Door Erik van Straten: Door Anoniem: Door Anoniem: Overigens goed om te vermelden, daadwerkelijke DigiD authenticatie gebeurt op digid.nl, niet op de website van de aansluithouder. Communicatie is op basis van SAML 2.0. Fijn. Maar bij Cloudflare is er op dit moment een tweede server met een https servercertificaat dat geldig is voor zowel: • mijnkeizerkliniek.nl • *.mijnkeizerkliniek.nl waarbij www.mijnkeizerkliniek.nl resolvt naar die server. Ik weet (nog) te weinig van SAML 2.0 maar als iemand met toegang tot de CloudFlare infrastructuur kwaad wil en https://www.mijnkeizerkliniek.nl (188.114.97.0) niet doorstuurt naar https://mijnkeizerkliniek.nl (84.241.179.155) maar als reverse proxy naar die site werkt, dan weet ik niet of DigiD je na inloggen terugstuurt naar waar je vandaan kwam, www.mijnkeizerkliniek.nl (en de aanvaller kan wat jij kan), of jou doorstuurt naar de bedoelde "echte" site mijnkeizerkliniek.nl. Na een hack van het DNS record van mijnkeizerkliniek.nl (of een BGP-hijack) kunnen ook ...