Expert: tijd om het hele internet te versleutelen
Het is tijd om het gehele internet te versleutelen, zodat het verkeer van internetgebruikers beter is beschermd tegen afluisteren. Daarvoor pleit de gerenommeerde beveiligingsonderzoeker Moxie Marlinspike. De expert reageerde naar aanleiding van mogelijke plannen van Google.
De zoekgigant zou overwegen om websites die volledig over HTTPS lopen hoger in de zoekresultaten van de Google zoekmachine te plaatsen, wat andere websites die dit nog niet doen moet aansporen om ook standaard HTTPS te gebruiken. "Het heeft waarde om het netwerkverkeer zo ondoorzichtig als mogelijk te maken, zelfs voor statische content", zegt Marlinspike tegenover Wired. "Idealiter zouden we platte tekst in z'n geheel op het internet vervangen."
Bescherming
HTTPS beschermt gebruikers niet alleen tegen afluisteren, het voorkomt ook dat een aanvaller zich tussen de gebruiker en te bezoeken websites of webdiensten kan plaatsen. "En dat is echt belangrijk, zelfs voor niet-geheime content, vanwege de integriteit: je wilt gewoon niet dat aanvallers de inhoud van de websites die je bezoekt kunnen aanpassen zonder dat je dit weet", zegt Micah Lee van The Intercept.
Dit is vooral een risico bij websites die software aanbieden. Een aanvaller zou de software die een aangevallen gebruiker wil downloaden kunnen vervangen met malware. "Websites die software aanbieden hebben geen reden om HTTP te gebruiken", merkt Lee op. "Ze zouden altijd HTTPS moeten gebruiken. Als ze dat niet doen, brengen ze gebruikers in gevaar."
Als reden om geen HTTPS te gebruiken worden vaak de kosten van een SSL-certificaat en de extra belasting op de server genoemd. Volgens Marlinspike is dit al lang niet meer het geval en zijn deze problemen grotendeels opgelost. Al in 2010 bleek uit onderzoek van Google dat de belasting op servers door het gebruik van HTTPS slechts 1% bedroeg.
Dat is niet waar. Een certificaat is voor een domein (wildcard certificaat) of een host (fqdn). Je kan makkelijk meerdere met certificaat beveiligde websites achter één ip adres hangen.
Kijk als je het goed wil doen doe het dan gelijk geteen goed laat een encryption algorithm maken door een super die buiten territoriale wateren staat.
Het gaat om encryptie van de dataverbinding, het heeft iets met zoeken te maken.
Dat is niet waar. Een certificaat is voor een domein (wildcard certificaat) of een host (fqdn). Je kan makkelijk meerdere met certificaat beveiligde websites achter één ip adres hangen.
Straks tijdens het wk hebben wij niet alleen 16 miljoen social media experts, maar ook 16 miljoen voetbal experts.
Daarbij komt dat het versleutelen van alle dataverkeer een beetje zijn doel voorbij schiet en bovendien zorgt voor een vals gevoel van veiligheid bij de massa. "Oooh, het is toch versleuteld?" Maar welke partijen vertrouw je eigenlijk nog? En waar baseer je dat vertrouwen op? Reputatie? Waar is die reputatie op gebaseerd dan? Dat zijn vragen die men zichzelf vaker zou moeten stellen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
