Grote browsers ondersteunen gratis SSL-dienst Let's Encrypt
Een nieuwe certificaatautoriteit (CA) die als doel heeft om al het webverkeer op internet te versleutelen en daarom gratis SSL-certificaten gaat uitgeven wordt nu door alle grote browsers ondersteund, zo hebben de initiatiefnemers van Let's Encrypt bekendgemaakt.
Met een SSL-certificaat kunnen websites het verkeer van en naar bezoekers versleutelen en zich tegenover bezoekers identificeren. Let's Encrypt is een initiatief van de Internet Security Research Group (ISRG) en wordt gesteund door Mozilla, Akamai, Cisco, de Amerikaanse burgerrechtenbeweging EFF en verschillende andere partijen. Volgens de initiatiefnemers zijn er al partijen die gratis certificaten voor websites aanbieden, maar is de installatie nog steeds een lastig proces, wat een volledig versleuteld web in de weg staat.
Daarom zal Let's Encrypt de uitgifte en installatie van certificaten automatiseren. Hiervoor is een API (programmeerinterface) ontwikkeld, alsmede clientsoftware die van deze API gebruik maakt. Beheerders kunnen deze clientsoftware op hun eigen webserver draaien om automatisch een certificaat te installeren en hun server zo te configureren dat er voortaan HTTPS wordt gebruikt.
Om waarschuwingen in de browser te voorkomen moet Let's Encrypt wel door de browser als geldige certificaatautoriteit worden herkend. Iets dat nu is gerealiseerd doordat de intermediate certificaten van Let's Encrypt door IdenTrust zijn gesigneerd. Alle browsers accepteren IdenTrust en daarmee nu ook de certificaten van Let's Encrypt. "Dit is een zeer grote mijlpaal omdat het inhoudt dat bezoekers van websites die Let's Encrypt-certificaten gebruiken zonder speciale aanpassingen een veilige surfervaring hebben", aldus Josh Aas van de ISRG.
Reacties (15)
20-10-2015, 16:11 door
Erik van Straten
Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
Tenzij die client software ge-backdoor'ed is :p. Dan is het wel positief. Behalve voor de legitieme sites natuurlijk...
Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
Mes snijdt altijd aan twee kanten; jij hebt liever het alleen recht op (gebackdoorde ?) encryptie door staatsactoren en multinationals ? Wordt de wereld ook niet veiliger door he ... Daarnaast kun je allang gratis certs regelen, ook als crimineel, het wordt alleen nog makkelijker te automatiseren.
Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
dit heerschap heeft vast nog wel een baantje over voor je
https://www.security.nl/posting/446854/AIVD-baas%3A+hoeveel+veiligheid+wil+je+opgeven+voor+je+privacy%3F
Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
In de automatische procedure om certificaten te verstrekken wordt gewerkt met challenges waarmee je aantoont controle te hebben over het domein waarvoor je het certificaat aanvraagt, bijvoorbeeld door DNS-records aan te kunnen maken voor dat domein of de gevraagde resources onder een specifieke URL te kunnen plaatsen binnen dat domein.Waterdicht is dat niet. Iemand die toegang met voldoende bevoegdheden tot een webserver heeft weten te krijgen kan erin slagen voor die webserver een eigen certificaat aanvragen. Maar ik denk dat dat bij incidenten zal blijven, en dat het effect per saldo vooral positief zal zijn.
Bruce Schneier heeft het idee "absolutely fantastic" genoemd.
Wat een onzinreacties van mensen die het pki-concept niet begrijpen. Er zit straks gewoon dezelfde geautomatiseerde validatie op de signering als dat nu bij betaalde diensten het geval is. Alleen wordt de uitgifte gratis zodat de penetratie van ssl kan versnellen. Ee veiligheid heeft niets met de betaling te maken. De veiligheid zit m in alle CA's die jouw browser (en jij dus ook) standaard al vertrouwt. En in de verschillende validatieniveau's (EV certs) waar de gemiddelde gebruiker niets van snapt en dus weinig baat bij heeft.
Dit concept erft alle positieve en negatieve elementen van onze pki-in-de-browser implementatie. Gratis of niet gratis doet daar niets aan af.
Dit concept erft alle positieve en negatieve elementen van onze pki-in-de-browser implementatie. Gratis of niet gratis doet daar niets aan af.
20-10-2015, 23:12 door
Erik van Straten
Door Anoniem:
dit heerschap heeft vast nog wel een baantje over voor je
https://www.security.nl/posting/446854/AIVD-baas%3A+hoeveel+veiligheid+wil+je+opgeven+voor+je+privacy%3F
Iedereen met toegang tot de netwerkverbinding tussen een webserver en de certificaatuitgifteservers van Let's Encrypt (direct of via manipulatie van DNS en/of routering) kan, real time, een sleutelpaar genereren en direct een certificaat voor die server krijgen, en dat meteen inzetten - en iedereen MITM-en die via datzelfde tappunt die webserver benadert (hoe dichter bij die webserver, hoe meer slachtoffers). Geheime diensten (niet alleen in westerse landen) lachen zich suf om dit soort initiatieven.Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
dit heerschap heeft vast nog wel een baantje over voor je
https://www.security.nl/posting/446854/AIVD-baas%3A+hoeveel+veiligheid+wil+je+opgeven+voor+je+privacy%3F
Encryptie is zinloos als je niet weet met wie je praat. Wat Internet nodig heeft is een "Let's Authenticate" project, want dat is waar digitale certificaten voor bedoeld zijn.
Door Erik van Straten: Iedereen met toegang tot de netwerkverbinding tussen een webserver en de certificaatuitgifteservers van Let's Encrypt (direct of via manipulatie van DNS en/of routering) kan, real time, een sleutelpaar genereren en direct een certificaat voor die server krijgen, en dat meteen inzetten - en iedereen MITM-en die via datzelfde tappunt die webserver benadert (hoe dichter bij die webserver, hoe meer slachtoffers). Geheime diensten (niet alleen in westerse landen) lachen zich suf om dit soort initiatieven.
Dan lachen ze zich ongetwijfeld net zo suf om elke CA die domain-validated certificaten uitgeeft, is dat niet zo'n beetje elke CA? Dat is niet het probleem dat Let's Encrypt oplost. Als je gericht een MITM-aanval uitvoert dan ben je je al op een specifieke website aan het richten. Verwacht je dat dat op zo'n grote schaal gaat gebeuren dat Let's Encrypt per saldo negatief uitpakt?
21-10-2015, 10:12 door
Erik van Straten
21-10-2015, 09:57 door Anoniem: Dan lachen ze zich ongetwijfeld net zo suf om elke CA die domain-validated certificaten uitgeeft, is dat niet zo'n beetje elke CA? Dat is niet het probleem dat Let's Encrypt oplost. Als je gericht een MITM-aanval uitvoert dan ben je je al op een specifieke website aan het richten. Verwacht je dat dat op zo'n grote schaal gaat gebeuren dat Let's Encrypt per saldo negatief uitpakt?
Dat DV certificaten inderdaad een drama zijn heb ik al vaker aangegeven (zie bijv. https://www.security.nl/posting/429054/Amerikaanse+bank+reset+wachtwoorden+na+DNS-aanval#posting429366, vooral als je weet dat dit soort aanvallen geen theorie zijn: https://www.security.nl/posting/429349/Domeinregistrar+eNom+doelwit+van+DNS-aanval).Niet elke CSP gaat daar overigens even slecht mee om, zie https://www.security.nl/posting/446922/Honderden+SSL-certificaten+uitgegeven+voor+phishingsites. Dat neemt niet weg dat alle DV certificaten in de categrorie misleidend, waardeloos of zwak zitten.
In plaats van de waardeloze validatie van "Let's Encrypt" in te voeren zouden we DV certificaten niet langer moeten accepteren. Met "Let's Encrypt" wordt de acceptatie van waardeloze certificaten meer gemeengoed gemaakt, en dat is een verslechtering. Waar we spijt van gaan krijgen.
Erik snapt niet dat dit simpelweg goed is voor het internet omdat iedereen minder afgeluisterd kan worden.
Minder makkelijke packet sniffing, wachtwoord onderschepping, etc.
Dat criminelen dit ook kunnen gebruiken maakt niet uit, hebben wij daar als gebruikers last van? Nee, want ik als gebruiker ben niet criminelen aan het opsporen. En mij virusscanner zal bestanden scannen bij het uitpakken.
Hebben criminelen hier als crimineel last van? Ja, want zij kunnen nu minder snel mijn wachtwoorden en persoonsgegevens stelen.
En ja, opsporingsdiensten krijgen het wellicht ietsje lastiger, gelukkig maar dat 95% van al het recherchewerk naar cybercriminelen niets te maken heeft met het decrypten van verbindingen.
Minder makkelijke packet sniffing, wachtwoord onderschepping, etc.
Dat criminelen dit ook kunnen gebruiken maakt niet uit, hebben wij daar als gebruikers last van? Nee, want ik als gebruiker ben niet criminelen aan het opsporen. En mij virusscanner zal bestanden scannen bij het uitpakken.
Hebben criminelen hier als crimineel last van? Ja, want zij kunnen nu minder snel mijn wachtwoorden en persoonsgegevens stelen.
En ja, opsporingsdiensten krijgen het wellicht ietsje lastiger, gelukkig maar dat 95% van al het recherchewerk naar cybercriminelen niets te maken heeft met het decrypten van verbindingen.
21-10-2015, 14:26 door
Erik van Straten
21-10-2015, 11:36 door Anoniem: Erik snapt niet dat dit simpelweg goed is voor het internet omdat iedereen minder afgeluisterd kan worden.
Anoniem realiseert zich kennelijk niet dat onze overheid, organisaties en bedrijven met onderdachte domainnames strooien, waardoor normale mensen geen flauw benul hebben of een domainname daadwerkelijk aan de (op de site en/of in e-mails) geclaimde organisatie toebehoort. En Anoniem snapt kennelijk niet dat certificaten daarover zekerheid horen te geven, maar dat het, dankzij Let's Encrypt, voor phishers nu nog eenvoudiger is om "lijkt-op"/"klinkt als" sites (zoals dig-id.nl) van een nietszeggend certificaat te voorzien.Ook snapt Anoniem niet dat criminelen (en veiligheidsdiensten), die ofwel:
- Toegang hebben tot netwerkapparatuur van een hostingprovider
- DNS kunnen manipuleren
- Routes kunnen manipuleren
nu nog eenvoudiger nepcertificaten voor bestaande, veilig ingerichte, https servers kunnen krijgen en daarmee MITM- (of geheel server-vervangende) aanvallen kunnen uitvoeren. En daarmee bijv. jouw wachtwoorden en persoonsgegevens kunnen stelen (tenzij jij elke keer dat je verbinding maakt, controleert of het certificaat nog hetzelfde is - maar bijna niemand doet dat met de hand).
Nogmaals, versleutelen is zinloos als je niet zeker weet met wie je communiceert. Dit soort certificaten suggereren dat je zeker weet met wie je communiceert, maar die zekerheid is erg klein (en neemt af naarmate de belangen groter zijn). Daarmee bieden ze een vals gevoel van veiligheid en ik denk dat het Internet daar netto niets mee opschiet - integendeel.
Het namelijk erg naïef om te denken dat aanvallers (criminelen en veiligheidsdiensten) ons met rust zullen laten zodra wij voorheen onversleutelde verbindingen gaan versleutelen. Een voordeel van Let's Encrypt is wellicht dat veiligheidsdiensten minder hard om encryptie-backdoors hoeven te zeuren bij de politiek, want die backdoor is ingebouwd bij Let's Encrypt.
Door Erik van Straten: Hier gaan we spijt van krijgen, want voor criminelen wordt het ook eenvoudiger.
Ze kunnen nu met een paar klikken al gratis SSL krijgen via CloudFlare. Dus zoveel makkelijker wordt het ook niet voor ze.Door Erik van Straten:
Ook snapt Anoniem niet dat criminelen (en veiligheidsdiensten), die ofwel:
- Toegang hebben tot netwerkapparatuur van een hostingprovider
- DNS kunnen manipuleren
- Routes kunnen manipuleren
nu nog eenvoudiger nepcertificaten voor bestaande, veilig ingerichte, https servers kunnen krijgen en daarmee MITM- (of geheel server-vervangende) aanvallen kunnen uitvoeren. En daarmee bijv. jouw wachtwoorden en persoonsgegevens kunnen stelen (tenzij jij elke keer dat je verbinding maakt, controleert of het certificaat nog hetzelfde is - maar bijna niemand doet dat met de hand).
Nogmaals, versleutelen is zinloos als je niet zeker weet met wie je communiceert. Dit soort certificaten suggereren dat je zeker weet met wie je communiceert, maar die zekerheid is erg klein (en neemt af naarmate de belangen groter zijn). Daarmee bieden ze een vals gevoel van veiligheid en ik denk dat het Internet daar netto niets mee opschiet - integendeel.
Het namelijk erg naïef om te denken dat aanvallers (criminelen en veiligheidsdiensten) ons met rust zullen laten zodra wij voorheen onversleutelde verbindingen gaan versleutelen. Een voordeel van Let's Encrypt is wellicht dat veiligheidsdiensten minder hard om encryptie-backdoors hoeven te zeuren bij de politiek, want die backdoor is ingebouwd bij Let's Encrypt.
21-10-2015, 11:36 door Anoniem: Erik snapt niet dat dit simpelweg goed is voor het internet omdat iedereen minder afgeluisterd kan worden.
Anoniem realiseert zich kennelijk niet dat onze overheid, organisaties en bedrijven met onderdachte domainnames strooien, waardoor normale mensen geen flauw benul hebben of een domainname daadwerkelijk aan de (op de site en/of in e-mails) geclaimde organisatie toebehoort. En Anoniem snapt kennelijk niet dat certificaten daarover zekerheid horen te geven, maar dat het, dankzij Let's Encrypt, voor phishers nu nog eenvoudiger is om "lijkt-op"/"klinkt als" sites (zoals dig-id.nl) van een nietszeggend certificaat te voorzien.Ook snapt Anoniem niet dat criminelen (en veiligheidsdiensten), die ofwel:
- Toegang hebben tot netwerkapparatuur van een hostingprovider
- DNS kunnen manipuleren
- Routes kunnen manipuleren
nu nog eenvoudiger nepcertificaten voor bestaande, veilig ingerichte, https servers kunnen krijgen en daarmee MITM- (of geheel server-vervangende) aanvallen kunnen uitvoeren. En daarmee bijv. jouw wachtwoorden en persoonsgegevens kunnen stelen (tenzij jij elke keer dat je verbinding maakt, controleert of het certificaat nog hetzelfde is - maar bijna niemand doet dat met de hand).
Nogmaals, versleutelen is zinloos als je niet zeker weet met wie je communiceert. Dit soort certificaten suggereren dat je zeker weet met wie je communiceert, maar die zekerheid is erg klein (en neemt af naarmate de belangen groter zijn). Daarmee bieden ze een vals gevoel van veiligheid en ik denk dat het Internet daar netto niets mee opschiet - integendeel.
Het namelijk erg naïef om te denken dat aanvallers (criminelen en veiligheidsdiensten) ons met rust zullen laten zodra wij voorheen onversleutelde verbindingen gaan versleutelen. Een voordeel van Let's Encrypt is wellicht dat veiligheidsdiensten minder hard om encryptie-backdoors hoeven te zeuren bij de politiek, want die backdoor is ingebouwd bij Let's Encrypt.
En jij snapt blijkbaar niet dat ALLES wat je zojuist hebt gezegd al lang kan. Jaren lang. Het enige verschil is dat criminelen nu enkel niet meer hoeven te betalen, en dat bespaard ze een uurtje tijd en een certificaat aanvraag van 30 euro. Je hele post is dus irrelevant.
En dat alles staat los van de vele vele voordelen van overal encrypted datastromen voor consumenten waar je niet op in gaat, zoals het feit dat niet jan-en-alleman mee kunnen luisteren (en daar bedoel ik je buurman mee die je WPA key heeft gekraakt mee, niet overheden). Jammer.
22-10-2015, 10:24 door
Erik van Straten
21-10-2015, 23:53 door Anoniem: En jij snapt blijkbaar niet dat ALLES wat je zojuist hebt gezegd al lang kan
Lees mijn bijdrage hierboven (https://www.security.nl/posting/448046/#posting448146) nog eens.21-10-2015, 23:53 door Anoniem: En dat alles staat los van de vele vele voordelen van overal encrypted datastromen voor consumenten waar je niet op in gaat, zoals het feit dat niet jan-en-alleman mee kunnen luisteren (en daar bedoel ik je buurman mee die je WPA key heeft gekraakt mee, niet overheden). Jammer.
Jammer inderdaad de buurman met WPA zich eenvoudig laat foppen met SSLStrip. En daarom jammer dat Let's Encrypt standaard geen HSTS forceert - waar je niet de allereerste verbinding mee beschermt, maar, in veel gevallen, wel volgende verbindingen (noch letsencrypt.org, noch helloworld.letsencrypt.org passen nu HSTS toe).Maar misschien heb je toch gelijk dat "Let's Encrypt" toch een goed idee is. Zodra browsers certificaten, waarvan bij uitgifte de eigenaar niet redelijkerwijs is vastgesteld, op dezelfde manier gaan behandelen als self-signed certificaten (verschil is er nauwelijks), hebben veel servers in elk geval https ingericht (hopelijk fatsoenlijk en goed onderhouden, de doelgroep wil voor een kwartje op de eerste rang) en besluiten de legitieme eigenaren daarvan alsnog een betrouwbaarder certificaat aan te schaffen.
Door Erik van Straten: In plaats van de waardeloze validatie van "Let's Encrypt" in te voeren zouden we DV certificaten niet langer moeten accepteren. Met "Let's Encrypt" wordt de acceptatie van waardeloze certificaten meer gemeengoed gemaakt, en dat is een verslechtering. Waar we spijt van gaan krijgen.
Doet me denken aan een feministische politica die ooit tegen de invoering van het homohuwelijk was omdat ze tegen het huwelijk was.Waardeloze validatie van DV-certificaten in het algemeen, bedoel je neem ik aan. Alles wat er te knoeien valt met een website met een DV-certificaat kan nog makkelijker met een website zonder certificaat. Hoezo is een DV-certificaat dan een achteruitgang? Ja, het kan een vals idee van vertrouwen geven. Pas maar op met deze website.
Maar hoe vaak worden ze nou werkelijk vervalst? Gaat dat opeens met bosjes gebeuren omdat er een nieuwe CA bijkomt? Is hun controle slechter dan de even oppervlakkige controle van andere CA's? Lijkt me allemaal niet. Ja, het kán beslist fout gaan, maar het zal aanzienlijk vaker goed gaan dan fout, aanzienlijk vaker juist wel dat extra drempeltje opwerpen, bijvoorbeeld bij providers die in niet-versleutelde sites advertenties injecteren. Ik verwacht dat het per saldo een verbetering zal zijn.
En als dit een groot succes wordt en HTTPS écht de norm wordt dan is het probleem niet meer dat er veel websites onversleuteld zijn, maar dat de validatie van de certificaten beter kan. Het is een probleem minder, een bestaand probleem wordt groter in de zin dat het meer websites betreft, en degenen die zich bezig houden met het bedenken oplossingen voor dit soort dingen kunnen hun volle aandacht daarop richten. Dit is een stap, niet een eindpunt. Een organisatie die dit soort dingen gratis wil aanbieden doet intussen ervaring op met CA zijn, en die zijn straks beter toegerust om de volgende stap te zetten. Ik denk dus dat dit een stap in de goede richting is.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
