne možete
očekivati da ću za zaštitu komunikacije verovati sertifikatu CA tela
nezaštićeno preuzetim upravo sa servera koji i želim da verifikujem? Ako
ispravno razumem metod rada, u ovom slučaju svaki administrator mreže
između može lako da izvede Man-in-the-middle napad ponudivši mi
sertifikat njegovog lokalnog CA tela koji po svemu osim javnom ključu liči na Vaš
i nakon toga takođe napraviti proizvoljan sertifikat za sam sajt.

Da li otisak korenskog sertifikata internog CA tela (u konkretnom slučaju SHA1
otisak je 98 6C E2 97 44 D4 33 91 02 2B 48 92 00 B0 60 C2 13 C7 86 4E)
mogu da uporedim makar telefonom i da li je takav postupak uopšte
dovoljno siguran?

Kako za takve provere više verujem programerima softvera nego sebi, mogu
li elektronski sa neke druge stranice zaštićene sertifikatom izdatim od
priznatog CA, sa odgovarajućom klasom validacije (SSL-EV) koja bi
garantovala da iza te stranice stoji upravo Halcom/EBB da preuzmem
korenski sertifikat internog CA tela?

Unapred Vam zahvaljujem na posvećenom vremenu i odgovoru. Poruku sam
pored helpdesk adrese prosledio i na e-adresu Nikole Bakarića koja se
nalazi u pomenutom PDF dokumentu.

S poštovanjem,
Goran Rakić

Dodatak: Početkom septembra 2011. izdat je i postavljen novi krajnji sertifikat. Izdavač je ostao isti, korenski sertifikat je interno sertifikaciono telo. Kako nemam poverenje u bezbednost, nisam označio taj korenski sertifikat kao onaj kome verujem za bilo koji izdat ispod i eksplicitno sam obeležio kranji. Sada po promeni moram isto da uradim i za novi.
SHA1 otisak je BC D3 E3 DA DC 4F 17 44 07 FA 66 C5 3E 00 3D 41 1F 28 CD 5F. Međutim, kako ne možete biti sigurni da čitate neizmenjen članak sa ovog bloga, ovaj podatak ovde napisan ne omogućava sigurnu proveru.