Tls-certificaten vanaf 1 september maximaal 398 dagen geldig
Wie een tls-certificaat wil aanschaffen dat langer dan 398 dagen geldig is heeft alleen vandaag nog de tijd om dit te regelen. Vanaf morgen zullen nieuw uitgegeven certificaten met een levensduur van meer dan 398 dagen niet meer door browsers en besturingssystemen worden geaccepteerd.
Websites gebruiken tls-certificaten voor identificatie en het opzetten van een https-verbinding. Op dit moment mogen tls-certificaten voor een periode van maximaal 825 dagen geldig zijn, anders worden ze door browsers geblokkeerd. Dat is bepaald door het CA/Browser (CA/B) Forum, een consortium van certificaatautoriteiten en ontwikkelaars van browsers, besturingssystemen en andere PKI-applicaties dat zich bezighoudt met het opstellen van regels voor certificaten en certificaatautoriteiten.
Verschillende partijen, waaronder Apple, Cisco, Google, Microsoft, Mozilla en Opera, wilden de levensduur van certificaten naar 398 dagen verkorten. Een eerste voorstel hierover werd niet door het CA/B Forum aangenomen. Daarop lieten Apple, Google en Mozilla weten dat ze de maatregel eenzijdig gingen doorvoeren. Volgens Mozilla kan er zo sneller op beveiligingsincidenten worden gereageerd en kan veiligere technologie sneller worden doorgevoerd. Daarnaast lopen privésleutels van tls-certificaten die langer dan een jaar geldig zijn meer kans om te worden gecompromitteerd, aldus de browserontwikkelaar.
Hoewel certificaten maximaal 398 dagen geldig mogen zijn adviseerde Apple certificaatautoriteiten om certificaten met een maximale levensduur van 397 dagen uit te geven. Certificaatautoriteiten hebben daarop hun beleid aangepast. Zo besloot DigiCert vorige week al te stoppen met het uitgeven van certificaten die 825 dagen geldig zijn. De maatregel heeft geen effect op de populaire certificaatautoriteit Let's Encrypt. Certificaten van Let's Encrypt hebben een levensduur van maximaal negentig dagen.
Hoe ziet een vrij Internet er eigenlijk uit als iedereen straks afhankelijk is van een CA...?
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
Overigens gaat het wat ver om te stellen dat “iedereen straks afhankelijk is van een CA”. In een public key infrastructuur (PKI) ben je dat namelijk sowieso al. Daarnaast kan je ook je eigen software aanpassen en naar willekeur andere CA's toevoegen aan de root trust store. Je zou dat hele certificaat controle gedoe zelfs uit kunnen schakelen. Niemand verplicht je tot iets.
Hoe ziet een vrij Internet er eigenlijk uit als iedereen straks afhankelijk is van een CA...?
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
De klok horen luiden maar geen idee waar de klepel hangt. 90% op http? Laten we dat doen, kunnen we weer lekker verkeer injecteren in de communicatie!
Hoe ziet een vrij Internet er eigenlijk uit als iedereen straks afhankelijk is van een CA...?
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
Edward Snowden liet dit zaakje rollen, weten we nog?
Steeds korter durende certificaten zijn op den duur alleen nog maar betaalbaar als die uit de megastores van de techreuzen komen. Dat betekent dat alle validatie info (metatgegevens) ook naar die techreuzen gaat. Als de certificaten zo kortdurend zijn dat die per sessie worden geplaatst, dan is er geen validatie meer nodig, dan izijn die metagegevens al beschikbaar voordat het kortdurende certificaat is geplaatst. Dit is de mooiste technische reden die je kan bedenken om de GDPR te omzeilen.
Alleen maar te voorkomen door Europese Formele Ca's onder Europese wetgeving (net als in de eIDAS-construct) die additioneel afdwingt dat techreuzen (en elk andere IT-vendor) verplicht de Europese Formele CA's in de resp truststores op te nemen. Daarmee is dan ook het aspect aansprakelijkheid geregeld.
Alleen dan is Europese soevereiniteit nog te waarborgen
Hoe ziet een vrij Internet er eigenlijk uit als iedereen straks afhankelijk is van een CA...?
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
Alsjeblieft mensen denk na of de comment ergens op slaat voordat je zelf deze onzin gaat uitkramen
Hoe ziet een vrij Internet er eigenlijk uit als iedereen straks afhankelijk is van een CA...?
Juist, daarom is het ook waanzin om TLS te gebruiken op websites waar geen belangrijke informatie wordt uitgewisseld... 90% van het Internet is prima af met HTTP
Alsjeblieft mensen denk na of de comment ergens op slaat voordat je zelf deze onzin gaat uitkramen
En de argumentatie van tijd is sowieso discutabel, moet het na jaar dan misschien verlaagd worden naar 90 dagen? Hoezo is een jaar wel goed? Als er iets na een maand gebeurd, heb je nog steeds het revoke stelsel nodig anders gaat het nog 11 maanden fout.
Dus ik ben niet echt overtuigd van je kennis, ik denk dat het CA/B Forum er meer van weet dan jij.
Steeds korter durende certificaten zijn op den duur alleen nog maar betaalbaar als die uit de megastores van de techreuzen komen. Dat betekent dat alle validatie info (metatgegevens) ook naar die techreuzen gaat. Als de certificaten zo kortdurend zijn dat die per sessie worden geplaatst, dan is er geen validatie meer nodig, dan izijn die metagegevens al beschikbaar voordat het kortdurende certificaat is geplaatst. Dit is de mooiste technische reden die je kan bedenken om de GDPR te omzeilen.
Alleen maar te voorkomen door Europese Formele Ca's onder Europese wetgeving (net als in de eIDAS-construct) die additioneel afdwingt dat techreuzen (en elk andere IT-vendor) verplicht de Europese Formele CA's in de resp truststores op te nemen. Daarmee is dan ook het aspect aansprakelijkheid geregeld.
Alleen dan is Europese soevereiniteit nog te waarborgen
Precies!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
