Chính phủ Hà Lan nắm kiểm soát CA DigiNotar

Dutchgovernment takes control of DigiNotar CA

5 September 2011, 19:38

Theo:http://www.h-online.com/security/news/item/Dutch-government-takes-control-of-DigiNotar-CA-1337286.html

Bài được đưa lênInternet ngày: 05/09/2011

Lờingười dịch: Vụ DigiNotar, cơ quan chứng thực (CA) mà đãbị đánh thủng vào tháng 7 đặt hàng trăm chứng thựcSSL rởm vào lưu thông. “Tuần trước, DigiNotar đã chỉra rằng PKIoverheid,qui trình phá hành chứng thực của chính phủ, đã khôngbị ảnh hưởng bởi cuộc tấn công, nhưng bằng chứngmới gợi ý rằng hình như những kẻ thâm nhập trái phépđã truy cập được tới PKIoverheid. Liệu những kẻ tấncông có lợi dụng được để phát hành các chứng thựcở thời điểm không rõ hiện hành hay không. Chính phủHà Lan đã không thu lại bất kỳ chứng thực nào cả dùđiều đó có thể gây ra cho các hệ thống dựa vào cácchứng thực đó đối với các giao tiếp truyền thôngđược mã hóa sẽ thất bại. Thay vào đó, chính phủ đãnắm lấy quyền kiểm soát quản lý vận hành DigiNotar vàđang giám sát chặt chẽ các hệ thống trong khi chính phủvận hành một kế hoạch chuyển sang các nguồn chứngthực khác”. Có chứng thựcđể đảm bảo an ninh an toàn cho hệ thống thông tin,nhưng nếu bản thân các CA và các chứng thực không còntin cậy được nữa thì sẽ là một thảm họa thực sự.

Chính phủ Hà Lan “đãchiếm sự quản lý hoạt động” của DigiNotar, cơ quanchứng thực (CA) mà đã bị đánh thủng vào tháng 7 đặthàng trăm chứng thực SSL rởm vào lưu thông. Theo mộtdanh sách liệt kê từ chính phủ Hà Lan, chúng đang đe dọasự tin cậy trong các chứng thực do DigiNotar phát ra. Nóchỉ ra rằng, dù không có các chứng chỉ nào của chínhphủ Hà Lan trong số những chứng chỉ rởm nổi tiếng,thì những người viếng thăm website có thể có các thôngđiệp cảnh báo rằng các site có thể không còn tin cậynữa và các giao tiếp máy chủ với máy chủ sử dụngcác chứng thực của CA này có thể đã bị phá.

Chính phủ tự pháthành các chứng thực cho các mục đích khác nhau và chúngđược ký với “Chính phủ Hà Lan”. Vì qui trình này,chính phủ đã sử dụng các hệ thống đã được vậnhành tại DigiNotar. Tuần trước,DigiNotar đã chỉ ra rằng PKIoverheid,qui trình phá hành chứng thực của chính phủ, đã khôngbị ảnh hưởng bởi cuộc tấn công, nhưng bằng chứngmới gợi ý rằng hình như những kẻ thâm nhập trái phépđã truy cập được tới PKIoverheid. Liệu những kẻ tấncông có lợi dụng được để phát hành các chứng thựcở thời điểm không rõ hiện hành hay không. Chính phủHà Lan đã không thu lại bất kỳ chứng thực nào cả dùđiều đó có thể gây ra cho các hệ thống dựa vào cácchứng thực đó đối với các giao tiếp truyền thôngđược mã hóa sẽ thất bại. Thay vào đó, chính phủ đãnắm lấy quyền kiểm soát quản lý vận hành DigiNotar vàđang giám sát chặt chẽ các hệ thống trong khi chính phủvận hành một kế hoạch chuyển sang các nguồn chứngthực khác.

TheDutch government has "taken over operational management" ofDigiNotar, the certificate authority (CA) which was breached in Julyputting hundreds of bogus SSL certificates into circulation.According to a factsheetf-rom the Dutch government, they are denouncing trust in certificatesissued by DigiNotar. It points out that, although there are no Dutchgovernment certificates among the known fraudulent certificates, website visitors may get warning messages that sites can no longer betrusted and server-to-server communications which use the CA'scertificates may be disrupted.

Thegovernment issues certificates itself for different purposes and theyare signed with "The Government of the Netherlands". Forthis process, it has used systems that were operated at DigiNotar.Last week, DigiNotar had pointed out that PKIoverheid,the government certificate issuing process, was not affected by theattacks, but new evidence suggests that apparently the intruders didhave access to PKIoverheid. Whether the attackers took theopportunity to issue certificates at that point is currently unknown.The Dutch government has not revoked any certificates yet though, asthat may cause systems that rely on the certificates for encryptedcommunications to fail. Instead, it has taken operational managementcontrol of DigiNotar and is closely monitoring the systems as itexecutes a plan to transition to other sources of certificates.

(djwm)

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com