Een omstreden securitybedrijf uit de Verenigde Arabische Emiraten wil een eigen rootcertificaat in Firefox, tot grote zorgen van de Amerikaanse burgerrechtenbeweging EFF. Het rootcertificaatprogramma van Mozilla bepaalt welke tls-certificaten binnen Firefox worden vertrouwd.

Het bedrijf DarkMatter wil nu ook aan dit programma worden toegevoegd. “DarkMatter heeft een zakelijk belang in het omzeilen van encryptie en zou al het onderschepte https-verkeer kunnen ontsleutelen. Https moet je privécommunicatie tegen spionerende overheden beschermen, en als overheden willen spioneren, schakelen ze DarkMatter in om hun vuile werk te doen”, aldus de EFF.

De organisatie waarschuwt dat als het bedrijf wordt toegevoegd, het tls-certificaten voor allerlei domeinen kan uitgeven die vervolgens voor man-in-the-middle-aanvallen zijn te gebruiken. DarkMatter werd onlangs genoemd in een bericht van persbureau Reuters over cybersurveillance in de Verenigde Arabische Emiraten. Eerder besteedde The Intercept al aandacht aan het bedrijf en de massasurveillance waar het zich mee zou bezighouden.

Een jaar geleden diende DarkMatter een verzoek in om aan het rootcertificaatprogramma van Mozilla te worden toegevoegd. Onlangs is ook de publieke discussie over het toevoegen van het bedrijf begonnen. De EFF stelt dat het proces om te worden toegevoegd vooral technisch en bureaucratisch is en DarkMatter hier waarschijnlijk aan zal voldoen. “Maar de standaarden houden geen rekening met de geschiedenis van een organisatie om encryptie te kraken of de belangenverstrengeling”, zo waarschuwt de Amerikaanse burgerrechtenbeweging.

DarkMatter beschikt op dit moment al over een “intermediate” certificaat van een ander bedrijf genaamd QuoVadis, dat eigendom van DigiCert is. Met een intermediate certificaat kan DarkMatter voor willekeurige domeinen tls-certificaten uitgeven. Het toezicht vindt echter plaats door DigiCert, waardoor de schade beperkt blijft, aldus de EFF. Toch vraagt de organisatie aan Mozilla om het intermediate certificaat van DarkMatter in te trekken.

De EFF is verder bang dat als DarkMatter wordt toegevoegd, andere omstreden securitybedrijven zullen volgen. Op Mozillas security policy mailinglist ontkent DarkMatter de aantijgingen en stelt dat het zich alleen richt op defensieve cybersecurity, het beveiligen van communicatie en “digitale transformatie”. Onlangs publiceerde Mozilla nog een blogposting waarin het stelt dat het rootcertificaatprogramma wordt beheerd op een manier die de waarden van de browserontwikkelaar weerspiegelt.