Der Herr Comodohacker alias Ichsun behauptet, dass er GlobalSign und noch drei weitere CAs gehackt hat (Zitat). Wenn das stimmt, ist das möglicherweise der Anfang vom Ende von aktuell genutzten PKI-Strukturen. Das betrifft dann Homebanking genauso wie jede Menge elektronische Geschäftsanwendungen und staatliche Projekte.
Klassischer “Single Point of Failure”.
Ich hätte zudem erwartet, dass eine CA wie DigiNotar seine Systeme besser sichert, als das der Fall war. Die Zertifikate lagen wohl auf ungepatchten Windows-Systemen ohne Virenschutz, die Domäne war mit bruteforcebarem Passwort gesichert. Zudem konnte Herr Comodohacker anschließend die Logfiles löschen, wie es eben Hackertradition ist. Jetzt weiß man hat nicht so ganz genau, was er alles getrieben hat. Irgendwie kann ich kaum glauben, dass das alles wahr ist.
Dank des DigiNotar-Debakels fällt nun so manchem auf, dass SSL/TLS am seidenen Faden einiger recht willkürlich gewählter CAs hängt. *Irgendjemand* war offenbar in der Lage, sich selbst für Domains u.a. von Twitter, Google, Mossad, CIA, MI6 aber auch so netten Dingen wie windowsupdate.com zu erstellen. Letzteres ist besonders delikat, wenn man das Codesigning noch hinbekommt.