Alexander Sotirov
Meer info
- Bekend van
- Heap Feng Shui, de malafide CA gebouwd op een MD5-botsing
De exploitonderzoeker achter Heap Feng Shui en de malafide certificaatautoriteit die uit een MD5-botsing werd getoverd.
In 2007 presenteerde Sotirov Heap Feng Shui: een manier om met JavaScript de heap van Internet Explorer zo nauwkeurig in te richten dat een anders onbetrouwbare geheugenfout telkens weer te misbruiken was. Een jaar later liet hij samen met Mark Dowd zien hoe de exploitbeveiligingen van de browser één voor één te omzeilen waren.
In december 2008 stond hij op het Chaos Communication Congress naast Marc Stevens, Arjen Lenstra en anderen. Het team had met zo'n 200 PlayStation 3's een MD5-botsing berekend en daarmee een tussenliggend CA-certificaat gemaakt dat elke browser vertrouwde. Certificaatautoriteiten lieten MD5 vrijwel meteen vallen — de demo bereikte wat tien jaar waarschuwen niet had gedaan.