Ingezonden: Phishing in de bankwereld
Bank of Ireland heeft vorige week besloten om slachtoffers van phishing schadeloos te stellen. Men verwachtte blijkbaar dat de rechtszaak de slachtoffers gingen aanspannen anders ook wel tot schadeloosstelling zou leiden. De vergoeding bedroeg 130.000 euro. Op zich niet een astronomisch bedrag, maar voor een enkele phishing actie met een beperkt aantal slachtoffers is het ook niet niks. Stel je voor dat duizend klanten ieder voor 10.000 euro worden opgelicht…
Door Christine Karman, oprichter en CEO van Izecom.
Phishing is in de eerste plaats te bestrijden met goede voorlichting. Klanten van een bank zouden niet zomaar hun wachtwoord en financiële gegevens moeten prijsgeven als ze via een link in een mailtje op een site komen. Maar er zijn ook eenvoudige technische maatregelen mogelijk.
Phishing is zo gemakkelijk omdat email zo simpel te vervalsen is. Email is niet uitgevonden om vertrouwelijke zaken te bespreken, email is lang geleden uitgevonden toen het internet nog academisch en “ons kent ons” was. Het vervalsen van de “from” en “sender” adressen is gemakkelijker dan het vervalsen van de afzender op een gewone envelop.
Een bank kan echter zeer eenvoudig maatregelen nemen. Een email die digitaal is ondertekend kan waterdicht op authenticiteit worden gecontroleerd. Een email die digitaal is ondertekend door een bank komt ook echt bij die bank vandaan. “Digitaal ondertekenen” betekent in dit geval natuurlijk “digitaal ondertekenen met een betrouwbaar certificaat”. Banken moeten hun email digitaal ondertekenen, daar is geen twijfel over mogelijk.
Als een bank vervolgens hun klanten via website en een persoonlijke brief laten weten dat alle email digitaal is ondertekend, en als ze uitleggen hoe een klant dat eenvoudig verifieert, dan heeft men al het mogelijke gedaan om phishing te voorkomen. Mocht een klant dan toch nog slachtoffer worden van phishing, dan zal een rechter niet gauw zeggen dat de bank verantwoordelijk is.
De kosten-baten analyse is kort. Het installeren van een appliance die automatisch alle uitgaande email ondertekent kost minder dan het bedrag dat Bank of Ireland nu heeft uitgekeerd. Dat wil zeggen, een enkele phishing aanval kost meer dan de tegenmaatregel zou hebben gekost. Dat maakt het tamelijk onbegrijpelijk waarom banken hun email nog niet beter beveiligen.
Reacties (41)
Ja en wat heeft dit met security te maken ?"
Chris, indien je certificaten wilt verkopen kan je beter achteraan sluiten.
Hoeveel Nederlandstalige banken denk jij te bereiken met je berichtje hier,
denk je niet dat er geen bank te vinden is die geen eigen root-ca heeft?
Hoeveel Nederlandse banken mailen met hun klanten ?
Hoeveel keren is er misbruik gemaakt met phising bij Nederlandse
klanten?
In hoeverre is de wetgeving in Ierland gelijk met die van Nederland?
Ik hoop dat de redactie zich kritischer opgaat stellen mbt ingezonden
stukjes, want anders krijgen we alleen nog maar artikelen met hoog anti-
virus-fabrikant-FUD nivo.
De afgelopen tijd is het nivo al bedenkelijk laag (overschrijven stukjes die
al een paar dagen oud zijn).
Chris, indien je certificaten wilt verkopen kan je beter achteraan sluiten.
Hoeveel Nederlandstalige banken denk jij te bereiken met je berichtje hier,
denk je niet dat er geen bank te vinden is die geen eigen root-ca heeft?
Hoeveel Nederlandse banken mailen met hun klanten ?
Hoeveel keren is er misbruik gemaakt met phising bij Nederlandse
klanten?
In hoeverre is de wetgeving in Ierland gelijk met die van Nederland?
Ik hoop dat de redactie zich kritischer opgaat stellen mbt ingezonden
stukjes, want anders krijgen we alleen nog maar artikelen met hoog anti-
virus-fabrikant-FUD nivo.
De afgelopen tijd is het nivo al bedenkelijk laag (overschrijven stukjes die
al een paar dagen oud zijn).
"en als ze uitleggen hoe een klant dat eenvoudig verifieert"
Doe dat eens. Ik ben benieuwd.
Doe dat eens. Ik ben benieuwd.
Het kan wel helpen, maar het zal niet zaligmakend zijn. Mensen die zo dom
zijn om in phishing maisl te trappen zullen ook niet checken of een mail
gesigned is, als ze dat al zouden kunnen.
Mijn bank stuurt me nooit email, en heeft mijn email adres niet eens.
zijn om in phishing maisl te trappen zullen ook niet checken of een mail
gesigned is, als ze dat al zouden kunnen.
Mijn bank stuurt me nooit email, en heeft mijn email adres niet eens.
Leuk hoor, zo'n commercieel artikel.
Ik ben blij te horen dat security.nl zijn onafhankelijkheid verliest.
Niet dus !
Ik ben blij te horen dat security.nl zijn onafhankelijkheid verliest.
Niet dus !
12-09-2006, 17:39 door
dman
ik vind het een intressant artikel, alleen is de objectiviteit wel een beetje
zoek, de CEO van een firma die een appliance levert om email te
controleren heeft als conclusie in dit artikel;
De kosten-baten analyse is kort. Het installeren van een appliance die
automatisch alle uitgaande email ondertekent kost minder dan het bedrag
dat Bank of Ireland nu heeft uitgekeerd. Dat wil zeggen, een enkele
phishing aanval kost meer dan de tegenmaatregel zou hebben gekost. Dat
maakt het tamelijk onbegrijpelijk waarom banken hun email nog niet beter
beveiligen.
Alsof phising alleen door email mogelijk zou zijn.
zoek, de CEO van een firma die een appliance levert om email te
controleren heeft als conclusie in dit artikel;
De kosten-baten analyse is kort. Het installeren van een appliance die
automatisch alle uitgaande email ondertekent kost minder dan het bedrag
dat Bank of Ireland nu heeft uitgekeerd. Dat wil zeggen, een enkele
phishing aanval kost meer dan de tegenmaatregel zou hebben gekost. Dat
maakt het tamelijk onbegrijpelijk waarom banken hun email nog niet beter
beveiligen.
Alsof phising alleen door email mogelijk zou zijn.
Wel typisch dat een kritische reactie van mijn hand niet
geplaatst is.
Pas toen ik banner zag van izemail, snapte ik het.
Ik wens izemail veel succes om voet aan aarde te krijgen
binnen de financiële wereld.
geplaatst is.
Pas toen ik banner zag van izemail, snapte ik het.
Ik wens izemail veel succes om voet aan aarde te krijgen
binnen de financiële wereld.
12-09-2006, 23:45 door
revmoon
Yup, veel te kort door de bocht. Phishing is geen
technologisch probleem en heeft dus ook geen technologische
oplossing!
technologisch probleem en heeft dus ook geen technologische
oplossing!
13-09-2006, 00:34 door
X10
Mijn stelling was niet dat je phishing voorkomt door email te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die niet in de
phishing val moet trappen. Zoals een klant ook niet een pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is er daar één van.
stelling is dat je je als bank juridisch indekt als je je mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die niet in de
phishing val moet trappen. Zoals een klant ook niet een pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is er daar één van.
Mensen die in phishing mails trappen zijn niet altijd dom,
ze zijn onwetend.
Ik vraag me af hoe je mensen kunt leren om op signing te
letten. Signing werkt soms niet omdat er een e-mail scanner
voor staat die headers/footers toevoegd. Nog belangrijker is
dat de meest gebruikte mail clients signing niet standaard
ondersteunen. Je kunt niet van thuisgebruikers (dat is het
gros van de bankklanten) verwachten dat ze weten hoe ze dat
moeten installeren. Het kost vaak ook nog geld.
Net zo goed als dat je niet kan verwachten dat de klanten
bestaat uit mensen met kennis over phishing kun je evenmin
verwachten dat diezelfde mensen wel uit de voeten kunnen met
signing.
ze zijn onwetend.
Ik vraag me af hoe je mensen kunt leren om op signing te
letten. Signing werkt soms niet omdat er een e-mail scanner
voor staat die headers/footers toevoegd. Nog belangrijker is
dat de meest gebruikte mail clients signing niet standaard
ondersteunen. Je kunt niet van thuisgebruikers (dat is het
gros van de bankklanten) verwachten dat ze weten hoe ze dat
moeten installeren. Het kost vaak ook nog geld.
Net zo goed als dat je niet kan verwachten dat de klanten
bestaat uit mensen met kennis over phishing kun je evenmin
verwachten dat diezelfde mensen wel uit de voeten kunnen met
signing.
Door X10
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Kunnen we nu concluderen dat X10 == Christine Karman?
Weet je, het belangrijkste punt dat je niet aanpakt is
trust. Ik kan bij jullie zo een digitaal ID aanvragen,
zonder dat jullie controleren dat ik ben wie ik zeg dat ik
ben. Dat vernietigt het complete trust-model dat aan PKI hangt.
Daar kun je natuurlijk binnen een orgnaisatie maatregelen
tegen nemen, maar dan blijft de vraag in hoeverre ik kan
vertrouwen op re root CA van de telegraaf, zeker als die
root CA blijkbaar in een doosje zit. Of zijn er componenten
nodig die niet op het architectuurplaatje staan dat op de
site aanwezig is? Of is IZEmail dePKI? In dat geval vraag ik
me af hoe zaken als key backup, key recovery, key archiving
en certificate revocation geimplementeerd zijn.
Leuk hoor juridisch indekken, maar een bank is een
commerciele instelling. Als die zich enkel juridisch indekt
en verder de attitude heeft van "mijn klanten zoeken het
verder maar zelf uit, ik ben ingedekt" dan vertrekken die
klanten uiteindelijk massaal naar een andere bankinstelling.
Een gemiddelde bank heeft meer dan genoeg klanten die met
open ogen in phishing trappen. Bankpasfraude wordt veelal
ook vergoedt door de banken.
commerciele instelling. Als die zich enkel juridisch indekt
en verder de attitude heeft van "mijn klanten zoeken het
verder maar zelf uit, ik ben ingedekt" dan vertrekken die
klanten uiteindelijk massaal naar een andere bankinstelling.
Een gemiddelde bank heeft meer dan genoeg klanten die met
open ogen in phishing trappen. Bankpasfraude wordt veelal
ook vergoedt door de banken.
13-09-2006, 11:06 door
Herb,
Door Anoniem
Leuk hoor juridisch indekken, maar een bank is een
commerciele instelling. Als die zich enkel juridisch indekt
en verder de attitude heeft van "mijn klanten zoeken het
verder maar zelf uit, ik ben ingedekt" dan vertrekken die
klanten uiteindelijk massaal naar een andere bankinstelling.
Een gemiddelde bank heeft meer dan genoeg klanten die met
open ogen in phishing trappen. Bankpasfraude wordt veelal
ook vergoedt door de banken.
Leuk hoor juridisch indekken, maar een bank is een
commerciele instelling. Als die zich enkel juridisch indekt
en verder de attitude heeft van "mijn klanten zoeken het
verder maar zelf uit, ik ben ingedekt" dan vertrekken die
klanten uiteindelijk massaal naar een andere bankinstelling.
Een gemiddelde bank heeft meer dan genoeg klanten die met
open ogen in phishing trappen. Bankpasfraude wordt veelal
ook vergoedt door de banken.
you sir, are missing the point
en ook al is die zin fout, phishing verzekering voor banken en meer voorlichting voor klanten is een uitstekende combinatie
Dit is eigenlijk gewoon sluikreclame, je verwacht toch
betere filtering van de redactie.
betere filtering van de redactie.
Door X10
Mijn stelling was niet dat je phishing voorkomt door email te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die niet in de
phishing val moet trappen. Zoals een klant ook niet een pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is er daar één
van.
Maar was er niet een probleem met die digitale handtekening?Mijn stelling was niet dat je phishing voorkomt door email te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die niet in de
phishing val moet trappen. Zoals een klant ook niet een pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is er daar één
van.
Door Anoniem
Kunnen we nu concluderen dat X10 == Christine Karman?
Weet je, het belangrijkste punt dat je niet aanpakt is
trust. Ik kan bij jullie zo een digitaal ID aanvragen,
zonder dat jullie controleren dat ik ben wie ik zeg dat ik
ben. Dat vernietigt het complete trust-model dat aan PKI hangt.
Daar kun je natuurlijk binnen een orgnaisatie maatregelen
tegen nemen, maar dan blijft de vraag in hoeverre ik kan
vertrouwen op re root CA van de telegraaf, zeker als die
root CA blijkbaar in een doosje zit. Of zijn er componenten
nodig die niet op het architectuurplaatje staan dat op de
site aanwezig is? Of is IZEmail dePKI? In dat geval vraag ik
me af hoe zaken als key backup, key recovery, key archiving
en certificate revocation geimplementeerd zijn.
Door X10
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Kunnen we nu concluderen dat X10 == Christine Karman?
Weet je, het belangrijkste punt dat je niet aanpakt is
trust. Ik kan bij jullie zo een digitaal ID aanvragen,
zonder dat jullie controleren dat ik ben wie ik zeg dat ik
ben. Dat vernietigt het complete trust-model dat aan PKI hangt.
Daar kun je natuurlijk binnen een orgnaisatie maatregelen
tegen nemen, maar dan blijft de vraag in hoeverre ik kan
vertrouwen op re root CA van de telegraaf, zeker als die
root CA blijkbaar in een doosje zit. Of zijn er componenten
nodig die niet op het architectuurplaatje staan dat op de
site aanwezig is? Of is IZEmail dePKI? In dat geval vraag ik
me af hoe zaken als key backup, key recovery, key archiving
en certificate revocation geimplementeerd zijn.
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom zou het
systeem dan certificaten gebruiken?
Door Anoniem
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom
zou het
systeem dan certificaten gebruiken?
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom
zou het
systeem dan certificaten gebruiken?
Hoe wil jij anders keys distribueren? Hoe wil jij anders
controleren dat ik een bericht ondertekend heb?
En Izecom blijft verdacht stil.....
Door Anoniem
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom zou het
systeem dan certificaten gebruiken?
Door Anoniem
Kunnen we nu concluderen dat X10 == Christine Karman?
Weet je, het belangrijkste punt dat je niet aanpakt is
trust. Ik kan bij jullie zo een digitaal ID aanvragen,
zonder dat jullie controleren dat ik ben wie ik zeg dat ik
ben. Dat vernietigt het complete trust-model dat aan PKI hangt.
Daar kun je natuurlijk binnen een orgnaisatie maatregelen
tegen nemen, maar dan blijft de vraag in hoeverre ik kan
vertrouwen op re root CA van de telegraaf, zeker als die
root CA blijkbaar in een doosje zit. Of zijn er componenten
nodig die niet op het architectuurplaatje staan dat op de
site aanwezig is? Of is IZEmail dePKI? In dat geval vraag ik
me af hoe zaken als key backup, key recovery, key archiving
en certificate revocation geimplementeerd zijn.
Door X10
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Mijn stelling was niet dat je phishing voorkomt door email
te signen. Mijn
stelling is dat je je als bank juridisch indekt als je je
mail signt, en dat ook
breed bekend maakt. Dat laatste is dan een stap naar meer
bewustwording bij de klant. Uiteindelijk is het de klant die
niet in de
phishing val moet trappen. Zoals een klant ook niet een
pincode op een
bankpasje moet schrijven.
Als bank neem je allerlei maatregelen, en wat ik voorstel is
er daar één van.
Kunnen we nu concluderen dat X10 == Christine Karman?
Weet je, het belangrijkste punt dat je niet aanpakt is
trust. Ik kan bij jullie zo een digitaal ID aanvragen,
zonder dat jullie controleren dat ik ben wie ik zeg dat ik
ben. Dat vernietigt het complete trust-model dat aan PKI hangt.
Daar kun je natuurlijk binnen een orgnaisatie maatregelen
tegen nemen, maar dan blijft de vraag in hoeverre ik kan
vertrouwen op re root CA van de telegraaf, zeker als die
root CA blijkbaar in een doosje zit. Of zijn er componenten
nodig die niet op het architectuurplaatje staan dat op de
site aanwezig is? Of is IZEmail dePKI? In dat geval vraag ik
me af hoe zaken als key backup, key recovery, key archiving
en certificate revocation geimplementeerd zijn.
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom zou het
systeem dan certificaten gebruiken?
Kijk op xtien.livejournal.com en je weet het zeker.
Anyway, hoeveel banken zijn er in Nederland die formeel transacties per
mail afhandelen?
GEEN.
De overige correspondentie heeft een leuke vrijwaring/geheimhoudings
clausule.
Verder is het waarschijnlijker dat iemand die in phising email trapt, ook
gewoon trojans en andere malwar op ze pc heeft staan en daar doe je ook
MET een volwaardige PKI infrastructuur niets aan.
mail afhandelen?
GEEN.
De overige correspondentie heeft een leuke vrijwaring/geheimhoudings
clausule.
Verder is het waarschijnlijker dat iemand die in phising email trapt, ook
gewoon trojans en andere malwar op ze pc heeft staan en daar doe je ook
MET een volwaardige PKI infrastructuur niets aan.
Door revmoon
Yup, veel te kort door de bocht. Phishing is geen
technologisch probleem en heeft dus ook geen technologische
oplossing!
Yup, veel te kort door de bocht. Phishing is geen
technologisch probleem en heeft dus ook geen technologische
oplossing!
Dit is dus echt onzin! Technische oplossing lossen juist veelal
organisatorische probelemen op. Denk aan het efficienter maken van
bedrijfsprocessen.
Verder is het jammer dat de reacties vooral gaan over de onafhankelijkheid
van de schrijver en niet inhoudelijk reageren.
Over een aantal jaar heeft iedere individu een eigen uniek ID en bij het
aangaan van een relatie met bijvoorbeeld een bank wordt vertrouwelijk
gecommuniceerd op basis van asymmetrische encryptie zonder een extra
last voor de gebruiker.
13-09-2006, 14:51 door
X10
Door Anoniem
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom
zou het
systeem dan certificaten gebruiken?
Maar IZEMAIL gebruikt geen PKI zie reclame rechts...Waarom
zou het
systeem dan certificaten gebruiken?
Izemail gebruikt S/MIME en X.509 certificaten. Sommige
klanten hebben een eigen CA, sommige gebruiken Verisign of
Comodo, in de zorg gebruiken ze certificaten van Vecozo of
UZI, en veel klanten prefereren Izemail certifcaten. Die
hebben dezelfde identiteitscontrole als b.v. Verisign.
"No PKI required" betekent dat je niet van te voren een
volledige PKI hoeft in te richten. Izemail vraagt on the fly
certificaten voor je aan, als je dat wilt. Maar zelfs dan,
als alles automatisch gaat, vinden sommige bedrijven het nog
te ingewikkeld.
13-09-2006, 14:53 door
X10
Door Anoniem
Dit is eigenlijk gewoon sluikreclame, je verwacht toch
betere filtering van de redactie.
Er stond bij dat het een ingezonden stuk was. De redactieDit is eigenlijk gewoon sluikreclame, je verwacht toch
betere filtering van de redactie.
heeft zelf een tijd geleden een redactioneel stuk geplaatst
dat 100% reclame was voor PGP, onze concurrent. Daar kwam
geen protest tegen.
Bovendien is het stuk geen reclame, maar een pleidooi voor
het digitaal ondertekenen van email.
13-09-2006, 14:58 door
X10
Het valt me op dat al jullie reacties een beetje zuur zijn.
Door X10
Het valt me op dat al jullie reacties een beetje zuur zijn.
Een bedrijf dat oplossingen levert voor beveiliging van
email, daar moet je met z'n allen overheen vallen, vooral
als het een Nederlands bedrijf is.
Ik stel voor dat jullie allemaal lekker verder gaan met gpp
en gnupg en wat dies meer zij, dan kunnen mensen die gewoon
hun werk willen doen en die niet zo nodig hoeven te hobbyen
met keys en keyrings en handmatige key uitwisseling, iets
gebruiken dat ook echt werkt in de praktijk
Het valt me op dat al jullie reacties een beetje zuur zijn.
Een bedrijf dat oplossingen levert voor beveiliging van
email, daar moet je met z'n allen overheen vallen, vooral
als het een Nederlands bedrijf is.
Ik stel voor dat jullie allemaal lekker verder gaan met gpp
en gnupg en wat dies meer zij, dan kunnen mensen die gewoon
hun werk willen doen en die niet zo nodig hoeven te hobbyen
met keys en keyrings en handmatige key uitwisseling, iets
gebruiken dat ook echt werkt in de praktijk
beste Christine,
Ik wil je als PKI/crypto consultant er graag op wijzen dat
wat Izemail doet op geen enkele manier enige assurance
biedt, lijnrecht in gaat tegen alle trustprincipes die ten
grondslag liggen aan PKI en in het geval van encryptie zelfs
gevaarlijk is. Als je je key management niet op orde hebt,
dan moet je je zorgen maken over recovery van berichten en
unauthorised disclosure van key materiaal. Ik kan op geen
enkele manier concluderen dat jullie je key management wel
op orde hebben.
Ik snap dat jij niet graag ziet dat jouw bedrijf de grond in
getimmerd wordt, maar aan de andere kant vind ik wel dat je
er zelf om vraagt door de kinderachtige reactie die je geeft
(en op je eigen livejournal trouwens). Maar goed, dat is
niet aan mij.
13-09-2006, 16:47 door
X10
Beste PKI Consultant,
Je hebt helemaal gelijk. Wil je PKI goed op orde hebben dan
ben je er niet met het installeren van hier en daar een
certificaat. Dan moet, zoals je geheel terecht opmerkt, je
trust goed geregeld zijn.
Wij begeven ons niet in de eerste plaats op dat gebied. We
werken in de zorg met Izemail Gateway en Desktop, waarbij we
gebruik maken van twee bestaande PKI's. De ene is UZI, de
andere is de PKI van Vecozo, gebaseerd op een Verisign CA.
Vecozo doet een uitgebreide schriftelijke en telefonische
identiteitscontrole.
Izemail sluit aan bij beide PKI's door hun bestaande
certificaten te gebruiken voor encryptie en ondertekening.
Hetzelfde doen we in de advocatuur, waar we, waar mogelijk,
de certificaten van de Balienet PKI gebruiken. En weer
anders, bij Ricoh werken we met gekwalificeerde certificaten
die zijn uitgegeven door Pink Roccade.
Wat we in de praktijk zien is dat bedrijven erg opzien tegen
installatie van een gehele PKI. De keuze is dan soms "doen
we pki of doen we pgp". De meest praktische oplossing is dan
om wel pki technologie te gebruiken (s/mime, x.509) maar de
implementatie veel laagdrempeliger te maken. Dat is nog
altijd beter dan pgp, omdat daar helemaal geen trust
gedefinieerd is. Een voorbeeld.
Een middelgroot ziekenhuis in Kennemerland heeft een Izemail
Gateway, huisartsen hebben ook Izemail. Het ziekenhuis
gebruikt de Vecozo PKI. De Izemail Gateway is zo ingesteld
dat uitsluitend certificaten van de Vecozo- of UZI PKI
worden vertrouwd. Met een gewoon Verisign certificaat komt
je mail daar niet binnen.
Diverse huisartsen gebruiken Vecozo of UZI. Maar veel
huisartsen verzuimen of weigeren de rompslomp van een PKI.
In dat geval krijgen ze een Izemail certificaat, dwz een
X.509 certificaat onder de Izemail CA. Het ziekenhuis voert
een controle uit op de identiteit van de huisarts en het
certificaat, en registreert vervolgens dat die ene huisarts
dat ene certificaat heeft. Met andere woorden, het
ziekenhuis creeert z'n eigen trust.
En dan, zodra de zorg wat verder is gevorderd met het
invoeren van een nette PKI (de UZI), gaan die huisartsen
vanzelf over op UZI.
Onze business is het maken van software zodat het encrypten
en ondertekenen van email eenvoudiger wordt, begrijpelijk
niet alleen voor een IT'er maar ook voor een arts,
accountant of advocaat. We willen geen CA zijn. Maar het
blijkt dat je email encryptie en signing niet op gang krijgt
als iedereen eerst naar een CA moet om via een ingewikkelde
procedure een certificaat aan te vragen. De drempel is dan
te hoog. Dus implementeren wij Izemail, met certificaten die
de klant kiest.
Wel moet ik zeggen dat ieder certificaat nog altijd een
hoger trust niveau heeft als pgp. Bij pgp worden keys
helemaal niet gesigned, en niemand controleert keys.
En wat willen bedrijven in de praktijk? Die willen dat je
een mailtje encrypt en dat de ontvanger dat gewoon kan
openen zonder extra handelingen of wat dan ook, op magische
wijze. Vandaar dat klanten soms kiezen voor een
web-interface, helemaal zonder keys, alleen met wachtwoord,
omdat het anders zo lastig is. Moet ik dan tegen die klanten
zeggen "ik verkoop je niets want ik vind wat je wilt niet
veilig genoeg"? Nee, ik verkoop ze een oplossing die een
stuk veiliger is dan gewone plaintext email, met alle
standaard PKI functies vast ingebouwd, om die klant dan een
eerste stap te laten zetten op een weg naar echte veilige
email.
Diverse malen hebben wij gezien dat klanten het nut van een
pki niet inzien. Ze kiezen voor Izemail certificaten. Maar
na een paar maanden komen ze terug en zeggen ze "maar wat is
eigenlijk het trustniveau van die certificaten?" Dat is
gewoon een standaard email challenge. En dan implementeren
we een "zwaardere" PKI, in samenwerking met een van onze
partners/CA's. Dat kan Comodo zijn, maar ook Diginotar of
Getronics. Maar dan is het de klant zelf die daarvoor kiest,
en dan is er ook ineens wel budget om het allemaal volgens
de regelen der kunst te implementeren. En zijn we
uiteindelijk toch beland op het door jou aanbevolen niveau.
Niet in één keer, maar in een aantal stapjes.
Overigens, je kunt van onze site gratis de desktop software
downloaden, kijk maar hoe dat werkt met jouw PKI
certificaten. Je kunt je (public) certificaat uploaden naar
onze repository, zodat andere Izemail gebruikers automatisch
mail aan jou kunnen encrypten zonder jou eerst om je
certificaat te hoeven vragen. Izemail pikt ook certificaten
op uit de mail en bewaart ze in de standaard certificate store.
Je hebt helemaal gelijk. Wil je PKI goed op orde hebben dan
ben je er niet met het installeren van hier en daar een
certificaat. Dan moet, zoals je geheel terecht opmerkt, je
trust goed geregeld zijn.
Wij begeven ons niet in de eerste plaats op dat gebied. We
werken in de zorg met Izemail Gateway en Desktop, waarbij we
gebruik maken van twee bestaande PKI's. De ene is UZI, de
andere is de PKI van Vecozo, gebaseerd op een Verisign CA.
Vecozo doet een uitgebreide schriftelijke en telefonische
identiteitscontrole.
Izemail sluit aan bij beide PKI's door hun bestaande
certificaten te gebruiken voor encryptie en ondertekening.
Hetzelfde doen we in de advocatuur, waar we, waar mogelijk,
de certificaten van de Balienet PKI gebruiken. En weer
anders, bij Ricoh werken we met gekwalificeerde certificaten
die zijn uitgegeven door Pink Roccade.
Wat we in de praktijk zien is dat bedrijven erg opzien tegen
installatie van een gehele PKI. De keuze is dan soms "doen
we pki of doen we pgp". De meest praktische oplossing is dan
om wel pki technologie te gebruiken (s/mime, x.509) maar de
implementatie veel laagdrempeliger te maken. Dat is nog
altijd beter dan pgp, omdat daar helemaal geen trust
gedefinieerd is. Een voorbeeld.
Een middelgroot ziekenhuis in Kennemerland heeft een Izemail
Gateway, huisartsen hebben ook Izemail. Het ziekenhuis
gebruikt de Vecozo PKI. De Izemail Gateway is zo ingesteld
dat uitsluitend certificaten van de Vecozo- of UZI PKI
worden vertrouwd. Met een gewoon Verisign certificaat komt
je mail daar niet binnen.
Diverse huisartsen gebruiken Vecozo of UZI. Maar veel
huisartsen verzuimen of weigeren de rompslomp van een PKI.
In dat geval krijgen ze een Izemail certificaat, dwz een
X.509 certificaat onder de Izemail CA. Het ziekenhuis voert
een controle uit op de identiteit van de huisarts en het
certificaat, en registreert vervolgens dat die ene huisarts
dat ene certificaat heeft. Met andere woorden, het
ziekenhuis creeert z'n eigen trust.
En dan, zodra de zorg wat verder is gevorderd met het
invoeren van een nette PKI (de UZI), gaan die huisartsen
vanzelf over op UZI.
Onze business is het maken van software zodat het encrypten
en ondertekenen van email eenvoudiger wordt, begrijpelijk
niet alleen voor een IT'er maar ook voor een arts,
accountant of advocaat. We willen geen CA zijn. Maar het
blijkt dat je email encryptie en signing niet op gang krijgt
als iedereen eerst naar een CA moet om via een ingewikkelde
procedure een certificaat aan te vragen. De drempel is dan
te hoog. Dus implementeren wij Izemail, met certificaten die
de klant kiest.
Wel moet ik zeggen dat ieder certificaat nog altijd een
hoger trust niveau heeft als pgp. Bij pgp worden keys
helemaal niet gesigned, en niemand controleert keys.
En wat willen bedrijven in de praktijk? Die willen dat je
een mailtje encrypt en dat de ontvanger dat gewoon kan
openen zonder extra handelingen of wat dan ook, op magische
wijze. Vandaar dat klanten soms kiezen voor een
web-interface, helemaal zonder keys, alleen met wachtwoord,
omdat het anders zo lastig is. Moet ik dan tegen die klanten
zeggen "ik verkoop je niets want ik vind wat je wilt niet
veilig genoeg"? Nee, ik verkoop ze een oplossing die een
stuk veiliger is dan gewone plaintext email, met alle
standaard PKI functies vast ingebouwd, om die klant dan een
eerste stap te laten zetten op een weg naar echte veilige
email.
Diverse malen hebben wij gezien dat klanten het nut van een
pki niet inzien. Ze kiezen voor Izemail certificaten. Maar
na een paar maanden komen ze terug en zeggen ze "maar wat is
eigenlijk het trustniveau van die certificaten?" Dat is
gewoon een standaard email challenge. En dan implementeren
we een "zwaardere" PKI, in samenwerking met een van onze
partners/CA's. Dat kan Comodo zijn, maar ook Diginotar of
Getronics. Maar dan is het de klant zelf die daarvoor kiest,
en dan is er ook ineens wel budget om het allemaal volgens
de regelen der kunst te implementeren. En zijn we
uiteindelijk toch beland op het door jou aanbevolen niveau.
Niet in één keer, maar in een aantal stapjes.
Overigens, je kunt van onze site gratis de desktop software
downloaden, kijk maar hoe dat werkt met jouw PKI
certificaten. Je kunt je (public) certificaat uploaden naar
onze repository, zodat andere Izemail gebruikers automatisch
mail aan jou kunnen encrypten zonder jou eerst om je
certificaat te hoeven vragen. Izemail pikt ook certificaten
op uit de mail en bewaart ze in de standaard certificate store.
In de laatste reactie staan zoveel fouten en onwaarheden, dat ik de indruk
krijg dat dit proza het werk is van een snake oil blogger die meent dat pki
snake oil is.
Waarom zouden bedrijven opzien tegen een installatie van een gehele PKI.
Zij kunnen hooguit onderdeel worden van de 'public key infrastructuur'.
Ergo er zijn geen meerdere PKI's er is er maar één! Zucht.
krijg dat dit proza het werk is van een snake oil blogger die meent dat pki
snake oil is.
Waarom zouden bedrijven opzien tegen een installatie van een gehele PKI.
Zij kunnen hooguit onderdeel worden van de 'public key infrastructuur'.
Ergo er zijn geen meerdere PKI's er is er maar één! Zucht.
Wat begrijp ik niet?
PKI is toch een afkorting van public key infrastructure?
Er is toch maar één publieke infrastructuur?
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Waarom bedrijven opzien tegen het installeren van een gehele
PKI?
Afgezien daarvan wat is dan een halve of een kwart PKI?
Wat is een zwaardere PKI?
Conclulse het antwoord van X10 is onzorgvuldig en op vele
punten onjuist.
PKI is toch een afkorting van public key infrastructure?
Er is toch maar één publieke infrastructuur?
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Waarom bedrijven opzien tegen het installeren van een gehele
PKI?
Afgezien daarvan wat is dan een halve of een kwart PKI?
Wat is een zwaardere PKI?
Conclulse het antwoord van X10 is onzorgvuldig en op vele
punten onjuist.
Door Anoniem
Wat begrijp ik niet?
PKI is toch een afkorting van public key infrastructure?
Er is toch maar één publieke infrastructuur?
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Waarom bedrijven opzien tegen het installeren van een gehele
PKI?
Afgezien daarvan wat is dan een halve of een kwart PKI?
Wat is een zwaardere PKI?
Conclulse het antwoord van X10 is onzorgvuldig en op vele
punten onjuist.
Wat begrijp ik niet?
PKI is toch een afkorting van public key infrastructure?
Er is toch maar één publieke infrastructuur?
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Waarom bedrijven opzien tegen het installeren van een gehele
PKI?
Afgezien daarvan wat is dan een halve of een kwart PKI?
Wat is een zwaardere PKI?
Conclulse het antwoord van X10 is onzorgvuldig en op vele
punten onjuist.
Er kunnen wel degelijk meerdere PKI's zijn, public slaat
namelijk niet op de infrastructuur, maar op de publieke
sleutel van een public/private key pair.
Ik deel je mening dat het antwoord van X10 onzorgvuldig is.
Dat verbaast me ook niet, nadat ik wat meer de achtergrond
van de dame in kwestie heb onderzocht. Op haar livejournal
staat ook een knap staaltje.
Beste Christine, ik wil je best wel helpen met wat PKI
consultancy hoor... mijn tarieven zijn heel redelijk.
14-09-2006, 10:49 door
X10
Door Anoniem
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Hoe kan het dan, dat mijn e-mail weigert die keurig netjes
is ondertekend met een gevalideerd certificaat van de
Chinese overheid geweigerd worden, omdat ze niet worden
vertrouwd? Dit lijkt mij strijdig met het concept van PKI.
Ik denk dat je niet begrijpt wat PKI is. PKI is een
infrastructuur-standaard. PKI zegt hoe een certificaat er
uit moet zien en op welke wijze je via een CA kan veririeren
of dat certificaat deugt. Mensen vertrouwen in het algemeen
Verisign certifcaten, simpelweg omdat windows dat ook doet.
Het hebben van een certificaat dat in de PKI van Verisign
betrouwbaar is, wil niet zeggen dat ik als organisatie zo'n
certificaat vertrouw. Zo'n certificaat is niet gelijkwaardig
aan een geschreven handtekening, terwijl een certificaat uit
de Pink Roccade PKI voor gekwalificeerde certificaten dat
wel is.
In de zorg wil men dat elektronische dianoses en recepten
alleen "echt" zijn als ze zijn ondertekend door een
gekwalificeerde arts. Dat is te controleren doordat zo'n
arts een certificaat heeft in een PKI van gekwalificeerde
artsen. Daarom accepteert een ziekenhuis alleen certificaten
uit zo'n PKI, en alle adnere certificaten, ook die van
Verisign, worden handmatig geverifieerd.
14-09-2006, 11:01 door
X10
Twee mensen die anoniem willen blijven betichten mij van
onwaarheden. Ze geven zelf aan in hun bijdragen dat ze niet
echt begrijpen wat PKI is. Er zijn veel PKI's. Je hebt UZI,
je hebt PKI Overheid, andere landen hebben hun eigen
overheids-PKI. Deze PKI's gebruiken verschillende
implementaties, de UZI standaard wijkt af van PKI Overheid
die weer afwijkt van wat b.v. Verisign doet. Bij UZI staat
er geen email adres in een certificaat, maar wel een
functie. Met andere woorden, binnen UZI kun je een
cardiologische diagnose die is ondertekend door een KNO arts
afkeuren.
Diverse PKI's gaan ook anders om met het verschil tussen
"signing" en "non-repudiation". UZI b.v. kent helemaal geen
signing certificaat. En dan heb ik het nog niet over de
"critical extensions" waar grote verschillen in kunnen zitten.
Ik zou het wel prettig vinden als mensen die mij betichten
van onwaarheden ten eerste dat onderbouwen en ten tweede
niet anoniem zijn, of althans laten weten waarop ze hun
meningen baseren. Het is heel gemakkelijk om je "PKI
Consultant" te noemen als je wel de klok hebt horen luiden
maar tegelijkertijd aangeeft dat je geen idee hebt waar de
klepel hangt.
Mijn kennis van PKI is gebaseerd op tien jaar ervaring in
het vakgebied, waarvan de laatste vijf jaar door het bouwen
van software die PKI op allerlei niveau's bij klanten
implementeert. Ik kan je verzekeren dat implementatie van
PKI zowel technisch als procedureel geen sinecure is. Zeker
niet als je dat ook doet in een windows omgeving die qua PKI
implementatie verre van perfect is zodat je allerlei zaken
zelf moet programmeren die je eigenlijk in het OS wilt zien,
terwijl het toch compatible moet blijven met de applicaties
in dat OS en met andere PKI implementaties.
onwaarheden. Ze geven zelf aan in hun bijdragen dat ze niet
echt begrijpen wat PKI is. Er zijn veel PKI's. Je hebt UZI,
je hebt PKI Overheid, andere landen hebben hun eigen
overheids-PKI. Deze PKI's gebruiken verschillende
implementaties, de UZI standaard wijkt af van PKI Overheid
die weer afwijkt van wat b.v. Verisign doet. Bij UZI staat
er geen email adres in een certificaat, maar wel een
functie. Met andere woorden, binnen UZI kun je een
cardiologische diagnose die is ondertekend door een KNO arts
afkeuren.
Diverse PKI's gaan ook anders om met het verschil tussen
"signing" en "non-repudiation". UZI b.v. kent helemaal geen
signing certificaat. En dan heb ik het nog niet over de
"critical extensions" waar grote verschillen in kunnen zitten.
Ik zou het wel prettig vinden als mensen die mij betichten
van onwaarheden ten eerste dat onderbouwen en ten tweede
niet anoniem zijn, of althans laten weten waarop ze hun
meningen baseren. Het is heel gemakkelijk om je "PKI
Consultant" te noemen als je wel de klok hebt horen luiden
maar tegelijkertijd aangeeft dat je geen idee hebt waar de
klepel hangt.
Mijn kennis van PKI is gebaseerd op tien jaar ervaring in
het vakgebied, waarvan de laatste vijf jaar door het bouwen
van software die PKI op allerlei niveau's bij klanten
implementeert. Ik kan je verzekeren dat implementatie van
PKI zowel technisch als procedureel geen sinecure is. Zeker
niet als je dat ook doet in een windows omgeving die qua PKI
implementatie verre van perfect is zodat je allerlei zaken
zelf moet programmeren die je eigenlijk in het OS wilt zien,
terwijl het toch compatible moet blijven met de applicaties
in dat OS en met andere PKI implementaties.
Wikepedia
In cryptography, a public key infrastructure (PKI) is an arrangement that
provides for trusted third party vetting of, and vouching for, user identities. It
also allows binding of public keys to users. This is usually carried out by
software at a central location together with other coordinated software at
distributed locations. The public keys are typically in certificates.
publiek is publiek in dit geval openbare sleutel infrastruuc. Omdat je een
sleutel paar gebuikt. Een geheime sleul Kg en openbare sleutel Ko.
Als Koosje de Zwart een e-mail wilt sturen naar Koosje de Wit dan gebruikt
Koosje de Zwart zijn geheime sleutel in combinatie met de openbare
sleutel van Koosje de Wit. Koosje de Wit kan het bericht lezen door de
openbare codeersleutel van Koosje de Zwart en zijn eigen prive sleutel te
gebruiken.
Kortom zonder een openbare infrastructuur werkt dit niet. (Ok dat is erg
simpel gesteld, maar ik wil geen proza schrijven. X10 je hebt de naam!)
Het probleem waar je dan vervolgens mee te maken hebt is dat je wel
zeker van moet zijn dat je de openbare Sleutel van iemand te pakken heb.
Om die reden is die vertrouwensrelatie zo belangijk.
Kortom er is maar een openbare infrastructuur. Anders kan niet
communiceren met mijn vriend de Toegareg in het Atlas gebergte en Witte
Buffel in de USA.
Koosje.
In cryptography, a public key infrastructure (PKI) is an arrangement that
provides for trusted third party vetting of, and vouching for, user identities. It
also allows binding of public keys to users. This is usually carried out by
software at a central location together with other coordinated software at
distributed locations. The public keys are typically in certificates.
publiek is publiek in dit geval openbare sleutel infrastruuc. Omdat je een
sleutel paar gebuikt. Een geheime sleul Kg en openbare sleutel Ko.
Als Koosje de Zwart een e-mail wilt sturen naar Koosje de Wit dan gebruikt
Koosje de Zwart zijn geheime sleutel in combinatie met de openbare
sleutel van Koosje de Wit. Koosje de Wit kan het bericht lezen door de
openbare codeersleutel van Koosje de Zwart en zijn eigen prive sleutel te
gebruiken.
Kortom zonder een openbare infrastructuur werkt dit niet. (Ok dat is erg
simpel gesteld, maar ik wil geen proza schrijven. X10 je hebt de naam!)
Het probleem waar je dan vervolgens mee te maken hebt is dat je wel
zeker van moet zijn dat je de openbare Sleutel van iemand te pakken heb.
Om die reden is die vertrouwensrelatie zo belangijk.
Kortom er is maar een openbare infrastructuur. Anders kan niet
communiceren met mijn vriend de Toegareg in het Atlas gebergte en Witte
Buffel in de USA.
Koosje.
14-09-2006, 12:04 door
X10
Door Anoniem
Op haar livejournal staat ook een knap staaltje.
Op haar livejournal staat ook een knap staaltje.
Op mijn livejournal staat niets over PKI. Waar je dus op
doelt blijft open. Op mijn livejournal staat iets over een
bedrijf dat denkt het perpetuum mobile te hebben
uitgevonden, en iedereen weet dat dat niet kan.
Ik stel voor dat anonieme reacties in ieder geval een beetje
onderbouwd worden, en niet vol staan met aantijgingen die
niet onderbouwd kunnen worden.
14-09-2006, 12:34 door
X10
Door Anoniem
publiek is publiek in dit geval openbare sleutel infrastruuc.
publiek is publiek in dit geval openbare sleutel infrastruuc.
Dat is dus een misvatting. PKI is een infrastruktuur van
public keys. Niets meer en niets minder. Misschien als je
paragraaf 1 van je PKI boek nog 's opnieuw leest, dat je de
rest dan ook gaat begrijpen.
Door X10
Op mijn livejournal staat niets over PKI. Waar je dus op
doelt blijft open. Op mijn livejournal staat iets over een
bedrijf dat denkt het perpetuum mobile te hebben
uitgevonden, en iedereen weet dat dat niet kan.
Ik stel voor dat anonieme reacties in ieder geval een beetje
onderbouwd worden, en niet vol staan met aantijgingen die
niet onderbouwd kunnen worden.
Door Anoniem
Op haar livejournal staat ook een knap staaltje.
Op haar livejournal staat ook een knap staaltje.
Op mijn livejournal staat niets over PKI. Waar je dus op
doelt blijft open. Op mijn livejournal staat iets over een
bedrijf dat denkt het perpetuum mobile te hebben
uitgevonden, en iedereen weet dat dat niet kan.
Ik stel voor dat anonieme reacties in ieder geval een beetje
onderbouwd worden, en niet vol staan met aantijgingen die
niet onderbouwd kunnen worden.
Okee, laat ik het dan expliciet zeggen. Het bedrijf waar je
op doelt claimt een OTP cryptosysteem gemaakt te hebben. Jij
vergelijkt OTP met een perpetuum mobile. Dat is niet waar.
OTP is proven secure en proven werkend. Jouw reactie op
iemand die je daar op wijst is echter zo volkomen clueless
dat ik me echt afvraag waar jij de claim vandaan haalt dat
je 5 jaar ervaring hebt in het bouwen van PKI-software. Je
hebt in ieder geval geen kaas gegeten van de cryptografische
kant van PKI.
Maar goed, jij hebt een bedrijf, en ik neem aan dat je dit
de manier vindt om de naam van je bedrijf te grabbel te
gooien. Heb je geen communicatie-adviseur in dienst die je
waarschuwt wanneer je uitlatingen doen die niet heel slim zijn?
Laat ik het zo zeggen... naast een aantal mensen dat van
toeten noch blazen weet, zijn er ook een behoorlijk aantal
mensen op dit forum aanwezig die behoorlijk "in the know"
zijn. Ik zou als ik jou was mijn naam en de naam van mijn
bedrijf niet zo te grabbel willen gooien, maar goed, to each
her own.
14-09-2006, 13:21 door
X10
Door Anoniem
OTP is proven secure en proven werkend.
"werkend" als in "in theorie kan het werken". OTP betekentOTP is proven secure en proven werkend.
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Door X10
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Waarin Schneier aangeeft dat het een prima manier is om
bepaalde very high security links te encrypten.
Door X10
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Maar we hadden vast gesteld, dat je onzorgvuldig was en daarom de Door Anoniem
OTP is proven secure en proven werkend.
"werkend" als in "in theorie kan het werken". OTP OTP is proven secure en proven werkend.
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
verwijzing. De persoon in van repliek dient maakt dit duidelijk. Vandaar de
verwijzing.
Al het andere is zo op de blog is te lezen hooguit hypothetisch of
theoretisch. Net als de Quantum computer. Het schijnt mogelijk te zijn.
Volgens mij was er een bedrijf of was het instituut, dat met een OTP aan
het spelen was. Zwitserland heeft de reputatie een geheim te kunnen
bewaren ;-)
Door Anoniem
Okee, laat ik het dan expliciet zeggen. Het bedrijf waar je
op doelt claimt een OTP cryptosysteem gemaakt te hebben. Jij
vergelijkt OTP met een perpetuum mobile. Dat is niet waar.
OTP is proven secure en proven werkend. Jouw reactie op
iemand die je daar op wijst is echter zo volkomen clueless
dat ik me echt afvraag waar jij de claim vandaan haalt dat
je 5 jaar ervaring hebt in het bouwen van PKI-software. Je
hebt in ieder geval geen kaas gegeten van de cryptografische
kant van PKI.
Maar goed, jij hebt een bedrijf, en ik neem aan dat je dit
de manier vindt om de naam van je bedrijf te grabbel te
gooien. Heb je geen communicatie-adviseur in dienst die je
waarschuwt wanneer je uitlatingen doen die niet heel slim zijn?
Laat ik het zo zeggen... naast een aantal mensen dat van
toeten noch blazen weet, zijn er ook een behoorlijk aantal
mensen op dit forum aanwezig die behoorlijk "in the know"
zijn. Ik zou als ik jou was mijn naam en de naam van mijn
bedrijf niet zo te grabbel willen gooien, maar goed, to each
her own.
Uh...net de Kamer van Koophandel gebelt en zij wisten mij te vertellen, dat Door X10
Op mijn livejournal staat niets over PKI. Waar je dus op
doelt blijft open. Op mijn livejournal staat iets over een
bedrijf dat denkt het perpetuum mobile te hebben
uitgevonden, en iedereen weet dat dat niet kan.
Ik stel voor dat anonieme reacties in ieder geval een beetje
onderbouwd worden, en niet vol staan met aantijgingen die
niet onderbouwd kunnen worden.
Door Anoniem
Op haar livejournal staat ook een knap staaltje.
Op haar livejournal staat ook een knap staaltje.
Op mijn livejournal staat niets over PKI. Waar je dus op
doelt blijft open. Op mijn livejournal staat iets over een
bedrijf dat denkt het perpetuum mobile te hebben
uitgevonden, en iedereen weet dat dat niet kan.
Ik stel voor dat anonieme reacties in ieder geval een beetje
onderbouwd worden, en niet vol staan met aantijgingen die
niet onderbouwd kunnen worden.
Okee, laat ik het dan expliciet zeggen. Het bedrijf waar je
op doelt claimt een OTP cryptosysteem gemaakt te hebben. Jij
vergelijkt OTP met een perpetuum mobile. Dat is niet waar.
OTP is proven secure en proven werkend. Jouw reactie op
iemand die je daar op wijst is echter zo volkomen clueless
dat ik me echt afvraag waar jij de claim vandaan haalt dat
je 5 jaar ervaring hebt in het bouwen van PKI-software. Je
hebt in ieder geval geen kaas gegeten van de cryptografische
kant van PKI.
Maar goed, jij hebt een bedrijf, en ik neem aan dat je dit
de manier vindt om de naam van je bedrijf te grabbel te
gooien. Heb je geen communicatie-adviseur in dienst die je
waarschuwt wanneer je uitlatingen doen die niet heel slim zijn?
Laat ik het zo zeggen... naast een aantal mensen dat van
toeten noch blazen weet, zijn er ook een behoorlijk aantal
mensen op dit forum aanwezig die behoorlijk "in the know"
zijn. Ik zou als ik jou was mijn naam en de naam van mijn
bedrijf niet zo te grabbel willen gooien, maar goed, to each
her own.
ik geen bedrijf heb en klopt met mijn eigen infrormatie. Oef. Ik weet niet op
grond waarvan je deze conclusie trekt.
Take it easy have a KitKat....
Door X10
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Volgens mij heeft Boris (de Russen) van een OTP gebruik gemaakt om Door Anoniem
OTP is proven secure en proven werkend.
"werkend" als in "in theorie kan het werken". OTP OTP is proven secure en proven werkend.
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
berichten te versturen. Dus het bestaat. En ze hebben ook bewezen dat
hergebruik misschien van uit milieu vriendelijkheid prima is, maar vanuit
het oogpunt de informatie vertrouwelijk te houden dom is.
Koosje
Door Anoniem
berichten te versturen. Dus het bestaat. En ze hebben ook bewezen dat
hergebruik misschien van uit milieu vriendelijkheid prima is, maar vanuit
het oogpunt de informatie vertrouwelijk te houden dom is.
Koosje
Door X10
werken". OTP
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
Volgens mij heeft Boris (de Russen) van een OTP gebruik gemaakt om Door Anoniem
OTP is proven secure en proven werkend.
"werkend" als in "in theorie kan het OTP is proven secure en proven werkend.
werken". OTP
betekent
dat je voor ieder bericht dat je verstuurt een nieuwe key
gebruikt die even lang is als het bericht en die van te
voren is uitgewisseld. Het probleem wordt dus verschoven van
het beveiligen van een te versturen bericht naar het
beveiligen van de uit te wisselen key. Als jij accepteert
dat je met iedereen met wie je mailt van te voren vele
megabytes uitwisselt door ze te bezoeken en ze een cdrom met
keys te overhandigen, en een schema met welke key je wanneer
gebruikt, dan heb je gelijk dat otp prima werkt.
Betreffend bedrijf heeft voor zover ik kan zien (maar ze
zeggen niet precies wat ze doen, en dat is tegen alle
security principes) een manier gevonden om OTP's veilig uit
te wisselen. Dat betekent dat hun techniek niet zo veilig is
als OTP, maar zo veilig is als hun manier om OTP's uit te
wisselen. En ik ben er vrij zeker van dat die manier van
uitwisselen minder veilig is dan standaard S/MIME.
Maar ik ben niet de enige met mijn standpunt, zie b.v.
http://www.schneier.com/crypto-gram-9902.html#snakeoil
zie warning sign #6.
berichten te versturen. Dus het bestaat. En ze hebben ook bewezen dat
hergebruik misschien van uit milieu vriendelijkheid prima is, maar vanuit
het oogpunt de informatie vertrouwelijk te houden dom is.
Koosje
Om Koosje even aan te vullen: X10 je bent weer onzorgvuldig. Bruce heeft
het over SIGNALEN en AANWIJZINGEN. Zucht.
Tante Sjaan
Quote:
"Elsewhere I've talked about building strong security products, using tried-
and-true mathematics, and generally being conservative. Here I want to
talk about some of the common snake-oil warning signs, and how you can
pre-judge products from their advertising claims. These warning signs are
not foolproof..."
Unquote
"Elsewhere I've talked about building strong security products, using tried-
and-true mathematics, and generally being conservative. Here I want to
talk about some of the common snake-oil warning signs, and how you can
pre-judge products from their advertising claims. These warning signs are
not foolproof..."
Unquote
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
