Internet.nl biedt verbeterde testen voor TLS en Content Security Policy
Er is een nieuwe versie van de website Internet.nl gelanceerd die nu verbeterde testen voor Transport Layer Security (TLS) en Content Security Policy (CSP) biedt. Internet.nl is een testtool van het Platform Internetstandaarden dat als doel heeft om het gebruik van moderne internetstandaarden verder te vergroten.
Internet.nl controleerde al op allerlei zaken en heeft nu ook de nieuwste TLS-richtlijnen van het Nationaal Cyber Security Centrum (NCSC) toegevoegd. In deze richtlijnen zijn onder andere het beveiligingsniveau van TLS 1.2 afgewaardeerd van Goed naar Voldoende en zijn de eisen voor de volgorde van algoritme selecties vereenvoudigd. TLS is het meestgebruikte protocol voor beveiligde verbindingen op internet. Het gaat dan bijvoorbeeld om het beveiligen van web en e-mailverkeer.
Daarnaast test Internet.nl nu de Content-Security-Policy (CSP) van websites. CSP is een maatregel die cross-site scripting (XSS), clickjacking en soortgelijke aanvallen moet voorkomen. Via Content-Security-Policy kunnen beheerders domeinen opgeven die de browser als geldige aanbieder moet beschouwen voor het uitvoeren van scripts. Een browser die CSP ondersteunt zal dan alleen nog maar bestanden uitvoeren die afkomstig zijn van domeinen op de whistelist en alle andere scripts negeren.
1.1/1.2 ?????
Zie de discussie in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate voor meer info over die T-Mobile site.
Bij de volgende scanresultaten wordt juist dit aspect ook gemist:
https://quickscan.guardian360.nl/scan?url=https%3A%2F%2Fcommunity.t-mobile.nl
Maar om een beetje beeld van de veiligheidssituatie op een website te krijgen,
moeten vaak de resultaten van meerde scans worden gecombineerd.
Vreemd en kwalijk, want deze scan geeft het ook niet aan:
https://observatory.mozilla.org/analyze/community.t-mobile.nl#tls
luntrus
https://www.sslcheck.nl/community.t-mobile.nl:
Pas als je op "QuoVadis Global SSL ICA G2 >" klikt zie je dat dit certificaat is ingetrokken - op basis van een CRL check; links daarvan staat: "OCSP status: Niet beschikbaar" maar voor Digicert (zie verderop) is OCSP kennelijk wel beschikbaar.
https://www.immuniweb.com/ssl/?id=XENQR4FR:
https://ssltools.digicert.com/checker/views/checkInstallation.jsp
Certificate status: Revoked
Serial Number: 48982de2a92cb339e1c8f933358275d3e4f88255
...
Revocation check method: OCSP
Revocation reason: Superseded
https://www.sslshopper.com/ssl-checker.html#hostname=community.t-mobile.nl
Ook het volgende certificaat krijgt een groen vinkje:
Organization: QuoVadis Limited
Location: BM
Valid from June 1, 2013 to June 1, 2023
Serial Number: 48982de2a92cb339e1c8f933358275d3e4f88255
Signature Algorithm: sha256WithRSAEncryption
Issuer: QuoVadis Root CA 2
Interessant artikel hier: https://www.venafi.com/blog/how-check-revoked-certificates
en het volgende verhaal: https://social.technet.microsoft.com/Forums/office/en-US/334dce20-b604-441e-8747-2a3d2a4e0263/deleting-revoked-certificates
Het is dus de bedoeling dat eventuele "teruggetrokken certificaten" automatisch vervangen gaan worden.
Heb ik dat zo goed begrepen, Erik?
luntrus
https://www.darknet.org.uk/2018/10/ctfr-abuse-certificate-transparency-logs-for-https-subdomains/
Oudere methode: https://www.darknet.org.uk/2016/04/dnsrecon-dns-enumeration-script/
We begrijpen dan meteen waarom het zo belangrijk is om 'certificate transparency' te valideren,
alsmede een vinger aan de pols te houden, zodat website spoofing, het zich voordoen als een bepaalde server,
en man-in-the-middle attacks kunnen worden gecheckt.
Zou het daarom zijn dat op android revocation anders geregeld is dan op andere platformen?
#sockpuppet
Het teruggetrokken certificaat staat in de CRL van QuoVadis Root CA 2, wordt door de QuoVadis OCSP-server als revoked gemeld en zit sinds 9 februari ook in de OneCRL van Mozilla. Desondanks geeft Firefox geen security waarschuwing. Firefox blijkt CRL en OCSP niet te gebruiken behalve bij EV-certificaten, blijft over de OneCRL. In die lijst staat het Enabled attribuut van het betreffende record op false. Vooralsnog (ik ken de schemadefinitie van de OneCRL niet) ga ik er van uit dat dat betekent dat het record niet door Firefox wordt gebruikt. Misschien heeft Mozilla dat zo gedaan omdat het certificaat vervangen is door een nieuw certificaat met dezelfde key, hetzelfde key ID en de dezelfde einddatum?
1.1/1.2 ?????
Bijzonder, hier nergens last van. Connect bv. naar m'n bank op 'TLS 1.3, X25519, and AES_256_GCM'.
Is het op specifieke sites dat je daar last van hebt?
Zie de discussie in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate voor meer info over die T-Mobile site.
Resultaat test:
Het domein community.t-mobile.nl heeft een testscore van 70%.
70%
Geslaagd : Bereikbaar via moderne internetadres (IPv6)
Gezakt : Domeinnaam niet ondertekend (DNSSEC)
Gezakt : Verbinding niet of onvoldoende beveiligd (HTTPS)
Suggestie : Een of meer aanbevolen applicatie-beveiligingsopties niet ingesteld (Beveiligingsopties)
What's up guys???
@Roger63: in Firefox voor desktops lopen OneCRL en "Intermediate Preloading" door elkaar, en beide worden met vertraging door Firefox gedownload. Als je met een gloednieuw profiel voor Firefox desktop https://community.t-mobile.nl/ opent, krijg je eerst geen foutmelding. Zodra OneCRL is gedownload, krijg je wel een foutmelding. Zodra "Intermediate Preloading" heeft plaatsgevonden, verdwijnt de foutmelding weer. Zie de reacties van 15-03-2021 in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate.
Wel opmerkelijk dat het geen TLSA records opmerkt met hashes van 3 certificaten geleden,
een "probleem" dat overigens nergens problemen veroorzaakt.
Sowieso, mooie tool, en lekker duidelijk. Complimenten.
Wel een uitdaging. Maar een mooi/handig/nuttig hulpmiddel dus.
Ikzelf mis enkel validatie van een CAA record in de DNS, maar ik verwacht dat iedereen ook wel checked bij i.c.m. ssllabs,
en beide tools vullen elkaar mooi aan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
