Google Chrome markeert phishingwebsites als veilig
Google Chrome deelt zijn ‘veilig’-label ook uit aan phishingwebsites, zo blijkt uit een onderzoek van WordFence. De browser kijkt slechts na of een website een geldig SSL-certificaat heeft, waarna het deze pagina’s als veilig markeert. Niet alle websites met een certificaat zijn echter onschuldig. Bovendien wijzigt Chrome zijn labels erg traag nadat een SSL-certificaat is ingetrokken.
SSL-certificaat
Google draagt webveiligheid hoog in het vaandel en gebruikt Chrome actief om gebruikers op hun online veiligheid te wijzen. Websites die hun gegevens niet versleutelen, krijgen de boodschap ‘niet veilig’ naast hun URL geschreven, terwijl webpagina’s met een geldig SSL-certificaat het veilig-label krijgen. Hierbij vertrouwt Google volledig op de correcte werking van uitgevers van SSL-certificaten, wat jammer genoeg een slecht idee blijkt te zijn.
Uitgevers van SSL-certificaten kijken na of een aanvrager de website waarvoor hij een certificaat vraagt daadwerkelijk bezit. Behalve nakijken of het domein van de aanvrager is, hoeven certificaatuitgevers geen andere controles uit te voeren. Dit wil echter niet zeggen dat zomaar iedereen een certificaat in handen krijgt. De meeste uitgevers geven geen certificaten aan mensen die duidelijk doen alsof ze een belangrijk bedrijf zijn, zoals Google, Apple of Microsoft.
LetsEncrypt
Een nieuwe uitgever, LetsEncrypt genaamd, houdt zich niet aan deze ongeschreven regel. Hierdoor duidt Chrome phishingwebsites aan als veilig, terwijl de pagina’s persoonlijke gegevens van hun bezoekers stelen. LetsEncrypt heeft een nobel doel; het bedrijf wil dat iedereen gratis SSL kan gebruiken om zijn data te encrypteren. Om dit doel te bereiken, krijgt de certificaatuitgever de steun van verschillende belangrijke bedrijven, zoals Cisco, Facebook en ironisch genoeg Chrome zelf. In zijn enthousiasme om iedereen gratis SSL-certificaten te geven, vertrouwt letsEncrypt jammer genoeg de verkeerde mensen.
Phishing
In zijn onderzoek toont WordFence een website die zich voordoet als de Google Play Store en als veilig wordt bestempeld. De eigenaars van de website proberen je te verwarren, zodat je je Google-logingegevens opgeeft. Eenmaal je dat hebt gedaan, kunnen ze je account misbruiken voor allerhande kattenkwaad.
WordFence toont in zijn onderzoek eveneens aan dat Chrome websites waarvan het certificaat is ingetrokken niet onmiddellijk als onveilig bestempelt. Certificaatuitgevers trekken hun certificaten weer in wanneer ze merken dat ze met cybercriminelen te maken hebben. Jammer genoeg kijkt Chrome niet in real-time na of een SSL-certificaat nog geldig is, waardoor verschillende pagina’s lange tijd nadat hun certificaat werd herroepen als veilig geklasseerd worden.
“Ondanks het feit dat het Safe Browsing-project van Google goed werk levert, kunnen Chrome-gebruikers niet volledig op de dienst vertrouwen om zichzelf te beschermen tegen kwaadaardige websites,” schrijft WordFence in zijn blogpost. “De beste manier om jezelf te beschermen, is in dit geval door de volledige websitenaam te lezen in de adresbalk. Sluit het venster onmiddellijk, indien je de naam niet herkent, of wanneer er vreemde dingen aan het einde staan.”
