Volledig versleuteld web nadert door gratis SSL-certificaten
Een volledig versleuteld web waar alle verbindingen tegen afluisteren zijn beschermd is een stap dichterbij gekomen nu het Let's Encrypt-project een open betatest is gestart. Let's Encrypt biedt gratis SSL-certificaten en is een initiatief van de Internet Security Research Group (ISRG) en wordt gesteund door Mozilla, Akamai, Cisco, de Amerikaanse burgerrechtenbeweging EFF en verschillende andere partijen.
Deze partijen willen via Let's Encrypt een volledig versleuteld web realiseren. Om dit mogelijk te maken moet de uitgifte en installatie van SSL-certificaten zo eenvoudig mogelijk worden. Hiervoor is een API (programmeerinterface) ontwikkeld, alsmede clientsoftware die van deze API gebruik maakt. Beheerders kunnen deze clientsoftware op hun eigen webserver draaien om automatisch een certificaat te installeren en hun server zo te configureren dat voortaan HTTPS wordt gebruikt.
Onlangs vond er al een gesloten betatest plaats, waarbij er 26.000 gratis SSL-certificaten zijn uitgegeven. Nu hebben de ontwikkelaars besloten om de betatest voor iedereen open te stellen. Voordat het beta-stempel verdwijnt moeten er nog verschillende zaken worden verbeterd, zoals de software die de automatische installatie van de SSL-certificaten regelt. "We moeten ervoor zorgen dat de client op een groot aantal platformen soepel en betrouwbaar werkt", aldus Josh Aas, directeur van de ISRG. Volgens de EFF is de open betatest een grote mijlpaal voor het versleutelde web. "Een volledig versleuteld web is binnen handbereik. Let's Encrypt gaat ons helpen dit te realiseren", zegt Jacob Hoffman-Andrews van de Amerikaanse burgerrechtenbeweging.
Reacties (19)
Straks is alles versleuteld en is helemaal niks meer te vertrouwen. Of dat nou een verbetering is weet ik niet...
Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Was dat niet altijd al zo?
Iedereen kon altijd al een domain als anb-amro.nl aanmaken en daar een geldig certificaat op zetten..
Iedereen kon altijd al een domain als anb-amro.nl aanmaken en daar een geldig certificaat op zetten..
04-12-2015, 10:58 door
Erik van Straten
04-12-2015, 09:43 door Anoniem: Straks is alles versleuteld en is helemaal niks meer te vertrouwen. Of dat nou een verbetering is weet ik niet...
Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Goed te lezen dat ik niet de enige ben die denkt dat Let's Encrypt een slecht idee is (zie ook https://www.security.nl/posting/453137/Let%27s+Encrypt+for+Phun+and+Profit). Een https certificaat is bedoeld om een webserver op andere wijze te identificeren dan via DNS en routering naar een IP-adres (als dat voldoende is kun je net zo goed een self-signed certificaat gebruiken).Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Helaas, in Firefox zegt een groen slotje overigens ook niks meer, want DV (Domain Validated) en Let's Encrypt certificaten krijgen tegenwoordig ook een groen slotje - waarmee het verschil met EV-certificaten kleiner is geworden (zie https://www.security.nl/posting/449897/Firefox+42+verandert+weergave+sommige+SSL-certificaten).
04-12-2015, 11:24 door
SecOff
Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger.
Het primaire doel van Lets encrypt is niet het authenticeren van de host maar het versleutelen van de communicatie.
Het biedt geen beveiliging tegen geavanceerde aanvallen maar wel tegen massa surveillance.
Goede zaak zou ik zeggen.
Door Anoniem: Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt niks, alleen een groen slotje heeft enige waarde".
Een slotje heeft nooit meer betekend dan dat de website een geldig ssl certificaat heeft - het heeft nooit iets gezegd over de inhoud van de site, of de bedoelingen van de site-eigenaar.
@11:24 Mee eens! Het gaat om de massa surveillance en zoveel mogelijk andere potentiele MITM uit te schakelen door het versleutelen van de communicatie. Voor de authenticatie bel ik zonodig wel een keertje op,..
04-12-2015, 12:15 door
Erik van Straten
04-12-2015, 11:24 door SecOff: Het primaire doel van Lets encrypt is niet het authenticeren van de host maar het versleutelen van de communicatie.
Daar heb je geen certificaat voor nodig.04-12-2015, 11:24 door SecOff: Het biedt geen beveiliging tegen geavanceerde aanvallen maar wel tegen massa surveillance.
Dat doet het niet. Iedereen die netwerkverkeer kan afluisteren ziet nog steeds jouw IP adres en dat van de server. Dankzij het certificaat dat de server (onversleuteld) terugstuurt (en de SNI header die jouw browser meestuurt) kan een passieve sniffer precies vaststellen wie wanneer welke sites bezoekt.Belangrijker, vind je het niet naïef om ervan uit te gaan dat passieve aftappers zullen denken "dan maar niet" als ze zien dat inhoudelijke verkeer versleuteld is? Als het ze niet lukt om encryptie helemaal te verbieden of MitM rootcerts te verplichten (http://www.theregister.co.uk/2015/12/03/kazakhstan_to_maninthemiddle_all_internet_traffic/), zullen ze wellicht MitM surveillance van https://zalando.nl/ laten liggen, maar van elke potentieel interessante site (politiek gevoelige sites, bouwmarkten, kunstmest webshops etc). zullen ze, linksom of rechtsom, wel inhoudelijke gegevens willen verzamelen. Let's Encrypt maakt dat doodsimpel voor hen.
Alleen mensen met verstand van zaken (die bijv. het IdentTrust rootcert distrusten) zullen dat soort gerichte massa surveillance opmerken.
In de USA en Europa zal dit wel loslopen, maar omdat in de westerse wereld zoveel krenten rondlopen die commerciële certificaten te duur vinden, moet de rest van de wereld er maar aan geloven.
Voor de westerse wereld denk en vrees ik dat de "geavanceerde aanvallen" die jij noemt helemaal niet geavanceerd zijn. Ik verwacht dat cybercriminelen niet lang zullen wachten met het misbruik maken van Let's Encrypt certificaten (zie de thread die ik gestart ben). Ideaal: geen enkele authenticatie nodig (zelfs geen e-mail adres zoals bij DV certs) en het kost ook nog eens niks.
In Nederland is DNSSEC goed aanwezig op de domeinen door de korting die gegeven wordt door SIDN. Nu staat dat weer toe om met een Lets Encript ook een geldige TLSA te activeren op een website. Helaas doen de webbrowsers niets met TLSA op het moment.
Door Erik van Straten:12:15uur:
...maar omdat in de westerse wereld zoveel krenten rondlopen die commerciële certificaten te duur vinden, moet de rest van de wereld er maar aan geloven...
...maar omdat in de westerse wereld zoveel krenten rondlopen die commerciële certificaten te duur vinden, moet de rest van de wereld er maar aan geloven...
De spijker op zijn kop!
Ik ben geen IT specialist maar mijn verstand zegt: zelfs de groene slotjes zie je inderdaad nog te weinig. Hoe zou je dat nu al eens nationaal verplicht kunnen stellen denk ik dan. Een reus als Amazon, die volgens mij een kast vol - bij wijze van spreken - Credit-Card gegevens heeft van miljoenen klanten, kent die verantwoordelijkheid wèl. De grotere winkels draaien in Nederland eindelijk bij zoals HEMA en Blokker bijvoorbeeld maar log eens in bij de kleinere? Ik doe het niet meer, want zelfs op de inlogpagina zit je vaak nog met beide voeten in het HTTP-riool.
Ik vind dat feitelijk nonchalant, herstel: schandalig en niet getuigen van verantwoordelijkheid jegens klanten die wèl hun vertrouwen in de desbetreffende webwinkel stellen.
Door Erik van Straten: maar van elke potentieel interessante site (politiek gevoelige sites, bouwmarkten, kunstmest webshops etc). zullen ze, linksom of rechtsom, wel inhoudelijke gegevens willen verzamelen. Let's Encrypt maakt dat doodsimpel voor hen
Behalve dat het aanvragen van een certificaat kosteloos en geautomatiseerd is (beide opties bestaan al lang, maar nog niet in combinatie) Hoe maakt het het "doodsimpel" om inhoudelijke gegevens te verzamelen? Als een onvertrouwde derde controle over de dns van en domein heeft ben je sowieso de ***. dat e-mailtje onderscheppen naar webmaster@domain.tld is dan zo geregeld. Ik ben zeker niet van mening dat het huidige public PKI systeem (en dus ook Lets Encrypt) voldoende veiligheid bied maar als er gekozen moet worden tussen standaard wel of niet versleutelde verbindingen dan kies ik voor het eerste. @Erik: Ik ben benieuwd waarom jij vindt dat Lets Encrypt de huidige brakke PKI infra nog onveiliger maakt ?
Door Erik van Straten: Belangrijker, vind je het niet naïef om ervan uit te gaan dat passieve aftappers zullen denken "dan maar niet" als ze zien dat inhoudelijke verkeer versleuteld is? Als het ze niet lukt om encryptie helemaal te verbieden of MitM rootcerts te verplichten (http://www.theregister.co.uk/2015/12/03/kazakhstan_to_maninthemiddle_all_internet_traffic/), zullen ze wellicht MitM surveillance van https://zalando.nl/ laten liggen, maar van elke potentieel interessante site (politiek gevoelige sites, bouwmarkten, kunstmest webshops etc). zullen ze, linksom of rechtsom, wel inhoudelijke gegevens willen verzamelen. Let's Encrypt maakt dat doodsimpel voor hen.
Ik snap niets van dit argument. Een verbinding die niet versleuteld is (kaal HTTP) is echt niet moeilijker af te luisteren dan HTTPS met een certifciaat van Let's Encrypt. Hoezo maakt Let's Encrypt iets doodsimpel, het was al doodsimpel.Door Erik van Straten:... DV (Domain Validated) en Let's Encrypt certificaten...
Je hebt het over Let's Encrypt én DV (en zo breng je het vaker als ik me niet vergis), alsof Let's Encrypt niet gewoon de zoveelste leverancier van DV-certificaten is. Voor zover ik het althans begrijp gebruiken ze technieken die sprekend lijken op wat andere leveranciers van DV-certificaten doen om het goedkoop te houden, alleen wordt het proces nu niet alleen aan de kant van de CA geautomatiseerd maar ook aan de kant van de aanvrager. Dat verandert de gebruikte controlemechanismes echter niet, het enige wat deze certificaten bewijzen is dat de aanvrager beheertoegang tot de website had op het moment van aanvragen. Mis ik iets waardoor wat Let's Encrypt levert toch geen DV-certificaten genoemd moeten worden?We moeten ook niet vergeten dat bij het SSL-protocol een heleboel ook nog niet eens goed gereguleerd is, zoals bijvoorbeeld rond SSL-unieke IDs, die vaak onveilig met derde partijen worden gedeeld. Waar speelt men die data dan weer naar door?
Installeer maar eens een fijne extensie als Tracker SSL en zie hoeveel procent op een website onveilig verstuurd wordt. Hier op dit forum is het "75% of the trackers on this site could be helping protect you from NSA snooping. But, even though security.nl uses HTTPS, there's at least one third party that's been communicating insecurely. Tell security.nl to fix it." Tweet.
Insecure trackers zijn in dit geval gelukkig maar een paar extensies die mijn sessionid hier krijgen.
Als de configuratie settings van een site niet goed ingesteldzijn en security headers niet juist geimplementeerd, krijg je dit.
Scan maar eens hier: http://cyh.herokuapp.com/cyh en wil je nog wat vreemde constructies zien, ga dan naar de online HTTPS: Everywhere atlas. Tellen we dat allemaal bij elkaar op, dan zijn we nog ver van huis. Dan wordt er nog allerlei data gedeeld en eventueel in sommige landen opgevraagd met een "gag order" erbij. Ook bij SSL zijn we het product en de sluitpost, want het mag vooral niet te veel kosten, toch?
Installeer maar eens een fijne extensie als Tracker SSL en zie hoeveel procent op een website onveilig verstuurd wordt. Hier op dit forum is het "75% of the trackers on this site could be helping protect you from NSA snooping. But, even though security.nl uses HTTPS, there's at least one third party that's been communicating insecurely. Tell security.nl to fix it." Tweet.
Insecure trackers zijn in dit geval gelukkig maar een paar extensies die mijn sessionid hier krijgen.
Als de configuratie settings van een site niet goed ingesteldzijn en security headers niet juist geimplementeerd, krijg je dit.
Scan maar eens hier: http://cyh.herokuapp.com/cyh en wil je nog wat vreemde constructies zien, ga dan naar de online HTTPS: Everywhere atlas. Tellen we dat allemaal bij elkaar op, dan zijn we nog ver van huis. Dan wordt er nog allerlei data gedeeld en eventueel in sommige landen opgevraagd met een "gag order" erbij. Ook bij SSL zijn we het product en de sluitpost, want het mag vooral niet te veel kosten, toch?
Ik vrees dat de echte waarheid is dat programmeerbare machines nooit echt goed zijn te beveiligen, zeker niet wanneer ze 7/24 toegankelijk zijn voor wie maar wil, wereldwijd. Gelukkig zijn het er erg veel en is het aantal transacties ermee astronomisch. Daardoor word je beschermd door de wet van de kudde: het toeval. Je kunt dat nog een beetje manipuleren door niet al te aanlokkelijk op het net aanwezig te zijn, maar daarmee zijn je middelen wel opgebruikt.
Ja, hallo zeg. Wie alleen naar een groen slotje kijkt moet zich toch wat gaan afvragen hier.
Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
Door Anoniem: Ja, hallo zeg. Wie alleen naar een groen slotje kijkt moet zich toch wat gaan afvragen hier.
Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
Het idee van een groen slotje (voor zover dat voor EV staat) is nou juist dat dat al heel goed voor je gedaan is.
04-12-2015, 17:42 door
SPlid
Door Erik van Straten:
Helaas, in Firefox zegt een groen slotje overigens ook niks meer, want DV (Domain Validated) en Let's Encrypt certificaten krijgen tegenwoordig ook een groen slotje - waarmee het verschil met EV-certificaten kleiner is geworden (zie https://www.security.nl/posting/449897/Firefox+42+verandert+weergave+sommige+SSL-certificaten).
Dit gaat over encryptie en niet over validatie van de website04-12-2015, 09:43 door Anoniem: Straks is alles versleuteld en is helemaal niks meer te vertrouwen. Of dat nou een verbetering is weet ik niet...
Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Goed te lezen dat ik niet de enige ben die denkt dat Let's Encrypt een slecht idee is (zie ook https://www.security.nl/posting/453137/Let%27s+Encrypt+for+Phun+and+Profit). Een https certificaat is bedoeld om een webserver op andere wijze te identificeren dan via DNS en routering naar een IP-adres (als dat voldoende is kun je net zo goed een self-signed certificaat gebruiken).Het hele validatieproces rond de uitgifte van certificaten was al te ver in kwaliteit naar beneden gegaan, en dit maakt het
alleen maar erger. Werd er vroeger gezegd "let er op dat er een slotje staat", dit zal worden omgezet in "een slotje zegt
niks, alleen een groen slotje heeft enige waarde".
Helaas, in Firefox zegt een groen slotje overigens ook niks meer, want DV (Domain Validated) en Let's Encrypt certificaten krijgen tegenwoordig ook een groen slotje - waarmee het verschil met EV-certificaten kleiner is geworden (zie https://www.security.nl/posting/449897/Firefox+42+verandert+weergave+sommige+SSL-certificaten).
04-12-2015, 17:44 door
SPlid
Door Anoniem: Ja, hallo zeg. Wie alleen naar een groen slotje kijkt moet zich toch wat gaan afvragen hier.
Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
en dan krijgt u een groene balk? Welke browser gebruikt u?Je moet ook kijken aan wie het certificaat is uitgeven. Als domein www.snsbank.nl staat en in het certificaat www.valsebankinstelling.nl, dan kun je weten dat er iets niet klopt. Je zult ook de certificaatgegevens moeten onderzoeken.
04-12-2015, 18:05 door
Te4sheeh
Door Anoniem: Straks is alles versleuteld en is helemaal niks meer te vertrouwen. Of dat nou een verbetering is weet ik niet...
In encryptie kan je onderscheid maken tussen authenticatie (praat ik met de juiste partij) en encryptie (zorg dat anderen niet mee kunnen kijken). Ik vind dat de grootste fout van SSL/TLS is dat die dingen sterk aan elkaar gekoppeld zijn. Dat betekent dat nu er de druk is om alles te versleutelen dat de enige manier is om de andere deel (authenticatie) zwakker te maken.
Ja het kan zelfs zo zijn dat als "epic fail" de encryptie van de verkeerde kant af geserveerd wordt - de zwakste als eerste en dan vervolgens de steeds sterkere i.p.v. andersom zoals het hoort. Er gaat nog een heleboel fout ,daar waar velen niet weten waar ze mee bezig zijn. Veiligheid is een sluitpost ook in de educatie en de overheids- en grote commerciële trackers zijn u daar zeer erkentelijk voor. Het heersend onbenul en onbegrip maakt hun taak er alleen maar gemakkelijker en eenvoudiger op.
Google begint al met 56 profiel algoritmen van de gebruiker - ook op een versleutelde website - in kaart te brengen en die data gaan naar de hoogste bieder en de vaste en vertrouwde opvragende partijen en we kunnen vermoeden wie dat zijn. We zijn het laatste station al lang gepasseerd en wie aan zijn privacy hecht in welke vorm dan ook moet dit altijd voor ogen hebben op het internet - "met afgezwakt encryptie protocol" of zonder.
Google begint al met 56 profiel algoritmen van de gebruiker - ook op een versleutelde website - in kaart te brengen en die data gaan naar de hoogste bieder en de vaste en vertrouwde opvragende partijen en we kunnen vermoeden wie dat zijn. We zijn het laatste station al lang gepasseerd en wie aan zijn privacy hecht in welke vorm dan ook moet dit altijd voor ogen hebben op het internet - "met afgezwakt encryptie protocol" of zonder.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
