Onderzoek: populaire Nederlandse sites zonder https
Veel populaire Nederlandse websites maken nog altijd geen gebruik van https voor het aanbieden van een beveiligde verbinding en voldoen zo nog niet aan de nieuwe IETF-standaard en vernieuwde Google-richtlijnen. Dat stelt vergelijkingssite Internetvergelijk.nl aan de hand van eigen onderzoek.
68 van de 100 meest bezochte websites maken geen gebruik van https, waaronder UWV, de NPO, NOS, Booking.com en MediaMarkt. "We zijn verbaasd dat zelfs een overheidswebsite als die van het UWV nog gebruik maakt van de ouderwetse onveilige methode, terwijl er legio mogelijkheden beschikbaar zijn,” aldus Marnix de Munck van de vergelijkingssite.
Steeds meer organisaties zetten zich in voor een volledig versleuteld web. Zo laat Google de aanwezigheid van https meewegen bij het indexeren van websites en zal de internetgigant https-versies van webpagina's eerder indexeren dan de http-versie. Tevens lanceerde vorig jaar Let's Encrypt, een initiatief waar websites gratis ssl-certificaten kunnen aanvragen voor het aanbieden van beveiligde verbindingen en het identificeren van de website.
Omdat als je bijv. naar hun site gaat om een klacht in te dienen, dan staat er een invulformulier met wie ben je, wat is je tel en adres en je klacht en mag je dat verzoek verzenden over HTTP.
Dat risico loop je niet alleen bij bijvoorbeeld onbeschermde Wifi-accespoints. Er is al enkele keren in het nieuws geweest dat sommige buitenlandse internetproviders in HTTP-sites die door hun abonnees bezocht worden advertenties injecteren. Ik zou het niet op prijs stellen als een ander advertenties aan mijn website toevoegt.
Omdat dat het veel makkelijker maakt voor aanvallers om het verkeer onderweg aan te passen zodat de bezoeker dingen te zien krijgt die eigenlijk niet bij die website horen en die mogelijkheid kan het begin van heel wat ellende zijn.
Dat risico loop je niet alleen bij bijvoorbeeld onbeschermde Wifi-accespoints. Er is al enkele keren in het nieuws geweest dat sommige buitenlandse internetproviders in HTTP-sites die door hun abonnees bezocht worden advertenties injecteren. Ik zou het niet op prijs stellen als een ander advertenties aan mijn website toevoegt.
Dat los je niet op door simpel een certificaat regelen en te zeggen we hebben https dus de bezoekers zijn veilig. Voor het implementeren van een SSL/TLS beveiliging kunnen ook veel fouten gemaakt worden. Ik noem een HSTS, dan heb je https maar kunnen kwaadwillende nog steeds informatie onderscheppen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.