SSl certificaten?
Nu is het dat ik af en toe op websites een 'certificaatfout' tegenkom, in vormen zoals dat het certificaat ongeldig is ssl_error_bad_cert_domain , of dat het verlopen is of self-signed is.
Firefox laat dan altijd een waarschuwingsscherm zien waar ik het certificaat dan toch kan accepteren, wat ik ook dan altijd doe.
Ik weet alleen niet of die certificaten wel te vertrouwen zijn, kunnen deze certificaten die ik dus heb geaccepteerd virussen of trojans bevatten?
Het idee achter vertrouwde SSL certificaten is dat er instanties zijn die dat uitgeven, de identiteit van de aanvrager wordt gecontroleerd. (afhankelijk van de aanbieder en type certificaat verschilt dit van een email bevestigen tot kopie van id/rijbewijs). Wanneer er iemand het verkeer afluistert kan hij/zij zijn eigen certificaat aanbieden. Zo'n certificaat wordt niet vertrouwt, en daarom kun je dan zo'n melding krijgen.
Wanneer je dus bij jouw bank of een webwinkel zo'n melding kijkt moet je uitkijken. Bij een hobbywebsite over breien maakt dit niet veel uit.
- jouw webbrowser
- de server waarvan je de hostname in de URL in de adresbalk ziet
Bij certificaatfoutmeldingen (met name bad domain/hostname en self-signed) is er wel sprake van een versleutelde verbinding, alleen kan dat best met een andere server zijn dan de getoonde in de URL. Door DNS manipulatie en/of netwerk interceptie kun je dan te maken hebben met een site die als twee druppels water op de echte site lijkt, of een man-in-the-middle computer die tussen jou en de echte server in zit.
N.b. bij https zonder foutmeldingen ben je onafhankelijk van de betrouwbaarheid van DNS en het netwerk tussen jouw browser en de bedoelde server.
Vooral bij het gebruik van open WiFi hotspots moet je alert zijn op https certificaatfoutmeldingen (en kun je http websites het beste vermijden).
Op een website met een SSL certificaat kan echter nog wel een virus/trojan staan. SSL zorgt er alleen voor dat de verbinding met de website niet afgeluisterd kan worden. Zoals hierboven vermeld kun je het beste naar de inhoud van de website kijken, bij informatie is het risico klein. Plaats hier in ieder geval geen betalingen of log niet in.
Onderstaande link kun je altijd gebruiken als je een website niet vertrouwd:
http://www.networking4all.com/nl/helpdesk/tools/site+check/?utm_source=ismijnsiteveilig.nl&utm_medium=redirect&utm_campaign=Domain+name
Deze website geeft direct weer of een website over een goede beveiliging beschikt.
Ruud-Maarten van de Kreeke
Networking4all
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
