Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
SSL in huidige structuur zo goed als Dood!?
08-09-2011, 13:28 door Anoniem, 4 reacties
Bijft niet veel van over na slecht-nieuws items en dan nog deze
[link]http://www.qcic.nl/item.jsp%3Fnews=83.html[/link] fundamentele problemen er van af trekt.
Of is er nog iemand die met plug-ins en her-regulering wil proberen om die modder schuit van de zandbank lost te trekken?
Waarom niet gewoon die foute commerciële zogenaamde "Autoriteiten" laten zinken, en vrolijk methoden gaan gebruiken die wel prima en geheel transparant werken?
[link]http://www.qcic.nl/item.jsp%3Fnews=83.html[/link] fundamentele problemen er van af trekt.
Of is er nog iemand die met plug-ins en her-regulering wil proberen om die modder schuit van de zandbank lost te trekken?
Waarom niet gewoon die foute commerciële zogenaamde "Autoriteiten" laten zinken, en vrolijk methoden gaan gebruiken die wel prima en geheel transparant werken?
Reacties (4)
09-09-2011, 23:15 door
Bitwiper
http://www.qcic.nl/ is, hoewel wat chaotisch, een intrigerende site.
In http://www.qcic.nl/item.jsp%3Fnews=83.html "SSL for dummies" lees ik onder meer:
Een veelgemaakte fout is dat beheerders vergeten om intermediate certificates zo te installeren dat ze worden meegestuurd zodra een webbrowser verbinding maakt met hun server. Ze testen hun site met hun eigen webbrowser waarin zo'n intermediate certificate al een keer eerder "voorbij is gekomen" en in de certificate store is opgeslagen (zie http://www.security.nl/artikel/35578/security.nl_SSL%2BFirefox_-_onverwacht_gedrag.html) en concluderen dat het werkt.
Voorbeeld: op dit moment stuurt https://webmail.zoetermeer.nl/ het intermediate certificate genaamd "VeriSign Class 3 International Server CA - G3" niet mee. Als die niet toevallig al in je webbrowser zit, krijg je een SSL/TLS foutmelding.
De andere genoemde issues zijn zeker een probleem maar niet onbekend (wel bij de gemiddelde gebruiker).
In http://www.qcic.nl/item.jsp%3Fnews=83.html "SSL for dummies" lees ik onder meer:
"In TLS, it is not always necessary to include certificates all the way back to the root CA. You can use an intermediary authority."
Die regel vind ik terug in http://technet.microsoft.com/en-us/library/cc784450%28WS.10%29.aspx, maar ik begrijp niet waarom dit een security probleem zou zijn.Een veelgemaakte fout is dat beheerders vergeten om intermediate certificates zo te installeren dat ze worden meegestuurd zodra een webbrowser verbinding maakt met hun server. Ze testen hun site met hun eigen webbrowser waarin zo'n intermediate certificate al een keer eerder "voorbij is gekomen" en in de certificate store is opgeslagen (zie http://www.security.nl/artikel/35578/security.nl_SSL%2BFirefox_-_onverwacht_gedrag.html) en concluderen dat het werkt.
Voorbeeld: op dit moment stuurt https://webmail.zoetermeer.nl/ het intermediate certificate genaamd "VeriSign Class 3 International Server CA - G3" niet mee. Als die niet toevallig al in je webbrowser zit, krijg je een SSL/TLS foutmelding.
De andere genoemde issues zijn zeker een probleem maar niet onbekend (wel bij de gemiddelde gebruiker).
Door Anoniem: Waarom niet gewoon die foute commerciële zogenaamde "Autoriteiten" laten zinken, en vrolijk methoden gaan gebruiken die wel prima en geheel transparant werken?
Waar denk je dan aan?Door Bitwiper: http://www.qcic.nl/ is, hoewel wat chaotisch, een intrigerende site.
"...geheel transparant werken"
Waar denk je dan aan?
"...geheel transparant werken"
Waar denk je dan aan?
Eerst eens het SSL/TLS protocol ontdoen van alle bekende zwakke plekken, en Alle overbodige 'functionaliteit'.
Zelfs de makers van de huidige standaard zo als de specialisten bij Verisign vinden dat het een Zooitje geworden is.
Dan de sleutel verificatie leggen bij een drietal echte non-profit organisaties, die volledig transparant moet werken. Wat betekend dat als iemand van mening is dat er ergens een zwakke plek is, zij zich netjes moeten verantwoorden en het zo snel mogelijk verhelpen. 3 omdat er keuze/evolutie-concurrentie moet zijn om vooruitgang te houden, en er 1 plat mag gaan zonder direct het hele internet onderuit te schoffelen.
Nu stoppen de CA's & Resellers dus zo veel mogelijk in de doofpot en repareren liever niets omdat het hun te veel moeite kost, en dat omdat die organisaties niet ingesteld zijn op verandering maar op status-quo vast houden.
Door Anoniem: www.convergence.io is ook wel een leuk alternatief
Vooral 'Leuk', en voor nerds!
dus... niet levens vatbaar voor het grote interweb publiek.
Als je de structuur eens goed door leest, kan je zien dat het alleen maar makkelijker word om de boel te flessen door dat er nog meer toevoegingen in functionaliteit bij komen, plus afhankelijkheden van wazige derden. Dan nog de [i'm cute, Trust me!] factor, waar gewone gebruikers heel gevoelig voor zijn.
Typisch introvert academica project.....
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
