Public Key Infrastructuur, technologie of hype?
Public Key Infrastructuur heeft de laatste tijd veel aandacht gekregen, maar is dit wel gerechtvaardigd? Heeft de technologie gefaald of is implementatie het probleem? Om een antwoord op deze vragen te geven is het belangrijk om het verschil tussen public key cryptografie (ontdekt door Rivest, Shamir en Adelman) en public key infrastructuur te kennen. Er is niets mis met de werking van public key cryptografie, iets wat niet van PKI gezegd worden. De technologie heeft, omdat de grote spelers een hype gecreërd hebben, veel negatieve kritiek gekregen, zo laat dit artikel weten.
doet iedereen op geheel eigen wijze. Daarbij zijn het onhandelbare
kerstbomen van techniek.
Een tijdje terug was er een ISSE conferentie waar een aantal zwitsers een
implementatie presenteerden en daarbij iedere PKI standaard overboord
zetten. Hun implementatie was een toonbeeld van eenvoud en zat goed in
elkaar. Leende zich bij uitstek voor een nieuwe open standaard.
Geweldig verhaal, bijna iedereen was boos. De gevestigde orde (mensen
van NIST, Microsoft, RSA, Bruce Schneier, etc.) vond het allemaal niet
kunnen, zaken als XML ipv. ASN.1 werd gezien als heiligschennis. In de
discussie kregen ze geen voet aan de grond.
Toch gaat iedereen vrolijk door met onnodig complexe PKI standaarden.Wat
dat aangaat is de kritiek terecht.
gecreërd hebben, veel negatieve kritiek gekregen, zo laat
dit artikel weten.
hooguit 10 seconden CPU tijd kost om te genereren is gewoon
een belachelijk bedrag dat weinigen neer gaan leggen. Om dit
goed te gebruiken heb je al snel je eigen CA nodig om voor
ieder doeleind een apart certificaat te gebruiken, dit is
gewoon niet te krijgen tenzij je ECHT veel neer gaat leggen.
Resultaat: het concept faalt.
Een tijdje terug was er een ISSE conferentie waar een aantal zwitsers een
implementatie presenteerden en daarbij iedere PKI standaard overboord
zetten. Hun implementatie was een toonbeeld van eenvoud en zat goed in
elkaar. Leende zich bij uitstek voor een nieuwe open standaard.
Is de presentatie v/d zwitesrs ergens beschikbaar, klinkt erg interessant?
PKI is ok (nuttig, biedt idd een bepaald niveau van beveiliging) MITS eea juist
technisch en organisatorisch wordt ingepast.
gevolg: meerdere CA's nodig om marktwerking (pragmatiek -->
kwaliteit/kosten verhouding) op een goed niveau te krijgen?
hooguit 10 seconden CPU tijd kost om te genereren is gewoon
een belachelijk bedrag dat weinigen neer gaan leggen.
Ooit eens een notaris betaald voor de overdracht van een
huis? Nee dus, want jij bent vast niet bereid zoveel te
betalen voor die handtekening. Toch doen dagelijk vele
mensen dat.
Conclusie: Zowel die notaris als de digitale hadtekening
betekenen meer dan alleen een beetje inkt / bitjes. Het gaat
om de garanties die er aan vast zitten, die maken beide
handtekeningen (door de procedures) duur.
Onverlet blijft inderdaad de vraag of het wel een goede
implementatie heeft in de diverse producten..... De
techniek is wel OK.
hooguit 10 seconden CPU tijd kost om te genereren is gewoon
een belachelijk bedrag dat weinigen neer gaan leggen.
Ooit eens een notaris betaald voor de overdracht van een
huis? Nee dus, want jij bent vast niet bereid zoveel te
betalen voor die handtekening. Toch doen dagelijk vele
mensen dat.
Conclusie: Zowel die notaris als de digitale hadtekening
betekenen meer dan alleen een beetje inkt / bitjes. Het gaat
om de garanties die er aan vast zitten, die maken beide
handtekeningen (door de procedures) duur.
Onverlet blijft inderdaad de vraag of het wel een goede
implementatie heeft in de diverse producten..... De
techniek is wel OK.
Zowel de notaris als de PKI is te duur. De PKI techniek is onnodig complex,
de CP/CPS staan vol van overbodige maatregelen en juridische nonsens.
Het is kunstmatig (te) duur, dergelijke garanties kunnen veel goedkoper.
stand worden gehouden wegens amerikaanse commerciele
eigenbelangen. Intel is koploper.
Marktmacht bepaalt de standaard , niet of de techniek goed
of slecht is.
Voorbeeld waarom zitten we nog steeds te stakkeren met PCI
33mhz slots?
een PKI implementeren , het hangt er alleen vanaf op welk
niveau je dat wilt doen. Er zijn al certificaten te koop 15
euro per jaar en op basis van een public root. Het is gewoon
idioot om een PKI op te zetten die op notarieel niveau
transacties verricht. Hoevaak zit jij per jaar bij de
notaris voor een notariële acte? Als dit zootje 'security'
experts er al niets van snapt is inderdaad PKI dood in
Nederland.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
