Let's Encrypt geeft bekende phishingsites geen SSL-certificaat
De gratis SSL-dienst Let's Encrypt, waar straks iedereen een gratis SSL-certificaat voor zijn of haar website kan aanvragen, gaat voorlopig geen certificaten aan bekende malware- en phishingsites uitgeven. Let's Encrypt heeft als doel om het gehele web via een versleutelde verbinding te laten lopen.
Critici zijn bang dat criminelen van het initiatief gebruik zullen maken om voor hun phishingsites SSL-certificaten aan te vragen. Dit zou de phishingsites legitiem laten lijken, omdat ze over een "slotje" in de adresbalk beschikken. Consumenten zijn de afgelopen jaren altijd verteld om op de aanwezigheid van het slot-icoon te controleren. Volgens Let's Encrypt moet een SSL-certificaat niet als een vorm van goedkeuring worden gezien. Certificaatautoriteiten (CA), de partijen die de SSL-certificaten uitgeven, zijn namelijk niet goed uitgerust om zich met de bestrijding van phishing en malware bezig te houden.
Partijen als Google en Microsoft zijn hier volgens Let's Encrypt beter voor geschikt, omdat ze meer zicht op het ecosysteem hebben. Gebruikers zijn dan ook beter af met de anti-phishing en anti-malwarefilters die browsers bieden. Daarnaast moet een SSL-certificaat niet als bijzonder worden gezien, aldus de gratis certificaatautoriteit. "HTTPS is voor bijna alle websites belangrijk", aldus de organisatie. De aanwezigheid van een SSL-certificaat moet dan ook niet als uitzondering worden gezien, maar zou juist standaard moeten zijn.
Om aan de zorgen van critici tegemoet te komen gaat Let's Encrypt voorlopig de Google Safe Browsing API gebruiken. Dit is een database van Google bestaande uit allerlei malware- en phishingsites. Websites in deze database zullen van Let's Encrypt geen certificaat ontvangen. De reden om deze maatregel door te voeren is dat veel mensen het nog geen fijn idee vinden dat een certificaatautoriteit zich helemaal niet meer met de bestrijding van malware of phishing bezighoudt, zo stelt Josh Aas, directeur van de Internet Security Research Group (ISRG). Let's Encrypt is een initiatief van het ISRG.
Het is heel gezellig en leuk om een boodschap uit te kleden tot iets wat de minst snuggere internetgebruikers nog kunnen bevatten en daarbij de begrijpelijkheid zwaarder te laten wegen dan de juistheid van de boodschap, maar door de juistheid op te offeren maak je de werkelijkheid niet minder ingewikkeld, je wekt alleen de schijn dat die minder ingewikkeld is. De werkelijkheid kom je echt op een gegeven moment weer tegen in al zijn ingewikkeldheid.
De mensen die een verkeerde voorstelling van zaken hebben gegeven zijn hier degenen die een probleem hebben veroorzaakt. Daar zouden de critici zich in dit geval op moeten richten, en als ze zelf degenen zijn die slotje=veilig uitdroegen moeten ze eens kritisch naar zichzelf kijken.
Let's encrypt zal dus continu (elke minuut bijvoorbeeld) moeten controleren tegen alle bekende (phishing) domein blacklists. Niet alleen uri's van Google Safebrowsing.
https://www.security.nl/posting/448046/Grote+browsers+ondersteunen+gratis+SSL-dienst+Let%27s+Encrypt
EV certificaten zijn een marketingtruuk omdat veel mensen CA's niet meer vertrouwden en als je een CA niet voor de volle 100% kan vertrouwen, is je vebeiliging verbroken.
EV certificaten kosten mer geld, maar bieden geen enkele garantie.
Ons bedrijf is in staat geweest om EV certificaten te bemachtigen voor interne domainnamen (.local) en zelfs onbestaande domeinnamen. (.com en .net)
Daarnaast is nog niet zo lang geleden gebleken dat Symantec doodleuk geldige EV certificaten voor het domein google.com gebruik heeft "om te testen".
Mij lijkt het geen goed idee om EV certificaten meer te vertrouwen dan anderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.