Door Anoniem: De floeperds bij SNS-bank hebben stap voor stap hun internetbankieren vernieuwd. (zal ook wel gelden voor ASN-bank?)
https://www.security.nl/posting/691682/Nogmaals%3A+trackers+bij+banken vertelt er ook iets over.
Ik begrijp alleen niet zo goed waar die nieuwe interface voor nodig was, want ik was al tevreden met zoals het was.

Voor internetbankieren gebruik ik veiligheidshalve altijd een IP-filter, en dat moest dus worden aangepast.
Voorheen was het voldoende om alleen verkeer naar de server van SNS-bank door te laten.
Later kwam daar OCSP-verkeer bij, maar op zeker moment ontdekte ik dat de server van SNSbank OCSP-stapling ondersteunde. "OCSP stapling" zorgt voor betere privacy dan OCSP via een "outsourced" OCSP-server,
omdat OCSP.stapling via de bankserver loopt, en daar wilde je toch al mee communiceren.
In het andere geval laat je een externe OCSP-server (die in handen van een derde partij is) weten, dat jij op dat moment bezig bent om naar de server van SNSbank te gaan. Misschien geen big deal dat een andere partij kan weten wanneer jij inlogt bij je bank, maar toch: wat heeft die andere partij daar eigenlijk mee te maken?
Bovendien ligt zo'n OCSP-server er wel eens even uit. En dan hang je, of er is geen OCSP-controle.
En dan ben je eigenlijk onveilig bezig, of het lukt niet om in te loggen bij je bank!

Dus OCSP-stapling heeft wat mij betreft de voorkeur.
Met een beetje kennis kan je in je browser meestal keurig instellen om alleen nog gebruik te maken van OCSP-stapling. Dus ik had dit een paar jaar geleden voor mijn internetbankier-omgeving gedaan.
Maar wat hebben ze nu gedaan, die floeperds:
ze hebben onlangs OCSP STAPLING OP HUN EIGEN BANKSERVER UITGEZET.
Hoe halen ze het in hun hoofd! Dat is toch een stap terug in privacy en security?
Bovendien zoek je je suf waarom inloggen opeens niet meer lukt, want de enige melding die wordt gegeven,
is dat er "een probleem was bij het inloggen" o.i.d..
Als klanten echter niet kunnen internetbankieren, kan dit echter leiden tot te laat zijn met betalen, boetes e.d.

Misschien dat er meer security/privacy -bewuste SNS/ASN-klanten tegenaan lopen,
dus ik meld het hier maar even.

Met een beetje kennis kan je in je browser meestal keurig instellen om alleen nog gebruik te maken van OCSP-stapling. Dus ik had dit een paar jaar geleden voor mijn internetbankier-omgeving gedaan.

Door Anoniem: Als klanten echter niet kunnen internetbankieren, kan dit echter leiden tot te laat zijn met betalen, boetes e.d.

Door Anoniem:Het komt over als "mensen zetten hun machine potdicht en tweaken 1001 dingen, kunnen dan op een gegeven moment dingen niet meer doen doordat het bedrijf in kwestie geen rekening kan houden met alle 2 miljoen klanten, en daardoor lopen die mensen kans op een boete en achterstanden!". Dat is het "risico" van die optimale beveiliging, die 9 van de 10 keer nauwelijks tot geen meerwaarde heeft.

Door Anoniem: .
Als klanten echter niet kunnen internetbankieren, kan dit echter leiden tot te laat zijn met betalen, boetes e.d.

Misschien dat er meer security/privacy -bewuste SNS/ASN-klanten tegenaan lopen,
dus ik meld het hier maar even.

Door Anoniem:
Inderdaad, we zien dat wel vaker hier, mensen tweaken hun computer helemaal kapot en dan werkt het op een gegeven
moment niet meer (meteen al of anders nadat er extern iets veranderd is) en dan heeft de rest van de wereld het ineens
gedaan...

Als je aan de gang gaat met allerlei filters, no-script, etc dan ben je daar zelf bij en mag je zelf in actie komen als het
kapot is.

Door Anoniem:
Dank voor het melden, maar die angstscenario's kunnen achterwege blijven.

Door Anoniem: Het komt over als "mensen zetten hun machine potdicht en tweaken 1001 dingen, kunnen dan op een gegeven moment dingen niet meer doen doordat het bedrijf in kwestie geen rekening kan houden met alle 2 miljoen klanten [...]. Dat is het "risico" van die optimale beveiliging, die 9 van de 10 keer nauwelijks tot geen meerwaarde heeft.

Door Anoniem:
Interssant, hoe heb je dit ingesteld?

Door Erik van Straten:
Alles maar standaard laten dan? En met z'n allen de TS bashen?

Als SNS is gestopt met OCSP stapling, heeft de TS gelijk dat dit een achteruitgang is: de bank verschuift zo het probleem van een niet bereikbare OCSP-server (van de certificaat-uitgever) naar de klant. Waarbij "niet bereikbaar" ook kwade opzet van een derde kan zijn.

Door Anoniem:
Wat die OCSP stapling betreft, ik heb zelf wel eens gedacht "oh dat wil ik op mijn eigen site ook wel hebben, even
kijken hoe je dat in Apache aanzet" en liep tegen allerlei beren op de weg aan. Uiteindelijk maar niet gedaan.
Ik kan me best voorstellen dat SNS ook een beer is tegengekomen en besloten heeft er maar mee te stoppen.

Als dat geen gewenste situatie is dan is er werk aan de winkel voor de webserver programmeurs. Als je wilt dat dit
gebruikt wordt en gebruikt blijft worden, maak het dan simpel te configureren.

Door Anoniem: Wat je wellicht gemist hebt is dat de TS zichzelf in deze situatie gemanouvreerd heeft door alleen connecties naar
een beperkte lijst IP adressen toe te laten, waar de OCSP server buiten viel.
Dat is een oplossing die notoir onbetrouwbaar is [...]

Door Anoniem: Het komt over als "mensen zetten hun machine potdicht en tweaken 1001 dingen, kunnen dan op een gegeven moment dingen niet meer doen doordat het bedrijf in kwestie geen rekening kan houden met alle 2 miljoen klanten [...]. Dat is het "risico" van die optimale beveiliging, die 9 van de 10 keer nauwelijks tot geen meerwaarde heeft.

Door Anoniem: Wat je wellicht gemist hebt is dat de TS zichzelf in deze situatie gemanouvreerd heeft door alleen connecties naar
een beperkte lijst IP adressen toe te laten, waar de OCSP server buiten viel.
Dat is een oplossing die notoir onbetrouwbaar is omdat je van "een website" niet kunt weten welke adressen die allemaal
gebruikt door alleen naar de start-URL te kijken. En als je met veel moeite bij elkaar hebt geschraapt welke adressen
bereikbaar moeten zijn kan er daar 5 seconden later een bijkomen.
Tuurlijk is dat een beetje zorgwekkend mbt de veiligheid, maar het is hoe het web werkt (al vanaf de eerste site van
Tim Berners-Lee!) en dat is iets waar je min of meer mee moet leven.

Wat die OCSP stapling betreft, ik heb zelf wel eens gedacht "oh dat wil ik op mijn eigen site ook wel hebben, even
kijken hoe je dat in Apache aanzet" en liep tegen allerlei beren op de weg aan. Uiteindelijk maar niet gedaan.
Ik kan me best voorstellen dat SNS ook een beer is tegengekomen en besloten heeft er maar mee te stoppen.

Als dat geen gewenste situatie is dan is er werk aan de winkel voor de webserver programmeurs. Als je wilt dat dit
gebruikt wordt en gebruikt blijft worden, maak het dan simpel te configureren.

Wat je wellicht gemist hebt is dat de TS zichzelf in deze situatie gemanouvreerd heeft door alleen connecties naar
een beperkte lijst IP adressen toe te laten, waar de OCSP server buiten viel.
Dat is een oplossing die notoir onbetrouwbaar is omdat je van "een website" niet kunt weten welke adressen die allemaal
gebruikt door alleen naar de start-URL te kijken. En als je met veel moeite bij elkaar hebt geschraapt welke adressen
bereikbaar moeten zijn kan er daar 5 seconden later een bijkomen.

Door Anoniem: Zolang het werkt, werkt het, en als het niet werkt, merk je dat, en weet je dat je moet kijken wat er is veranderd.
Dat neem je tot op zekere hoogte voor lief als je er aan begint. En je monitort het netwerkverkeer.
Maar dat OCSP stapling op de bankserver weer was uitgezet verwacht je gewoon niet. Het is een stap terug.
Alsof de roltrap weer uit het warenhuis is gesloopt, en er een simpele trap is ingezet die een ieder weer moet beklimmen.

Door Anoniem: Heb je al eens bij de bank gevraagd waarom ze dat gedaan hebben? Misschien wel een heel valide reden. Maar ja. Hier klagen past beter bij dit forum.