Podd #27: Farliga certifikat

Medborgarna i Kazakstan har börjat övervakas på ett sätt som världen aldrig tidigare skådat. Ett statsutfärdat rotcertifikat låter kazakstanska myndigheter bryta upp annars säkra HTTPS-anslutningar från medborgarnas datorer och mobiler. I veckans podd pratar Tess och Nikka om hur oroväckande denna integritetskränkning är och förklarar hur certifikatskedjorna fungerar.

Tidskoder i avsnittet

• 00.00 Inledning
• 01.29 Mac OS- och IOS-uppdateringar
• 04.02 Felaktig rapportering om VLC
• 08.01 Farliga certifikat (veckans huvudämne)
• 24.16 Veckans lyssnarfråga
• 27.59 Avslutning

Omtalat i avsnittet

• Mac OS- och IOS-uppdateringar
• Felaktig rapportering om VLC Media Player
• VLC:s kritik av bugghanteringen och -rapporteringen
• ZDnets rapportering om Kazakstan
• ZDnets uppföljningsrapportering om Kazakstan
• BBC:s rapportering om händelserna i Kazakstan
• Lastpass Pocket-appen för Windows

Visa certifikatkedjan

Som normalanvändare finns det sällan anledning att inspektera hela certifikatkedjan, men för den nyfikne är det ändå lätt att göra. Det exakta tillvägagångssättet varierar något mellan olika operativsystem och webbläsare.

Om vi i Google Chrome vill se hur certifikatkedjan för en aktuell webbplats ser ut klickar vi på hänglåset och väljer Certifikat. I Windows växlar vi sedan till fliken Certifieringssökväg medan vi i Mac OS ser kedjan direkt. Vi kan exempelvis konstatera att certifikatet för SVT är utfärdat av Geotrust som i sin tur är betrodda tack vare Digicerts rotcertifikat.

Kontrollera fingeravtryck

Ifall vi, med anledning av Nikkas tips i podden, vill jämföra ett certifikats fingeravtryck gör vi det genom att växla till fliken Information och skrolla ned till Tumavtryck (Windows). I Mac OS visas fingeravtrycket längst ned när fliken Detaljer fälls ut (jämför Fingeravtryck SHA-1).

I dagsläget är SVT:s fingeravtryck (SHA-1) följande:
3ab15322a0ab3e64260c0ae0cd354c39f0ce863d.

Ifall din webbläsare visar samma fingeravtryck vet du att ingen MITM-attack (Man-in-the-Middle-attack) utförs mot ditt besök på SVT:s webbplats. Om din webbläsare däremot visar ett annat fingeravtryck beror det antingen på att SVT har uppdaterat sitt certifikat sedan denna artikel publicerades eller på att någon/något utför en MITM-attack. Det är med hög sannolikhet en helt legitim sådan, till exempel en företagsbrandvägg eller ett klientskydd (populärt kallat antivirusprogram). Skulle du inte finna någon rimlig förklaring kan du som vanligt be om råd i Säkerhetsbubblan.

Dessa shownotes finns också hos Bredband2 som podden produceras i samarbete med.

Detta poddavsnitt och tillhörande shownotes är publicerade under CC BY 4.0-licens med undantag för bilder där en annan fotograf är angiven.