Noodzakelijke insecurity awareness voor internetters:
- Een https certificaat zegt niets over de betrouwbaarheid van een website en/of haar beheerder(s);
- Een https certificaat zegt niets over de wijze waarop de verbinding met een website is versleuteld en garandeert dus ook geen veilige verbinding.

Wat dan wel: een https certificaat (mits correct en zonder foutmeldingen verwerkt door een fatsoenlijke en up-to-date webbrowser, en alleen indien dat certificaat gebruik maakt van als veilig beschouwde cryptografie) toont minstens aan dat die webbrowser een https verbinding heeft met een "server":
1) waarvan de domainname in de URL balk getoond wordt -en-
2) die over de private key beschikt behorende bij de public key die is opgenomen in het certificaat.

Nb. dit is totaal onafhankelijk van het door de "server" gebruikte IP-adres. Anderzijds zegt het niets over waar deze server precies staat en door wie hij daadwerkelijk wordt beheerd; het kan best om een uitbestede CDN (Content Delivery Network) server of Cloud "proxy" server (zoals Cloudflare) gaan.

Of die "server" daadwerkelijk de door de domainname in de URL gesuggereerde server is, en niet een Man-in-the-Middle aanvaller zoals een virusscanner of externe firewall met SSL inspection, hangt af van de betrouwbaarheid van de certificaatuitgever (die het certificaat heeft ondertekend) en de (root-) certificaten die in jouw webbrowser zijn opgenomen en als betrouwbaar zijn aangemerkt.

Bij een EV (Extended Validation) certificaat heeft de certificaatuitgever, vóór het ondertekenen van het certificaat, een check uitgevoerd waarbij, met enige zekerheid, is vastgesteld dat de aanvrager van het certificaat geautoriseerd is om dat namens een specifieke organisatie te doen. In het certificaat is dan een derde punt opgenomen: de organisatie aan wie de domainname toebehoort.

Bij niet-EV certificaten kan er ook sprake zijn van zo'n controle, waarmee die certificaten (zoals PKI Overheid) zich onderscheiden van DV (Domain Validated) en Let's Encrypt certificaten. Echter, op het eerste gezicht zie je dat verschil niet (je zult in het certificaat moeten kijken om het verschil vast te stellen).

Kortom: als er niks fout gaat, zegt een https certificaat slechts iets over de identiteit van een server.

Reactie van internetter op verhaal van Erik: ehhhh ja ja maar als ik een goede virusscanner heb
gaat het toch goed.

In plaats van het aantonen dat je niets van de argumentatie van Erik begrepen hebt door dat soort uitspraken over ik heb toch .... kunnen we ook proberen zijn conclusies te vereenvoudigen.


Https de tekort komingen van een security ontwerp:
1- je moet een onbekende vertrouwen die zegt dat een ander echt degeen is die hij beweert te zijn
2- je moet degeen die beweert is te zijn wie hij zegt vertrouwen op wat hij zegt te doen voor jou.
3- Er wordt van je verwacht dat je niet iedereen dat zegt wat hij beweert voor je te doen te vertrouwen (pishing)


Leuk, de volgorde 1,2,3 is gangbaar (het verkoopverhaal) doe het nu eens in de volgorde 3,2,1 .... (begin met niet alles te vertrouwen), het resultaat ....