HTTPS en HSTS voortaan verplicht voor alle overheidswebsites en webapps
Overheidswebsites en webapplicaties moeten voortaan verplicht van HTTPS en HSTS gebruikmaken. De Wet digitale overheid (Wdo) die deze eisen stelt is gisteren in werking getreden. Al begin 2017 liet de minister van Binnenlandse Zaken weten dat HTTPS voor alle overheidssites verplicht zou worden. Naast HTTPS voor een beveiligde verbinding was het plan om ook HSTS te verplichten.
HTTP Strict Transport Security (HSTS) zorgt ervoor dat websites die via HTTPS te bezoeken zijn alleen via HTTPS worden bezocht, ook al wordt er door de gebruiker HTTP in de adresbalk ingevoerd. In 2019 kwam het kabinet vervolgens met een internetconsultatie over de verplichting. Tijdens de aanschaf van ict-systemen en -diensten moeten overheidsorganisaties de ‘Pas toe of leg uit’-lijst van Forum Standaardisatie raadplegen, en de standaarden die van toepassing zijn, gebruiken. Tenzij ze een zwaarwegende reden hebben om dat niet te doen.
Het ‘Pas toe of leg uit’-beleid biedt ruimte aan publieke organisaties en overheidsorganisaties om in hun eigen tempo open standaarden te implementeren. Voor sommige standaarden gaat dat te langzaam, blijkt uit metingen die Forum Standaardisatie uitvoert (pdf). De Wdo moet ervoor zorgen dat ook achterblijvende overheidsorganisaties als het om HSTS en HTTPS gaat in beweging komen. Daarnaast moet de HTTPS-configuratie voldoen aan de TLS-richtlijnen en Webapplicatie-richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Het Forum Standaardisatie organiseert aanstaande woensdag 5 juli voor overheidsinstanties een "open spreekuur" over het verplicht toepassen van HTTPS en HSTS.
Maar ook Windows Updates gaan nog grotendeels via http.
HSTS helpt niet als de door jou gebruikte webbrowser geen (niet verlopen) HSTS-registratie van een website heeft en die browser geen "https-only" instelling heeft die áán staat: als je dan security.nl invult in de adresbalk van jouw browser, wordt er verbinding gemaakt via poort 80. Onder ongunstige omstandigheden (bijv. public WiFi) kan zo'n verbinding eenvoudig worden gekaapt.
Als jouw browser bij http://http.badssl.com zonder waarschuwing een rode pagina laat zien, staat "https-only" niet aan.
Waarom zouden we poort 80 uit gaan zetten? Gewoon niet voor dit soort sites gebruiken, Dat heeft toch niets verder met http of poort 80 te maken?
Dat is net zoiets als ... telnet moet dicht!!! Gooi het op de brandstapel. Ze bedoelen dan eigenlijk: Het Prococol! telnet niet gebruiken ... maar in de praktijk zie je dan dat poort 23 wordt uitgezet. of ... het commando telnet zelf verwijderen :D
HSTS zou niet gevoelig moeten zijn voor IP changes. Kun je dit toelichten?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
