Nieuw SSL certificaat maakt surfen veiliger
Om het door phishing scams aangetaste consumentenvertrouwen in online zaken doen te herstellen is er een nieuw SSL certificaat ontwikkeld. Via het Extended Validation SSL (EV SSL) certificaat kunnen bedrijven tegenover hun klanten bewijzen dat ze zijn wie ze zeggen dat ze zijn. EV SSL certificaten zijn een jaar in ontwikkeling geweest en zijn sinds vorige maand beschikbaar.
Hoewel de meeste mensen weten dat ze naar het "slotje" op de website moeten zoeken, iets wat ook nog vaak vergeten wordt, blijkt het nog altijd lastig te zijn om een legitieme website te onderscheiden. Daarom moesten er twee problemen worden opgelost. Ten eerste moest er een nieuw SSL certificaat komen om de identiteit van de eigenaar te identificeren, en als tweede moest er een browser interface komen om de identiteit van de website te tonen.
Om ervoor te zorgen dat alleen legitieme bedrijven een aanvraag voor een EV SSL certificaat doen en krijgen, kijkt men naar drie onderdelen, te weten bedrijf, domein en aanvrager. De uitgevende instantie zal dan in het betreffende land onderzoeken of het om een geregistreerd bedrijf gaat, of het bedrijf in kwestie zeggenschap over het domein heeft en of de persoon die het verzoek doet wel bij het bedrijf werkt.
Een van de problemen met het nieuwe certificaat is dat alleen Internet Explorer 7 ze herkent en dat het lastig is voor eenmansbedrijven en kleine instanties om ze aan te vragen. (CW)
momenteel voor heel veel geld certificaten doen, ook checken
of een aanvrager daadwerkelijk correcte gegevens opgeeft. En
als een browser-beheerder er achter komt dat een instantie
die SSL certificaten uitgeeft, niet geheel betrouwbaar is -
dan knikker je die bij de eerst volgende browser-update
gewoon uit je lijst van betrouwbare SSL root-certificaten.
Dit klinkt als een nieuwe manier om voor veel geld lucht te
verkopen: geef mensen het idee dat huidige SSL certificaten
en oude browsers onveilig zijn door onzekerheid en
angstgevoelens te zaaien en vervolgens rent iedereen om een
nieuw certificaat en een nieuwe browser aan te schaffen
zodat ze ook een mooi groen balkje krijgen. Of het
daadwerkelijk echte veiligheid toevoegd is nog maar de vraag...
zouden moeten doen. De markt is verpest door "instant" CA's
die alleen maar de ownership van een domein testen, en een
linkje bevatten naar een Choicepoint website of zo. Het
vertrouwen in certificaten is zoek.
Het vertrouwen in certificaten is zoek.
En het zou me verbazen als de wat meer ervaren computeraars er ondertussen nog vertrouwen in hebben:[list]
[*]Eerst is ze verteld dat alles in orde is als het slotje wordt getoond
[*]Daarna is ze verteld dat helaas de URL in de bovenbalk op meerdere manieren gespoofed kan worden, en er bovendien plaatjes over het slotje getekend kunnen worden, dus dat je wel het certificaat moet controleren; klopt er iets niet dan moet je meteen de verbinding verbreken! Oh ja, en niet zomaar op plaatjes klikken, dat kan andere gevolgen hebben.
[*]Daarna bleken bedrijven wel erg gemakkelijk certificaten aan hufters uit te delen, zelfs Verisign gaf Microsoft certificaten mee aan een crimineel die zich voor Microsoft medewerkt uitgaf, zie o.a. http://www.security.nl/article/1919/1/Column%3A_Het_is_verdorie_ook_niet_te_geloven.html.
[*]Daarna bleek SSLv2 gewoon lek by design maar verschillende sites waaronder banken bleven het gewoon gebruiken, zie http://www.security.nl/article/11088/1/Internetbankieren_onvoldoende_beveiligd.html en zie mijn reacties over de Postbank en Rabobank in http://www.security.nl/article/12567/1/Encryptie_te_duur_en_lastig_voor_meeste_bedrijven.html
[*]Ook bleken er voortdurend lekken in SSL implementaties te zitten, zowel MSIE, Firefox als OpenSSL bleken defect
[*]Ten slotte is het heel belangrijk dat alles klopt op een certificaat, waaronder dat het niet verlopen mag zijn. Maar dat geldt ineens weer niet voor Authenticode; als je op een verse installatie van XP WindowsUpdate draait moet je voor de grap eens de geldigheidsdatum van de ActiveX plugin checken die je dan moet installeren. Zie mijn (anonieme doch van naam voorziene) bijdrage onderaan http://www.security.nl/article/12290/1/Windows_geldigheid_test_werkt_nu_ook_in_Firefox.html, en zie ook: http://www.thawte.com/ssl-digital-certificates/technical-support/code/:
Code Signing Certificates are valid for 1 or 2 years depending on which life cycle you choose when you purchase the certificate.Click here for pricing information. Please note: For Microsoft Authenticode, you should also timestamp your signed code to avoid your code expiring when your certificate expires.
Is timestamped code valid after a Code Signing Certificate expires?
Microsoft Authenticode allows you to timestamp your signed code. Timestamping ensures that code will not expire when the certificate expires because the browser validates the timestamp. The timestamping service is provided courtesy of VeriSign. If you use the timestamping service when signing code, a hash of your code is sent to VeriSign’s server to record a timestamp for your code. A user’s software can distinguish between code signed with an expired certificate that should not be trusted and code that was signed with a Certificate that was valid at the time the code was signed but which has subsequently expired.
[/list]
En nu komt er iets dat wel goed werkt en het consumentenvertrouwen zal terugwinnen? Droom verder.
Edit: layout verbeterd
bekende "slotje" maar dubbelklikken erop leverde geen informatie op over
het certificaat of wie deze had uitgegeven. Ik heb daarop de transactie voortijdig beëindigd. Het was niet te zeggen of de website legitiem was of vals (dat mogen ze zelf maar uitzoeken).
Ik kan me goed voorstellen dat er ook zoiets als een
schijn-veiligheidsgevoel ontstaat.
Sterker nog Erik. Ik heb eens een website gezien (jouw punt
1) met het
bekende "slotje" maar dubbelklikken erop leverde
geen informatie op over
het certificaat of wie deze had uitgegeven. Ik heb daarop de
transactie voortijdig beëindigd. Het was niet te zeggen of
de website legitiem was of vals (dat mogen ze zelf maar
uitzoeken).
Ik kan me goed voorstellen dat er ook zoiets als een
schijn-veiligheidsgevoel ontstaat.
wel slotje maar geen info... denk toch echt dat dat een bug
in je browser was..
of zat je weer eens met lynx op een flash site te browsen?
De uitgevende instantie zal dan in het betreffende land
onderzoeken of het om een geregistreerd bedrijf gaat, of het
bedrijf in kwestie zeggenschap over het domein heeft en of
de persoon die het verzoek doet wel bij het bedrijf werkt.
euh... doen we al jaren bij de uitgifte van VeriSign SSL
certificaten (zowel de secure server ID's en de global
server ID's). Als er eentje niet klopt, krijgt de klant geen
VeriSign certificaat... Dus dit is pure geldklopperij.
euh... doen we al jaren bij de uitgifte van VeriSign SSL certificaten (zowel de secure server ID's en de global server ID's). Als er eentje niet klopt, krijgt de klant geen VeriSign certificaat... Dus dit is pure geldklopperij.
$ 500,- voor 1 certificaat is een beetje aan de hoge kant :(
euh... doen we al jaren bij de uitgifte van VeriSign SSL
certificaten (zowel de secure server ID's en de global
server ID's). Als er eentje niet klopt, krijgt de klant geen
VeriSign certificaat... Dus dit is pure
geldklopperij.
Verisign nooit een certificaat (code signing in dit geval)
aan een niet bestaand bedrijf met de naam
[url=http://www.benedelman.org/news/020305-1.html]CLICK YES
TO CONTINUE[/url] zou verstrekken?
nieuwe verificatie) methodes (bedrijf, domein en aanvrager)
zeggen helemaal niets over de intenties/werkwijze van een
bedrijf. Alleen dat het bedrijf zou moeten bestaan en dus te
traceren is.
Als dus blijkt dat het uitgifte proces gefaald heeft, dan
moet je daar VeriSign op aan kunnen spreken. Ik weet dat ze
voor SSL certificaten garanties afgeven van tien duizenden
dollars. Mocht je door een fout van VeriSign financieel
schade oplopen, dan kan je daar aanspraak op maken.
Het zou beter zijn als er voor die 'nieuwe' certificaten
meer zaken geverifieerd moet worden dan alleen de drie
eerder genoemde parameters.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
