Benne de Weger
Meer info
- Verbonden aan
- TU Eindhoven
- Bekend van
- Botsende X.509-certificaten, de rogue CA van 2008
Nederlandse wiskundige die liet zien dat een MD5-botsing geen curiositeit was, maar een manier om zelf certificaatautoriteit te worden.
Aan de TU Eindhoven werkte De Weger samen met Arjen Lenstra en de toenmalige promovendus Marc Stevens. In 2007 presenteerden de drie de eerste chosen-prefix collision voor MD5 en bouwden daarmee twee X.509-certificaten met verschillende namen maar dezelfde handtekening.
In december 2008 gingen ze op het 25C3 in Berlijn nog een stap verder, samen met Alexander Sotirov, Jacob Appelbaum en anderen. Met een cluster van zo'n 200 PlayStation 3's verkregen ze een certificaat dat RapidSSL als gewoon websitecertificaat ondertekende, terwijl de botsende tweeling een geldig CA-certificaat was. Binnen enkele weken stopten certificaatautoriteiten met MD5; dat daar een demonstratie voor nodig was en geen vier jaar aan waarschuwingen, zegt iets over de branche.