Firefox en Tor-browser kwetsbaar voor man-in-the-middle aanval

Vorige week kwam een lek aan het licht in Firefox die ervoor zorgt dat cybercriminelen een man-in-the-middle aanval kunnen uitvoeren. Aangezien Tor is gebaseerd op Firefox lopen eveneens gebruikers van deze browser gevaar. Een update voor het probleem werd voor de Tor-browser al uitgerold. Voor Firefox wordt er op 20 september een patch verwacht.

Het lek is ontstaan doordat certificaatpinning voor het domein addons.mozilla.org niet langer werkt. Hierdoor kunnen hackers gebruik maken van valse certificaten, waarna ze zich kunnen voordoen als Mozilla-servers en een kwaadaardige update kan worden uitgerold naar extensies zoals NoScript.

Het vervalste certificaat zal wel nog steeds moeten worden uitgegeven door één van de honderden betrouwbare certificaatautoriteiten. Het is gelukkig niet eenvoudig om één van hen voor de gek te houden of hun servers te hacken. De meeste cybercriminelen zullen dan ook niet in staat zijn het lek te kunnen misbruiken.

De Tor-browser staat echter bekend om eveneens bescherming te bieden tegen nieuwsgierige ogen van overheden. Dergelijke instanties hebben wel de middelen om een certificaatautoriteit te hacken om aan een vals certificaat te geraken. Indien je het lek in de browsers niet hebt gedicht, kunnen overheidsinstanties dan ook op je computer binnendringen.