Amerikaanse overheid laat certificaten verlopen door shutdown
De Amerikaanse overheid heeft tls-certificaten die worden gebruikt voor het opzetten van een beveiligde verbinding tussen bezoekers en websites op tientallen sites laten verlopen, waardoor internetgebruikers bij het bezoeken van deze overheidssites een certificaatwaarschuwing te zien krijgen.
Volgens internetbedrijf Netcraft zijn meer dan 80 tls-certificaten waar .gov-websites gebruik van maken inmiddels verlopen. Hierdoor laten browsers een waarschuwing aan gebruikers zien en wordt afgeraden om de website te bezoeken.
Sommige van de Amerikaanse overheidssites staan op de HSTS preloadlijst van Chromium. HSTS staat voor HTTP Strict Transport Security. Het zorgt ervoor dat websites die via https te bezoeken zijn alleen via https worden bezocht, ook al wordt er door de gebruiker http in de adresbalk ingevoerd of op een http-link geklikt. Via de preloadlijst van Chromium wordt bijgehouden welke websites over https moeten worden bezocht.
Een aantal van de Amerikaanse overheidssites staan op deze lijst. Dit zorgt ervoor dat Chrome en Firefox gebruikers niet de optie laten zien om de certificaatwaarschuwing te negeren. Bij andere overheidssites die door een verlopen tls-certificaat een waarschuwing veroorzaken is dit wel mogelijk, maar hierdoor zijn gebruikers kwetsbaar voor man-in-the-middle-aanvallen, zo waarschuwt Paul Mutton van Netcraft.
De reden dat de certificaten niet zijn verlengd heeft met de shutdown van de Amerikaanse overheid te maken. Eind december ging een aanzienlijk deel van de Amerikaanse overheid op slot omdat het Congres en het Witte Huis het niet eens konden worden over de begroting voor het komende jaar. Wanneer de overheid weer open gaat is onbekend.
Voor grote, belangrijke websites zou dat eigenlijk standaard moeten zijn.
Als het lang genoeg duurt, bouwt Mexico dadelijk een muur tegen illegale immigranten uit de VS.
Als het lang genoeg duurt, bouwt Mexico dadelijk een muur tegen illegale immigranten uit de VS.
Was dat niet zijn bedoeling? "Er komt een muur bij de grens naar Mexico en Mexico gaat die betalen", o.i.d. was toch zijn standpunt?
Voor grote, belangrijke websites zou dat eigenlijk standaard moeten zijn.
Als je hem toch al eerder bestel, kun je hem ook meteen activeren.
Was dat niet zijn bedoeling? "Er komt een muur bij de grens naar Mexico en Mexico gaat die betalen", o.i.d. was toch zijn standpunt?
Dat ontkent ie nou weer. Het is nog een grotere leugenaar dan Rutte.
Voor grote, belangrijke websites zou dat eigenlijk standaard moeten zijn.
Als je hem toch al eerder bestel, kun je hem ook meteen activeren.
Als Trump en consorten maar lang genoeg fossiele brandstoffen weten te verstoken, dan komt er vanzelf een moment dat ze zelfs in de Rocky Mountains bananen kunnen laten groeien. Dan zijn ze een echte bananenrepubliek geworden.
Dat gaan wij hier in de polder helaas niet niet meer meemaken, want tegen die tijd staat het zeewater tegen onze lippen.
Voor grote, belangrijke websites zou dat eigenlijk standaard moeten zijn.
Als je hem toch al eerder bestel, kun je hem ook meteen activeren.
Je kunt het oude certificaat beter een paar maand voor de vervaldatum vervangen.
Voor grote, belangrijke websites zou dat eigenlijk standaard moeten zijn.
Als je hem toch al eerder bestel, kun je hem ook meteen activeren.
Je kunt het oude certificaat beter een paar maand voor de vervaldatum vervangen.
Een van de sites die aangehaald wordt is ows2.usdoj.gov. Omdat de site HSTS gebruikt kun je momenteel niet naar die site. Op de certificate transparancy logs kun je wel zien wat er aan de hand is met het certificaat: https://crt.sh/?q=ows2.usdoj.gov
Het certificaat zit bij GoDaddy. Maar als je gaat kijken bij crt.sh zie je dat er wel een geldig certificaat is, maar het is duidelijk niet geïnstalleerd op die server. Misschien wordt het loon van de persoon die dat normaal gezien moet doen niet meer uitbetaald.
Volgens mij is de oplossing in een situatie met https-only, hsts-actief en steeds kortere levensduur van de certificaten automatisatie. Dat kan met Let's Encrypt maar er zijn nog CA's die dit --al dan niet gratis-- kunnen. Vraag naar/Eis die mogelijkheden bij je leverancier.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
