"CA SSL-certificaten overbodig voor mobiele apps"
Door Certificate Authorities (CA) uitgegeven SSL-certificaten zijn niet nodig om verkeer van smartphone-gebruikers te beschermen. Certificate Authorities zijn de afgelopen maanden regelmatig negatief in het nieuws geweest. Zo wisten aanvallers bij Comodo en DigiNotar valse SSL-certificaten te genereren. Beveiligingsonderzoeker Moxie Marlinspike, wiens bedrijf onlangs door Twitter werd overgenomen, stelt dat voor mobiele apps het gehele CA-model kan worden overgeslagen.
"Als je een mobiele app hebt die een SSL-verbinding naar een service maakt die je beheert, is er geen reden om het certificaat van je dienst via een CA signature te valideren", merkt Marlinspike op. CA signatures zijn namelijk voor algemene netwerken, en daarvan is geen sprake van bij een mobiele verbinding. De app weet waarmee het verbinding maakt en weet ook wat voor certificaat het kan verwachten.
Google doet dit al met Google Chrome. Als Chrome een SSL-verbinding naar een dienst van Google opzet, controleert het of de certificaten die het ziet degene zijn waarvan het weet dat Google die gebruikt. "Dit heet pinning en is wat je voor je mobiele apps moet toepassen", aldus Marlinspike.
Kans
Het voordeel van de mobiele omgeving is volgens hem dat ontwikkelaars weer de kans krijgen om client-side software te schrijven, en niet meer gebonden zijn aan de algemene beperkingen van de web browser. Niet in alle gevallen is het overslaan van Certificate Authorities een optie. Voor apps die nog steeds met door CA's gesigneerde certificaten werken, stelt Marlinspike voor om afhankelijkheid van een groot aantal CA's te beperken. "Je app weet welke CA je gebruikt, dus kun je het vertrouwen tot alleen handtekeningen van die CA beperken."
"Door CA's volledig achter ons te laten, of door blootstelling aan ze te beperken, heeft iedereen die veilig via mobiele apps communiceert, een mogelijkheid om de beperkingen van de browser te ontstijgen en zichzelf te beschermen. Probeer het eens", besluit Marlinspike. Voor browser-gebruikers lanceerde hij enige tijd geleden de Firefox-plugin Convergence.
1. Een belangrijk argument voor een PKI is dat een verlopen certificaat kan worden vervangen door een nieuwe zonder dat dit in de webbrowser of app tot foutmeldingen of waarschuwingen leidt. Hoe moet een app die van pinning gebruik maakt reageren als deze een verlopen of vernieuwd certificaat voorgeschoteld krijgt? Moet de gebruiker dan eerst een nieuwe app downloaden? En hoe controleer je dan wie die app gemaakt heeft zonder PKI? Phishing-Apps anyone?
2. Hoewel het onvoldoende betrouwbaar werkt, ondersteunen CA's wel revocation, en om revocation betrouwbaar te laten werken moet je minstens 1 ander certificaat vertrouwen. Dat gaat dus niet werken in apps.
Misschien zou je eerst eens kunnen proberen te begrijpen wat hier gezegd wordt en je af te vragen welke visie hier voorgeschoteld wordt. En ja, maatregelen zullen bij het invullen daarvan wat anders in elkaar moeten steken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
