"CA SSL-certificaten overbodig voor mobiele apps"
Door Certificate Authorities (CA) uitgegeven SSL-certificaten zijn niet nodig om verkeer van smartphone-gebruikers te beschermen. Certificate Authorities zijn de afgelopen maanden regelmatig negatief in het nieuws geweest. Zo wisten aanvallers bij Comodo en DigiNotar valse SSL-certificaten te genereren. Beveiligingsonderzoeker Moxie Marlinspike, wiens bedrijf onlangs door Twitter werd overgenomen, stelt dat voor mobiele apps het gehele CA-model kan worden overgeslagen.
"Als je een mobiele app hebt die een SSL-verbinding naar een service maakt die je beheert, is er geen reden om het certificaat van je dienst via een CA signature te valideren", merkt Marlinspike op. CA signatures zijn namelijk voor algemene netwerken, en daarvan is geen sprake van bij een mobiele verbinding. De app weet waarmee het verbinding maakt en weet ook wat voor certificaat het kan verwachten.
Google doet dit al met Google Chrome. Als Chrome een SSL-verbinding naar een dienst van Google opzet, controleert het of de certificaten die het ziet degene zijn waarvan het weet dat Google die gebruikt. "Dit heet pinning en is wat je voor je mobiele apps moet toepassen", aldus Marlinspike.
Kans
Het voordeel van de mobiele omgeving is volgens hem dat ontwikkelaars weer de kans krijgen om client-side software te schrijven, en niet meer gebonden zijn aan de algemene beperkingen van de web browser. Niet in alle gevallen is het overslaan van Certificate Authorities een optie. Voor apps die nog steeds met door CA's gesigneerde certificaten werken, stelt Marlinspike voor om afhankelijkheid van een groot aantal CA's te beperken. "Je app weet welke CA je gebruikt, dus kun je het vertrouwen tot alleen handtekeningen van die CA beperken."
"Door CA's volledig achter ons te laten, of door blootstelling aan ze te beperken, heeft iedereen die veilig via mobiele apps communiceert, een mogelijkheid om de beperkingen van de browser te ontstijgen en zichzelf te beschermen. Probeer het eens", besluit Marlinspike. Voor browser-gebruikers lanceerde hij enige tijd geleden de Firefox-plugin Convergence.
1. Een belangrijk argument voor een PKI is dat een verlopen certificaat kan worden vervangen door een nieuwe zonder dat dit in de webbrowser of app tot foutmeldingen of waarschuwingen leidt. Hoe moet een app die van pinning gebruik maakt reageren als deze een verlopen of vernieuwd certificaat voorgeschoteld krijgt? Moet de gebruiker dan eerst een nieuwe app downloaden? En hoe controleer je dan wie die app gemaakt heeft zonder PKI? Phishing-Apps anyone?
2. Hoewel het onvoldoende betrouwbaar werkt, ondersteunen CA's wel revocation, en om revocation betrouwbaar te laten werken moet je minstens 1 ander certificaat vertrouwen. Dat gaat dus niet werken in apps.
Misschien zou je eerst eens kunnen proberen te begrijpen wat hier gezegd wordt en je af te vragen welke visie hier voorgeschoteld wordt. En ja, maatregelen zullen bij het invullen daarvan wat anders in elkaar moeten steken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.