Een CA uit India, de Indian Controller of Certifying Authorities (India CCA), lijkt een tweede Diginotar te zijn geworden, omdat hackers zich toegang verschaften tot de servers van de autoriteit en zo SSL-certificaten kon vervalsen. Google ontdekte de vervalste certificaten voor zijn subdomeinen. Het ging om subdomeinen van Google en Yahoo.

De India CCA-certificaten waren ook toegevoegd aan de Microsoft Root Store, waardoor Windows-applicaties een malafide SSL-verbinding als authentiek kunnen herkennen. De Certificate Trust List (CTL) wordt nu via Windows Update bijgewerkt om 45 SSL-certificaten in te trekken, zo meldt Microsoft in een advisory. De update geldt voor alle nog ondersteunde versies van Windows.

Omvang onbekend

De gehackte CA liet eerder deze week weten dat er bij de inbraak vier certificaten zijn ontvreemd. Maar Google heeft ook vervalste certificaten gezien waar India CCA geen gewag van maakt en concludeert dat de precieze omvang van de hack niet bekend is bij de certificaatautoriteit.