Trustwave geeft SSL-certificaat uit voor PayPal-phishingsites

[Captain Kirk]

Certificaatautoriteit Trustwave heeft een zogeheten 'organisation validated' SSL-certificaat voor verschillende PayPal-phishingdomeinen uitgegeven. SSL-certificaten worden gebruikt voor het identificeren van de website en het versleutelen van verkeer tussen bezoekers en website.

Er zijn grofweg drie verschillende categorieen van SSL-certificaten. Bij het domain-validated (DV)-certificaat wordt alleen de controle over een bepaald domein gecontroleerd. In het geval van een organisation-validated (OV)-certificaat wordt het recht van de aanvrager om een specifieke domeinnaam te gebruiken gecontroleerd alsmede een validatie van het bedrijf. Als derde is er nog het Extended Validation (EV)-certificaat, waarbij de identiteit van de eigenaar uitgebreid wordt gecontroleerd. Veel certificaten die aan misleidende domeinnamen worden toegekend zijn DV-certificaten. Vaak gaat het hier om een geautomatiseerd proces.

In het geval van de OV- en EV-certificaten zal de controle door een mensen plaatsvinden. Het is dan ook opmerkelijk dat Trustwave een OV-SSL-certificaat voor paypal-office.com, myaccount-paypal.com en paypal-sign.com heeft uitgegeven die op een PayPal-phishingsite zijn gebruikt. Het certificaat was uitgegeven aan iemand in India, zo meldt internetbedrijf Netcraft. De phishingsite is inmiddels offline gehaald, maar de certificaten zijn volgens Netcraft nog niet ingetrokken.

 

bron: security.nl