Internet.nl biedt verbeterde testen voor TLS en Content Security Policy
Er is een nieuwe versie van de website Internet.nl gelanceerd die nu verbeterde testen voor Transport Layer Security (TLS) en Content Security Policy (CSP) biedt. Internet.nl is een testtool van het Platform Internetstandaarden dat als doel heeft om het gebruik van moderne internetstandaarden verder te vergroten.
Internet.nl controleerde al op allerlei zaken en heeft nu ook de nieuwste TLS-richtlijnen van het Nationaal Cyber Security Centrum (NCSC) toegevoegd. In deze richtlijnen zijn onder andere het beveiligingsniveau van TLS 1.2 afgewaardeerd van Goed naar Voldoende en zijn de eisen voor de volgorde van algoritme selecties vereenvoudigd. TLS is het meestgebruikte protocol voor beveiligde verbindingen op internet. Het gaat dan bijvoorbeeld om het beveiligen van web en e-mailverkeer.
Daarnaast test Internet.nl nu de Content-Security-Policy (CSP) van websites. CSP is een maatregel die cross-site scripting (XSS), clickjacking en soortgelijke aanvallen moet voorkomen. Via Content-Security-Policy kunnen beheerders domeinen opgeven die de browser als geldige aanbieder moet beschouwen voor het uitvoeren van scripts. Een browser die CSP ondersteunt zal dan alleen nog maar bestanden uitvoeren die afkomstig zijn van domeinen op de whistelist en alle andere scripts negeren.
1.1/1.2 ?????
Zie de discussie in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate voor meer info over die T-Mobile site.
Bij de volgende scanresultaten wordt juist dit aspect ook gemist:
https://quickscan.guardian360.nl/scan?url=https%3A%2F%2Fcommunity.t-mobile.nl
Maar om een beetje beeld van de veiligheidssituatie op een website te krijgen,
moeten vaak de resultaten van meerde scans worden gecombineerd.
Vreemd en kwalijk, want deze scan geeft het ook niet aan:
https://observatory.mozilla.org/analyze/community.t-mobile.nl#tls
luntrus
https://www.sslcheck.nl/community.t-mobile.nl:
Pas als je op "QuoVadis Global SSL ICA G2 >" klikt zie je dat dit certificaat is ingetrokken - op basis van een CRL check; links daarvan staat: "OCSP status: Niet beschikbaar" maar voor Digicert (zie verderop) is OCSP kennelijk wel beschikbaar.
https://www.immuniweb.com/ssl/?id=XENQR4FR:
https://ssltools.digicert.com/checker/views/checkInstallation.jsp
Certificate status: Revoked
Serial Number: 48982de2a92cb339e1c8f933358275d3e4f88255
...
Revocation check method: OCSP
Revocation reason: Superseded
https://www.sslshopper.com/ssl-checker.html#hostname=community.t-mobile.nl
Ook het volgende certificaat krijgt een groen vinkje:
Organization: QuoVadis Limited
Location: BM
Valid from June 1, 2013 to June 1, 2023
Serial Number: 48982de2a92cb339e1c8f933358275d3e4f88255
Signature Algorithm: sha256WithRSAEncryption
Issuer: QuoVadis Root CA 2
Interessant artikel hier: https://www.venafi.com/blog/how-check-revoked-certificates
en het volgende verhaal: https://social.technet.microsoft.com/Forums/office/en-US/334dce20-b604-441e-8747-2a3d2a4e0263/deleting-revoked-certificates
Het is dus de bedoeling dat eventuele "teruggetrokken certificaten" automatisch vervangen gaan worden.
Heb ik dat zo goed begrepen, Erik?
luntrus
https://www.darknet.org.uk/2018/10/ctfr-abuse-certificate-transparency-logs-for-https-subdomains/
Oudere methode: https://www.darknet.org.uk/2016/04/dnsrecon-dns-enumeration-script/
We begrijpen dan meteen waarom het zo belangrijk is om 'certificate transparency' te valideren,
alsmede een vinger aan de pols te houden, zodat website spoofing, het zich voordoen als een bepaalde server,
en man-in-the-middle attacks kunnen worden gecheckt.
Zou het daarom zijn dat op android revocation anders geregeld is dan op andere platformen?
#sockpuppet
Het teruggetrokken certificaat staat in de CRL van QuoVadis Root CA 2, wordt door de QuoVadis OCSP-server als revoked gemeld en zit sinds 9 februari ook in de OneCRL van Mozilla. Desondanks geeft Firefox geen security waarschuwing. Firefox blijkt CRL en OCSP niet te gebruiken behalve bij EV-certificaten, blijft over de OneCRL. In die lijst staat het Enabled attribuut van het betreffende record op false. Vooralsnog (ik ken de schemadefinitie van de OneCRL niet) ga ik er van uit dat dat betekent dat het record niet door Firefox wordt gebruikt. Misschien heeft Mozilla dat zo gedaan omdat het certificaat vervangen is door een nieuw certificaat met dezelfde key, hetzelfde key ID en de dezelfde einddatum?
1.1/1.2 ?????
Bijzonder, hier nergens last van. Connect bv. naar m'n bank op 'TLS 1.3, X25519, and AES_256_GCM'.
Is het op specifieke sites dat je daar last van hebt?
Zie de discussie in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate voor meer info over die T-Mobile site.
Resultaat test:
Het domein community.t-mobile.nl heeft een testscore van 70%.
70%
Geslaagd : Bereikbaar via moderne internetadres (IPv6)
Gezakt : Domeinnaam niet ondertekend (DNSSEC)
Gezakt : Verbinding niet of onvoldoende beveiligd (HTTPS)
Suggestie : Een of meer aanbevolen applicatie-beveiligingsopties niet ingesteld (Beveiligingsopties)
What's up guys???
@Roger63: in Firefox voor desktops lopen OneCRL en "Intermediate Preloading" door elkaar, en beide worden met vertraging door Firefox gedownload. Als je met een gloednieuw profiel voor Firefox desktop https://community.t-mobile.nl/ opent, krijg je eerst geen foutmelding. Zodra OneCRL is gedownload, krijg je wel een foutmelding. Zodra "Intermediate Preloading" heeft plaatsgevonden, verdwijnt de foutmelding weer. Zie de reacties van 15-03-2021 in https://www.security.nl/posting/694145/T-Mobile+revoked+certificate.
Wel opmerkelijk dat het geen TLSA records opmerkt met hashes van 3 certificaten geleden,
een "probleem" dat overigens nergens problemen veroorzaakt.
Sowieso, mooie tool, en lekker duidelijk. Complimenten.
Wel een uitdaging. Maar een mooi/handig/nuttig hulpmiddel dus.
Ikzelf mis enkel validatie van een CAA record in de DNS, maar ik verwacht dat iedereen ook wel checked bij i.c.m. ssllabs,
en beide tools vullen elkaar mooi aan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.