Verisign tunnusti tietovarkaudet

VeriSign tunnusti tunkeutumiset vasta viime lokakuussa arvopaperikomitealle SEC:lle jätetyssä raportissa. Julkisuuteen ne nousivat Reutersin tehdessä juttua uusista määräyksistä, jotka velvoittavat ilmoittamaan tietoturvan pettämisestä. Asiasta uutisoi muun muassa Computerworld.

VeriSign on yhdysvaltalainen yritys, joka ylläpitää monipuolista verkkoinfrastruktuuria. Sen hoidossa on kaksi kolmestatoista nimipalvelimesta. Sen vastuulla on myös ylätason .com- ja .net-tunnuksia. Se vastaa myös monista digitaalisista sertifikaateista.

SEC:n (U.S. Securities and Exchange Commission) raportissa VeriSign myöntää, että hyökkääjät olivat vieneet dataa pienestä osasta yhtiön tietokoneita ja palvelimia. Raportti kertoo myös, että yhtiön korkeimmalle johdolle ei kerrottu tietovarkauksista ennen kuin syyskuussa 2011.

VeriSignin antamat tiedot ja vakuuttelut ovat hyvin epämääräisiä. Se sanoo, ettei yhtiön tietoon ole tullut tapauksia, joissa siepattua tietoa olisi käytetty. Samalla se kuitenkin sanoo, että tietoa on voitu käyttää tai sitä voidaan käyttää tulevaisuudessa.

Ennen elokuuta 2010 VeriSign oli maailman suurin ssl-sertifikaattien myöntäjä. Siinä vaiheessa sertifiointibisnes siirtyi Symantecille 1,2 miljardin dollarin kaupassa. Kauppaan kuului myös ssl-sertifikaattien luominen.

Symantec, joka alkoi jakaa VeriSignin nimissä sertifikaatteja viime vuoden puolivälissä, kiistää tietoturvaloukkaukset omalla vahtivuorollaan. Ssl-sertifikaateilla todistetaan palvelun toimittajan identiteetti ja aitous. Varastettuja sertifikaatteja voitaisiin käyttää valepalvelimen aitouden vakuuttamiseen. Niiden avulla voidaan myös toteuttaa man-in-the-middle -hyökkäyksiä.