Door Anoniem: Een van de dingen die een site (zeker een high-value) site kan doen is het monitoren van SSL issuance . Absoluut. Maar ik verwacht niet dat elke webshop dit doet. Daarnaast doen organisaties er verstandig aan om hun DNS records direct bij de bron te monitoren en alarm te slaan bij wijzigingen (dit is vermoedelijk eenvoudiger in te richten). Helaas heeft dat geen zin bij gerichte aanvallen waarbij alleen de certificaatuitgever op hun DNS request tijdens de uitgifte van een DV-certificaat een vervalst antwoord krijgt (bijv. door een gerichte DNS spoofing of BGP hijack aanval tussen DNS registrar en de certificaatverstrekker). Het probleem is dat DV-certificaten net zo onbetrouwbaar zijn als DNS. Met als gevolg dat de authenticiteitgarantie die webservercertificaten zouden kunnen bieden, ernstig ondermijnd wordt - en daarmee de veiligheid van geheel internet. M.i. zouden DV-certificaten geheel niet moeten bestaan of webbrowsers zouden aan gebruikers kenbaar moeten maken dat het, vanwege een ...