Symantec DNS rootserver beheerder... hmmz :S

Krijgen we weer een bedrijf dat op een ander al zijn producten gaan uitkopen? Waar gaan we naartoe...

Waarom zouden ze zo'n sterk merk als ViriSign willen dumpen?
En tast dit niet de integriteit van DNSSec/SSL Certs aan.

Symantec heeft mij bij niet een al te goede reputatie, ik ben benieuwd of dit op de langere termijn voor problemen gaat zorgen.

Krijg hier nou niet echt een warm gevoel van. Ben eigenlijk wel blij dat ik in de afgelopen tijd al aardig wat business bij Verisign heb weggehaald en elders heb ondergebracht.

Mja... de link onder 'gerelateerde artikelen' anders ook niet :-)

http://www.security.nl/artikel/26016/1/VeriSign%3A_We_begrepen_het_belang_van_SHA-1_niet.html

Misschien is het maar beter zo. Vind het overigens wel vreemd... Symantec is schijnbaar een encryptie-minded overnamepad gestart... laatst ook al PGP inc.geassim... opgekocht...

EDIT: ook al onder de 'gerelateerde artikelen'... had mijn bril zeker niet op :-)
http://www.security.nl/artikel/33201/1/Symantec_koopt_PGP_voor_225_miljoen_euro.html

Hoe goed je security ook modeleert, wat voor mooi idiologisch bedrijfje je ook opstart, geld wint het van alles blijkbaar. It's a sad world out there.

Kan ze geen ongelijk geven, in de toekomst zal dit steeds belangrijker worden.
Hierom ben ik er dan ook niet zo blij mee dat het allemaal gekocht word door Symantec.
Welke overheden/bedrijven zitten daar achter?! Met het oog op backdoors in de encryptie software geen leuk vooruitzicht mijnsinziens.

Daar moeten we denk ik niet te diep achter zoeken.. ik denk dat eigenlijk dat Symantec een ordinaire patenttroll aan het worden is....

@AlexK: Ik hoop het maar ;-)

dus symantec, gaat binnenkort PGP singned backdoor software leveren aan microsoft, die dan ook weer gesponsord worden door de NSA.

Symantec koopt niet het hele bedrijf Verisign, maar (zoals het artikel later ook vermeld) Verisign Authentication Business.

Jammer dat een onafhankelijk bedrijf met een goede reputatie nu door Symantec is overgenomen. Is voor mij en een heleboel andere mensen een onbegrijpelijke actie. De naam en onafhankelijkheid is nu de deur uit gegooid.

It's a sad day in certificate world.....

1 gigantisch groot bedrijf wat alle core-security-technology in handen heeft en houd.
Een Big Brother Crypto division ;-) dat "bepaalde klanten" gecentraliseerd toegang kan verschaffen tot alle digitale data.

Gelukkig hebben we bij Linux OpenSSL (dus open-source).
"Invalid form-token. Make sure to always submit a form-token when making a post request."?

Min van mij: als je dan toch wilt NSA'en moet je Google erbij trekken - niet als eerste MS. Leuk overigens dat Google zojuist bekend heeft gemaakt nu ook search via SSL beschikbaar te maken - maar dan waarschijnwel wel via Thawte :-)

Afgezien daarvan: PGP/GPG is een peer-based trust systeem, en X509/PKI (in dit geval Verisign) een centraal trust systeem. Dat laatste maakt het wel zowel sterk als zwak: wanneer een kwaadwillende de root CA in handen heeft heb je een probleem. De grote vraag is nu: kunnen we Symantec trusten? Zo nee: dan is bij deze elk certificaat voor e-mail, code signing en SSL bij deze volledig waardeloos!

EDIT: elk cert van Verisign-Symantec dus.

Dan heb je bij deze al een probleem: aangezien Symantec de trust bepaalt en jij Symantec niet trust is het feest over. Elke site met een Verisign certificaat is voor jou bij deze onbetrouwbaar.

Het is niet zozeer de 'crypto', maar het vertrouwen in de echtheid/validiteit van de drager van het certificaat wat is uitgekeerd door Symantec:

Voorbeeld: groteboekenboer.nl neemt een certificaat voor de SSL site; hiermee bieden ze niet alleen versleuteling aan voor betalingen, maar ook (en vooral) een bewijs van echtheid; dankzij het certificaat dat is uitgekeerd door een vertrouwde instantie (verisign) weet jij als consument zeker dat je niet met https://www.ev1ilph1ser.com of https://www.ernst-hirsch-ballin.nl te maken hebt, maar met met de boekenboer waar jij zaken mee wilt doen.

In dit geval verzorgt de crypto:
- versleuteling van het HTTP verkeer tussen klant en site
- cryptografische onwaarschijnlijkheid van vervalsing (want alleen verisign heeft de private key in handen waarmee het cert is gesigned)

En dan is inderdaad de vraag: vertrouwen wij Symantec? Of denken we dat ze certificaten zouden willen vervalsen ten gunste van bijvoorbeeld overheden?

OpenSSL zal je niet helpen hier, aangezien je hiermee geen central trust instantie hebt, maar https://www.cacert.org/ dan weer wel.

CaCert plug ik altijd graag, maar dit is wel een erg goed moment :-)

Ik niet.

Zoveel macht en controle over zulke belangrijke zaken op 1 plaats kan niet anders dan misbruikt worden....

Ach, nadat DNSSEC volledig uitgerold is, zijn X.509 certificaten toch irrelevant voor websites. Immers je kan dan de keys voor versleuteling van je website in DNS publiceren waarbij de clients aan de hand van DNSSEC kunnen controlleren dat ze authentiek zijn. Als grote speler op de DNS markt realiseert Verisign zich dit natuurlijk weldegelijk en verkopen de in niet zo verre toekomst ten dode opgeschreven certificaten tak en vangen er een leuke som voor. Wel wat sneu voor Symantec maar die zien er wellicht mogelijkheden in voor code signing en personen identificatie.

Verisign, dat waren toch de grootste boeven van Internet? Iets met DNS hijacking?