Schneier: Verwijder Comodo uit de browser
Internetgebruikers zouden SSL-aanbieder Comodo uit hun browser moeten verwijderen, maar dat is een probleem, want gebruikers kunnen dat niet. Dat zegt beveiligingsgoeroe Bruce Schneier, die reageert op de recente aanval waarbij een Iraanse student valse certificaten voor Skype, Microsoft, Mozilla en Yahoo wist aan te vragen. Via de valse uitgegeven certificaten was het mogelijk om versleuteld HTTPS-verkeer af te luisteren.
Aanklacht
"Het veiligste voor ons gebruikers om te doen is het Comodo rootcertificaat uit onze browser te verwijderen, zodat geen van hun certificaten werkt, maar wij hebben die mogelijkheid niet", laat Schneier weten. Browserleveranciers zoals Microsoft, Mozilla en Opera zouden dit kunnen doen, maar Schneier denkt niet dat dit zal gebeuren.
"De economische prikkel werkt niet goed." Comodo zou namelijk elke browserleverancier kunnen aanklagen die dit doet, alsmede alle Comodo-klanten. "Het is dus slimmer voor de browserleveranciers om het probleem te negeren en aan ons gebruikers door te spelen." De opmerking van Schneier over het niet kunnen verwijderen gaat niet helemaal op, aangezien gebruikers dit wel zelf kunnen doen.
Er zou een keuzemogelijkheid moeten zijn:
Leuk voor thuis: elke CA
Techneuten en zakelijk gebruik: je bepaalt zelf welke CA's je vertrouwt.
En wanneer je die Comodo (en andere) CA certificaten verwijderd heb je geen SSL foutmeldingen, maar SSL waarschuwingen! En die zouden dan terecht zijn...
Back to the drawing board fandroids!!
Nee, dit is geen oplossing. Op deze wijze kan niet worden gecontroleerd of het een authentiek certificaat betreft.
De aanwezigheid van een authentiek root- en/of intermediate-certificaat, bijvoorbeeld gedownload (en geinstalleerd) van de website van de certificate authority van het betreffende certificaat dragen zorg voor de authenticiteit.
UTN-USERFirst
ik heb het niet uitgeprobeerd in ieder geval en ik weet niet of het bij andere browsers ook kan, omdat de firefox de enige is die ik bijna gebruik. graag wat feedback hierover, of andere browsers dat ook hebben en als het helemaal niet kan, kun je dan ook niets verstellen in de about:config mogelijkheid van firefox?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
