Het systeem, waarmee ssl-certificaten voor overheidsdiensten als DigiD en de belastingdienst worden gemaakt, is gekraakt. Dat blijkt uit een rapport van beveiligingsbedrijf Fox-IT. Het is onduidelijk of DigiD-inloggegevens zijn gestolen.

Het is niet onmogelijk dat hackers de inloggegevens van Nederlanders bij DigiD hebben buitgemaakt, schrijft het ministerie van Binnenlandse Zaken. Het systeem waarmee ssl-certificaten voor onder meer DigiD, de Rijksdienst voor het Wegverkeer en de Belastingdienst worden gemaakt, blijkt te zijn gekraakt door hackers. Dat blijkt uit het rapport dat beveiligingsbedrijf Fox-IT schreef over de hack bij ssl-autoriteit DigiNotar.

De Rijksoverheid lijkt vooralsnog de kans dat er valse certificaten voor de overheidsdiensten zijn misbruikt, niet groot te achten, maar waarschuwt mensen wel: "Er valt niet voor de volle honderd procent uit te sluiten dat u als gebruiker geen risico loopt als gevolg van frauduleuze certificaten. Zo kunnen aanvallers u herleiden naar een
malafide website en daarmee uw inloggegevens, zoals gebruikersnaam en wachtwoord, in handen krijgen. Hiermee kunnen zij toegang krijgen tot uw account. Daarnaast kunt u als gebruiker in de veronderstelling zijn dat u te maken heeft met een betrouwbare website. Als u dan bijvoorbeeld software wilt downloaden, kan dat
kwaadaardige software zijn zonder dat u het weet."

Totaan vrijdag ging de overheid ervan uit dat het systeem waarmee DigiNotar ssl-certificaten die voor de overheid uitgeeft, niet zijn gekraakt. Toen bleek dat er mogelijk ook valse ssl-certificaten voor overheidsdiensten zijn gegenereerd, zegde minister Donner per direct het vertrouwen in het Beverwijkse ssl-bedrijf op. Browsers zullen vanaf binnenkort foutmeldingen geven als websites een ssl-certificaat van DigiNotar gebruiken.

De overheid adviseert niet door te gaan als de brower een foutmelding geeft. Dat advies is echter niet waterdicht: browsers geven nu nog geen foutmelding, terwijl het gebruikte certificaat van DigiNotar is. Bovendien werken sommige mensen met browser die niet up-to-date zijn en dus helemaal geen melding zullen geven.

DigiD raadt zelf gebruikers af van het systeem gebruik te maken.

Bron: Tweakers.net 3 september 2011