Let's Encrypt geeft bekende phishingsites geen SSL-certificaat
De gratis SSL-dienst Let's Encrypt, waar straks iedereen een gratis SSL-certificaat voor zijn of haar website kan aanvragen, gaat voorlopig geen certificaten aan bekende malware- en phishingsites uitgeven. Let's Encrypt heeft als doel om het gehele web via een versleutelde verbinding te laten lopen.
Critici zijn bang dat criminelen van het initiatief gebruik zullen maken om voor hun phishingsites SSL-certificaten aan te vragen. Dit zou de phishingsites legitiem laten lijken, omdat ze over een "slotje" in de adresbalk beschikken. Consumenten zijn de afgelopen jaren altijd verteld om op de aanwezigheid van het slot-icoon te controleren. Volgens Let's Encrypt moet een SSL-certificaat niet als een vorm van goedkeuring worden gezien. Certificaatautoriteiten (CA), de partijen die de SSL-certificaten uitgeven, zijn namelijk niet goed uitgerust om zich met de bestrijding van phishing en malware bezig te houden.
Partijen als Google en Microsoft zijn hier volgens Let's Encrypt beter voor geschikt, omdat ze meer zicht op het ecosysteem hebben. Gebruikers zijn dan ook beter af met de anti-phishing en anti-malwarefilters die browsers bieden. Daarnaast moet een SSL-certificaat niet als bijzonder worden gezien, aldus de gratis certificaatautoriteit. "HTTPS is voor bijna alle websites belangrijk", aldus de organisatie. De aanwezigheid van een SSL-certificaat moet dan ook niet als uitzondering worden gezien, maar zou juist standaard moeten zijn.
Om aan de zorgen van critici tegemoet te komen gaat Let's Encrypt voorlopig de Google Safe Browsing API gebruiken. Dit is een database van Google bestaande uit allerlei malware- en phishingsites. Websites in deze database zullen van Let's Encrypt geen certificaat ontvangen. De reden om deze maatregel door te voeren is dat veel mensen het nog geen fijn idee vinden dat een certificaatautoriteit zich helemaal niet meer met de bestrijding van malware of phishing bezighoudt, zo stelt Josh Aas, directeur van de Internet Security Research Group (ISRG). Let's Encrypt is een initiatief van het ISRG.
Het is heel gezellig en leuk om een boodschap uit te kleden tot iets wat de minst snuggere internetgebruikers nog kunnen bevatten en daarbij de begrijpelijkheid zwaarder te laten wegen dan de juistheid van de boodschap, maar door de juistheid op te offeren maak je de werkelijkheid niet minder ingewikkeld, je wekt alleen de schijn dat die minder ingewikkeld is. De werkelijkheid kom je echt op een gegeven moment weer tegen in al zijn ingewikkeldheid.
De mensen die een verkeerde voorstelling van zaken hebben gegeven zijn hier degenen die een probleem hebben veroorzaakt. Daar zouden de critici zich in dit geval op moeten richten, en als ze zelf degenen zijn die slotje=veilig uitdroegen moeten ze eens kritisch naar zichzelf kijken.
Let's encrypt zal dus continu (elke minuut bijvoorbeeld) moeten controleren tegen alle bekende (phishing) domein blacklists. Niet alleen uri's van Google Safebrowsing.
https://www.security.nl/posting/448046/Grote+browsers+ondersteunen+gratis+SSL-dienst+Let%27s+Encrypt
EV certificaten zijn een marketingtruuk omdat veel mensen CA's niet meer vertrouwden en als je een CA niet voor de volle 100% kan vertrouwen, is je vebeiliging verbroken.
EV certificaten kosten mer geld, maar bieden geen enkele garantie.
Ons bedrijf is in staat geweest om EV certificaten te bemachtigen voor interne domainnamen (.local) en zelfs onbestaande domeinnamen. (.com en .net)
Daarnaast is nog niet zo lang geleden gebleken dat Symantec doodleuk geldige EV certificaten voor het domein google.com gebruik heeft "om te testen".
Mij lijkt het geen goed idee om EV certificaten meer te vertrouwen dan anderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
