Firefox wijzigt omgang rootcertificaten voor ouders en bedrijven
Mozilla gaat aanpassingen in de manier doorvoeren waarop Firefox met rootcertificaten omgaat, waardoor de browser beter is geschikt voor bedrijven en andere beheerde omgevingen en ouders die het surfgedrag van hun kinderen monitoren. Rootcertificaten spelen een belangrijke rol op internet en zorgen ervoor dat browsers alleen ssl-certificaten accepteren die door vertrouwde certificaatautoriteiten zijn uitgegeven.
Windows heeft een eigen database met de rootcertificaten van certificaatautoriteiten die worden vertrouwd en browsers maken hier gebruik van. Dat geldt niet voor Firefox, dat over een eigen database met rootcertificaten beschikt. Dit kan een probleem zijn voor bedrijven en organisaties die hun eigen rootcertificaten beheren, bijvoorbeeld om het verkeer van werknemers te kunnen inspecteren of die eigen ssl-certificaten voor interne websites uitgeven. De bedrijven voegen in dit geval hun eigen rootcertificaat toe, zodat de ssl-certificaten die ze zelf uitgeven door de browser worden geaccepteerd.
Firefox zal in dit geval een waarschuwing geven, omdat het zoals gezegd over een eigen database met rootcertificaten beschikt en de rootcertificaten van de bedrijven niet herkent. Mozilla heeft nu een feature ontwikkeld waarbij Firefox in de Windows-database kijkt voor certificaatautoriteiten die door de gebruiker of systeembeheerder zijn toegevoegd. Als Firefox een dergelijke certificaatautoriteit tegenkomt zal het voortaan ook van deze partij de ssl-certificaten accepteren als het die op een website tegenkomt. De feature is nu alleen nog aanwezig in een testversie van Firefox 49 en moet handmatig worden ingeschakeld. Door de maatregel moet het volgens Mozilla eenvoudiger worden om Firefox binnen beheerde omgevingen te gebruiken.
Ouderlijke toezicht
De infrastructuur die Mozilla voor de omgang met certificaatautoriteiten buiten de eigen database ontwikkelde kan ook worden gebruikt voor ouderlijk toezicht, laat Mozilla-engineer David Keeler weten. Via Microsoft Family Safety kunnen ouders het surfgedrag van hun kinderen monitoren, door logs te verzamelen en websites te blokkeren. Onlangs liet Microsoft weten dat deze maatregel alleen met de eigen Edge-browser werkt. Mozilla meldt nu dat de nieuwe functionaliteit in de browser ervoor zorgt dat Microsoft Family Safety straks ook met Firefox werkt. De maatregel zal vanaf Firefox 50 worden ingevoerd. Daardoor krijgen kinderen als ze met Firefox websites bezoeken vanaf een Windows-account dat via Microsoft Family Safety wordt gemonitord geen foutmeldingen meer.
Ter vergelijking: in Android Nougat worden door gebruikers (of apps) toegevoegde root certificaten niet zomaar meer vertrouwd, zie [2]. Dat heeft wel als gevolg dat je https-MitM tools als Fiddler niet meer eenvoudig kunt gebruiken, zie [3].
[1] https://isc.sans.edu/forums/diary/Example+of+Targeted+Attack+Through+a+Proxy+PAC+File/21405/
[2] http://android-developers.blogspot.nl/2016/07/changes-to-trusted-certificate.html?m=1
[3] https://textslashplain.com/2016/07/27/using-fiddler-with-ios-10-and-android-7/
Correct.
Correct.
Correct.
Inderdaad, door op de firewall het HTTPS verkeer al te kunnen controleren kun je malware, cryptoware en andere leuke dingen er al vast uithalen voor de eindgebruiker. Wel zo veilig. Hoeft de PC het niet eerst uit te voeren, en dan als het kwaad al geschied is, een virusscanner hebben die zegt: hé dat had niet gemogen..
Of juist om de veiligheid te verhogen. MitM kunnen ook gedaan worden op bedrijfs proxy servers, iets wat juist de veiligheid verhoogt voor het bedrijfs netwerk.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!