Gogo, een aanbieder van inflight-internet in de Verenigde Staten, onderschept verbindingen naar Google met een vals ssl-certificaat. Waarschijnlijk gebeurt dit om streaming aan banden te leggen. Het is onbekend of dit altijd gebeurt en of ook andere websites worden getroffen.
Een medewerker van het beveiligingsteam van Google Chrome merkte het injecteren van het valse certificaat op, toen ze zelf vloog. Ze merkte op dat Gogo een eigen certificaat injecteerde met domeinnamen die eindigen op ‘.google.com’. Daardoor kunnen gebruikers er niet meer op vertrouwen dat ze een beveiligde, rechtstreekse verbinding met de servers van Google hebben, zonder dat Gogo meekijkt.
De Google-medewerker vermoedt dat het valse certificaat wordt geïnjecteerd om streaming in te perken; gebruikers kunnen vanaf play.google.com muziek en films streamen. “Maar er zijn betere manieren om dit te doen”, schrijft zij op Twitter.
Het is niet bekend of Gogo ook een eigen certificaat injecteert in verbindingen met andere sites die veel dataverkeer genereren door streaming, zoals YouTube en Spotify. Ook is niet bekend of Gogo altijd verkeer onderschept, of bijvoorbeeld enkel wanneer de snelheid van de verbinding in het geding komt door streamende gebruikers. Gogo heeft nog niet op de aantijgingen gereageerd.
Het gebeurt vaker dat valse certificaten worden uitgegeven. Technisch kan dat, als een certificaatautoriteit kan worden gevonden die daar aan mee wil werken: er bestaan geen technische maatregelen om het uitgeven van certificaten voor andermans domeinnamen te voorkomen. Wel wordt de impact onder meer beperkt door certificate pinning in Google Chrome: in die browser is vastgelegd welke certificaatautoriteiten certificaten mogen uitgeven voor verschillende domeinnamen, waaronder die van Google. Geeft een andere certificaatautoriteit een certificaat voor Google uit, dan slaat de browser alarm, wat in dit geval ook is gebeurd.
hey @Gogo, why are you issuing *.google.com certificates on your planes? pic.twitter.com/UmpIQ2pDaU
— Adrienne Porter Felt (@__apf__) January 2, 2015