Net een upgrade van Iceweasel 38.0.1 naar 39.0 gedaan in Debian, en dat deed de waarschuwing op die site verdwijnen. Dat is gewoon Firefox met wat aanpassingen die de werking niet beïnvloeden maar dienen om bestanden te plaatsen op de locaties die Debian voorschrijft, dat soort zaken.

Kan het zoiets knulligs zijn als een oude versie van de pagina die nog in je cache staat? Ververs hem eens terwijl je SHIFT ingedrukt houdt?

Ik heb geen problemen met Firefox 39 en Logjam.

> Good News! Your browser is safe against the Logjam attack.

Ik gebruik geen proxy en heb voor wat betreft SSL setting alleen de RC4 ciphers uitgeschakeld via about:config.

Ik heb net getest met Firefox 39.0 via:

https://www.ssllabs.com/ssltest/viewMyClient.html

Bij "Logjam Vulnerability (Experimental)" wordt aangegeven: "Your user agent is not vulnerable."

Windows 7 en FF 39.0

Good News! Your browser is safe against the Logjam attack.

Harry, haal Firefox er eens af en zet het er opnieuw op.

Ossi possi... Zit er misschien weer zo'n "slim" antivirus progr. tussen, die MITM-achtig zijn eigen ssl verbinding met de server opzet om alle data die over ssl loopt te kunnen monitoren?

FF 37.0.2

https://weakdh.org
Your web browser is vulnerable

https://www.ssllabs.com/ssltest/viewMyClient.html
Your user agent is not vulnerable.

Euh...?

Anoniem @ 13.27
Ik heb de pagina https://weakdh.org/ ververst terwijl ik SHIFT ingedrukt hield.
Resultaat: "Warning! Your web browser is vulnerable to Logjam and can be tricked into using weak encryption. You should update your browser." wordt weergegeven.
Ik heb browser cache geleegd met Bitdefender en daarna opnieuw Firefox 39.0 getest met https://weakdh.org/.
Resultaat: "Warning! Your web browser is vulnerable to Logjam and can be tricked into using weak encryption. You should update your browser." wordt weergegeven.

Anoniem @ 16.56
Ik heb Firefox 39.0 getest met de door jou gegeven link
https://www.ssllabs.com/ssltest/viewMyClient.html
Resultaat:

“Logjam Vulnerability (Experimental)” “Your user agent is not vulnerable.”

Maar: "For more information about the Logjam attack, please go to weakdh.org".
Dit gedaan hebbende geeft: "Warning! Your web browser is vulnerable to Logjam and can be tricked into using weak encryption. You should update your browser."

Maar: "To test manually, click here. Your user agent is not vulnerable if it fails to connect to the site".
Dit gedaan hebbende geeft: “Beveiligde verbinding mislukt”.
Conclusie uit deze deeltest: Firefox 39.0 is niet kwetsbaar.

Dus overall: 2 tegen 1 Firefox 39.0 is niet kwetsbaar volgens https://www.ssllabs.com/ssltest/viewMyClient.html

Anoniem @ 15.07
De test met de link van Anoniem @ 16.56 geeft onder het kopje “Protocol Features” ook een overzicht van de “Cipher Suites (in order of preference)”. Op deze lijst komen, in de buurt van plaats 30 en 40, ook enkele RC4 ciphers voor (maar in het overzichtje “Protocols” staan SSL3 en SSL2 op “NO”).

Vraag: Wat leert ons dit allemaal? En hoe is dit te verklaren?

Ik kijk uit naar iemand die dit weet en zijn inzicht wil delen. Ook hier: bij voorbaat veel dank.

Harry

Elementaire logica:

a. Firefox 39.0 is wel degelijk Logjam-bestendig, melden verschillende mensen.
b. Jij krijgt bij Firefox 39.0 op de testsite de melding dat de verbinding niet veilig is.

Conclusie: het resultaat dat jij ziet is niet opgehaald door Firefox 39.0.

Mogelijkheden:
1. De verbinding naar de website wordt niet door Firefox 39.0 zelf gemaakt. Dan zit er een MITM tussen, mogelijk in de vorm van antivirussoftware die downloads checkt, zoals anoniem@19:34 opperde. Het kan ook andere software zijn of een echte MITM. Controleer certificaten van HTTPS-websites, als er een virusscanner of anders software verbindingen overneemt dan moeten er gegenereerde certificaten aan je browser aangeboden worden. Deze site heeft een certificaat uitgegeven door Thawte. Zie jij dat ook?
2. De Firefox-versie die jij hebt is niet de officiële. Waar heb je hem vandaan? Heb je hem bij https://www.mozilla.org/nl/ zelf gedownload of ergens anders? Indien ergens anders: donder hem meteen van je systeem af, controleer je systeem op malware en download de versie van Mozilla zelf. Betrek software *altijd* uit een betrouwbare bron, en niet van "handige" downloadsites die er van alles mee uit kunnen hebben gehaald en ook niet uit de eerste de beste link in een zoekresultaat. Ga na wie eigenlijk de maker van de software is en haal hem daar vandaan.
3. Oude versie van de pagina in de cache; die heb je al gecontroleerd.
4. Wie weet zijn er andere mogelijkheden waar ik nu niet aan denk.

Vertrouw geen enkel computerprogram, zeker niet als het een browser is en nog minder als het als veilig bekend staat. Het kan heel lang goed gaan - maar dat zegt niets. Net zo min als het iets zegt als er nog nooit bij je is ingebroken. Dat ligt misschien een heel klein beetje aan je beveiliging, maar vooral veel aan geluk. De leeuw kan maar een enkel dier van de kudde grijpen en de kans dat jij dat bent is 1 op n (over de grootte van n kun je vervolgens Byzantijnse debatten gaan voeren, maar het zal een flink getal zijn).

Je gebruikt Bitdefender?
Even gegoogled: "It looks like BDIS with SSL Scan enabled can cause browsers to be vulnerable. "

Hoe staat SSL scan bij jouw ingesteld in BitDefender?
Staat hij aan, probeer het dan ook eens met SSL scan uit (disabled)
(zie ook anoniem 19:34)

Volgens https://www.mozilla.org/en-US/security/advisories/mfsa2015-70/ zouden niet kwetsbaar meer zijn voor logjam:

De site weakdh.org maakt onder water gebruik van https://dhe512.zmap.io/. Als je die laatste site opent, en de volgende tekst verschijnt:
dan is jouw PC toch kwetsbaar.

Zoals Anoniem vandaag om 19:34 schreef, waarschijnlijk heb je dan een virusscanner op jouw PC die https verkeer "onderschept", d.w.z. effectief ontsleutelt om netwerkverkeer tussen webservers en jouw browser te kunnen scannen op malware, exploits en kwaadaardige scripts.

Andere mogelijkheden zijn dat je een Lenovo laptop hebt met daarop nog de Superfish adware (zie https://www.security.nl/posting/419395/Lenovo+publiceert+verwijdertool+voor+Superfish-adware), of dat er sprake is van andere malware op jouw PC, of dat je achter een bedrijfsproxy zit die https verkeer "openbreekt".

Of iets jouw https verbindingen onderschept kun je dat meestal zien door een site met een EV certificaat te openen, zoals https://mijn.ing.nl/. Als er geen groen slotje getoond wordt, loop je risico's. Er is dan sprake van een MitM "aanval". Als een virusscanner of proxy dat doet zijn de risico's beperkt, maar feit is dan dat die MitM nog niet gepatcht is voor logjam waardoor je risico's loopt - zelfs nu Firefox (eindelijk) wel gepatcht is daarvoor.

Veel dank voor een ieder die gereageerd heeft. De reacties zijn voor mij allemaal erg leerzaam en verhelderend. Hieronder ga ik inhoudelijk in op een aantal nieuw verschenen reacties.

Anoniem @ 19:34
Jouw reactie zag ik pas nadat mijn reactie al verzonden was. Maar je hebt het probleem te pakken, waarover straks meer.

Anoniem @ 21:22
Dank voor de verhelderende en logische uitleg. Mogelijkheid 1 is de oorzaak, waarover straks meer. Mogelijkheid 2 is niet aan de orde wegens download bij mozilla.org en update vanuit de browser.

Anoniem @ 00:18 en Erik van Straten @ 00:21
SSL scan in Bitdefender Internet Security 2015 was bij mij enabled. Nadat ik de SSL scan in Bitdefender had uitgezet bleek het probleem opgelost te zijn.

Erik van Straten @ 00:21
Dank voor jouw verhelderende analyse.
– Gelukkig heb ik geen Lenovo laptop maar een HP desktop.
– Volgens de Bitdefender Internet Security 2015 systeemscan heb ik geen malware op mijn PC.
– Mijn PC is een privé PC die niet achter een bedrijfsproxy zit.
– De check door een site met een EV certificaat te openen is nieuw voor mij. Deze check verloopt nu (= na het uitzetten van de SSL scan in Bitdefender) goed: grijs slotje van https://mijn.ing.nl is groen slotje geworden.
– Ook alle checks met https://www.ssllabs.com/ssltest/viewMyClient.html verlopen nu gunstig (= not vulnerable).

Anoniem @ 21:22 en Erik van Straten @ 00:21
Over het certificaat van de security.nl website:
Na het uitzetten van de SSL scan in Bitdefender zie ik inderdaad een certificaat uitgegeven door Thawte. Maar het slotje van de security.nl website is grijs, niet groen. Terwijl het slotje van https://mijn.ing.nl groen is geworden. Wat is de verklaring voor deze verschillen?

Het zou mooi zijn als we het laatste punt van onduidelijkheid (het slotje van de security.nl website is grijs, niet groen) nog kunnen oplossen.

Ook nu weer: bij voorbaat veel dank.

Harry

Heb met firefox 39.0 de pagina https://weakdh.org/ bezocht en krijg de vermelding dat ik niet kwetsbaar ben voor logjam. Ik zou de reactie van Anoniem 04-07-2015 19:34 en die van Erik van Straten goed doorlezen.


Als ik met firefox 39.0 de pagina https://www.ssllabs.com/ssltest/viewMyClient.html bezoek, staan er bij mij onder "Cipher Suites (in order of preference)" geen RC4 Cipher Suites vermeld.

04-07-2015 16:56 uur

kraai @ 14:58

Veel dank voor jouw reactie, die mijn respons van 13:28 gekruist heeft door de wachttijd bij de moderator; kortheidshalve verwijs ik daarnaar.

Ter aanvulling:
Na het uitzetten van de SSL scan in Bitdefender staan ook bij mij onder "Cipher Suites (in order of preference)" geen RC4 Cipher Suites meer vermeld.

Er resteert nu nog een punt van onduidelijkheid, dat ik ook heb vermeld in mijn respons van 13:28 onder het kopje
Anoniem @ 21:22 en Erik van Straten @ 00:21 :
Over het certificaat van de security.nl website:
Na het uitzetten van de SSL scan in Bitdefender zie ik inderdaad een certificaat uitgegeven door Thawte. Maar het slotje van de security.nl website is grijs, niet groen. Terwijl het slotje van https://mijn.ing.nl groen is geworden. Wat is de verklaring voor deze verschillen?
Het zou mooi zijn als we het laatste punt van onduidelijkheid (het slotje van de security.nl website is grijs, niet groen) nog kunnen oplossen.

Ook nu weer: bij voorbaat veel dank voor een ieder die wil/kan helpen deze onduidelijkheid op te lossen.

Harry

hoi Harry 22:40 uur mijn laatste post heeft inderdaad jouw reactie van 13:28 uur gekruist aangezien die van jouw nog niet zichtbaar was vanwege de modereatie. maar bedankt dat je toch even antwoord geeft om mijn reactie en te lezen dat je kunt melden dat na het uitzetten van de SSL scan in Bitdefender ook bij jouw bij het bezoeken van de pagina https://www.ssllabs.com/ssltest/viewMyClient.html onder "Cipher Suites (in order of preference)" geen RC4 Cipher Cuites meer staan weergegeven.


Wat betreft het laatste punt van onduidelijkheid over het slotje

Het slotje bij https://mijn.ing.nl in firefox is groen omdat er een EV certificaat wordt gebruikt voor de pagina. Bij security.nl wordt geen EV certificaat gebruikt en daarom is het slotje niet groen. Hoeveel er groen word gemaakt zo'n EV certificaat wordt aangegeven verschilt per browser. Bij IE bijvoorbeeld wordt de complete adres balk groen als er voor een webpagina die over een beveiligde verbinding gaat een EV certificaat wordt gebruikt.

Nadat ik in Avast antivirus "Enable HTTPS scanning" uitzette, en met F5 deze site "https://weakdh.org/" refreshte, was de warning weg. Vraag me echter af of ik met deze setting beter af ben of niet.

Goed dat je de oorzaak hebt gevonden waarom Firefox 39 nog kwetsbaar leek voor logjam! Ik zal proberen uit te leggen wat de kleur van het slotje bepaalt.

Om een verbinding te kunnen versleutelen heb je geen certificaat nodig. Echter, als je niet precies weet met welke webserver (of MitM aanvaller die zich voordoet als webserver) jouw webbrowser communiceert, heeft het nauwelijks zin om die verbinding te versleutelen.

Het hoofddoel van een https certificaat is jou enige zekerheid geven dat jouw webbrowser daadwerkelijk communiceert met een server van de door jou bedoelde organisatie (alleen als dat vaststaat heeft het zin, sterker, is het noodzakelijk dat die verbinding wordt versleuteld en de integriteit van de uitgewisselde informatie wordt gecontroleerd, zodat niemand kan "meekijken", noch de versleutelde informatie onopgemerkt kan wijzigen of saboteren).

Zo'n certificaat wordt "uitgegeven" door een CSP (Certificate Service Provider, ook wel CA = Certificate Authority genoemd), een soort notaris, als aan 3 voorwaarden wordt voldaan:
1) De persoon die het certificaat aanvraagt, is geautoriseerd (gerechtigd) dat te doen namens de bedoelde organisatie;
2) De domainname van de server, d.w.z. de karakters tussen https:// en de eerstvolgende / (bijvoorbeeld www.security.nl of mijn.ing.nl) behoort toe aan de bedoelde organisatie;
3) De technische gegevens, aangedragen door de aanvrager, zijn in orde (denk o.a. aan de looptijd, het type en de lengte van de sleutel etc).

Die derde en laatste check voert elke CSP goed uit. Logisch want dat kun je automatiseren. Check 1 en 2 zijn veel lastiger om goed (betrouwbaar) te doen. Als gevolg van prijsvechters, die 1 en 2 aan hun laars lapten, zijn zogenaamde "domain validated" certificaten ontstaan. Daarbij volstaat het als de aanvrager een e-mail adres heeft dat lijkt op een beheeraccount bij de betreffende domainname (of 1 niveau hoger, zoals admin bij security.nl of root bij ing.nl).

Gevolg: goedkope certificaten die zeer snel kunnen worden uitgegeven. Nadelen: het is relatief eenvoudig om domainnames te registreren (in DNS) die suggereren van een specifieke organisatie te zijn, bijvoorbeeld ing-bankieren.nl.softonic.com. iemand met een beheer-e-mail account bij Softonic.com kan vervolgens goedkoop, simpel en snel zo'n DV cerificaat aanschaffen, bijv. voor *.nl.softonic.com. Gelukkig lijkt ing-bankieren.nl.softonic.com niet kwaadaardig, maar je kunt je vast wel vergelijkbare domainnames voorstellen die bijv. voor phishing worden gebruikt.

Probleem: webbrowsers maken visueel geen onderscheid tussen DV certificaten en certificaten waarbij punten 1 en 2 boven beter worden gecontroleerd. Dat, gecombineerd met de lage prijs en eenvoud van aanvragen, leidt ertoe dat bijna iedereen DV cerificaten koopt.

In een poging dit te doorbreken, zijn EV (Extended Validation) certificaten bedacht. Met browserfabrikanten is afgesproken dat EV certificaten middels een groen slotje en/of groene URL balk worden getoond.

Kortom, bij een groen slotje in Firefox heb je meer zekerheid dat punten 1 en 2 kloppen. Helaas worden EV certificaten niet consequent gebruikt (https://visiebeleggen.ingbank.nl/ gebruikt geen EV certificaat). En, hoewel "PKI Overheid" al wel EV certificaten kan uitgeven, heeft https://digid.nl/ nog steeds een niet van DV te onderscheiden "gewoon" certificaat.

kraai @ 23:45 en Erik van Straten @ 00:36

Veel dank voor jullie reacties en heldere uitleg. Door de ruime uitleg van Erik overzie ik nu de context, wat hiervoor nog niet het geval was.

Het komt me voor, dat we het probleem, inclusief de losse eindjes, nu opgelost hebben en dat we het onderwerp kunnen afsluiten. Nogmaals veel dank aan allen die meegeholpen hebben om dit resultaat te bereiken.

Harry