Peter Eckersley, medeoprichter Let's Encrypt, op 43-jarige leeftijd overleden
Peter Eckersley, medeoprichter van certificaatautoriteit Let's Encrypt, is vorige week op 43-jarige leeftijd overleden. Eckersley was een Australische computerwetenschapper die voor de Amerikaanse burgerrechtenbeweging EFF werkzaam was en aan de wieg stond van Let's Encrypt, de certificaatautoriteit die mede verantwoordelijk is geweest voor het toenemend gebruik van https door websites. Bij de EFF lanceerde Eckersley projecten zoals Privacy Badger en HTTPS Everywhere, browser-extensies die de privacy van gebruikers beschermen.
De wetenschapper wordt vooral herinnerd wegens zijn rol bij Let's Encrypt, een certificaatautoriteit die gratis tls-certificaten uitgeeft die websites gebruiken voor het opzetten van een versleutelde verbinding met bezoekers en identificatie. Sinds de lancering eind 2015 heeft Let's Encrypt meer dan 2,53 miljard certificaten uitgegeven en een belangrijke rol gespeeld bij de groei van het aantal https-sites. Op dit moment maken meer dan 280 miljoen websites gebruik van door Let's Encrypt uitgegeven certificaten, die negentig dagen geldig zijn, en worden er tussen de twee en drie miljoen certificaten per dag uitgegeven.
Tijdens de coronapandemie adviseerde hij ontwikkelaars van contact tracing-apps hoe die op een privacyvriendelijke manier konden worden ontwikkeld. De laatste tijd was Eckersley vooral bezig met de ethiek en veiligheid van kunstmatige intelligentie en richtte hij het AI Objectives Institute op.
And thanks for Let’s Encrypt.
It really has brought HTTPS to where it belongs – everywhere.
Leer de mensen/eindgebruikers uit de klauwen van onderdrukkende monster-oplossingen blijven.
Matrix.org, het ontmantelen van officieuze schoudersurfende staatsmedewerkers en diensten van het zich steeds meer totalitair opstellend 'systeem'.
luntrus
Anyway, ikzelf ben dankbaar voor een niet commercieele partij, die het minder makkelijk maakt om bijv. journalisten en dissidenten hun surfgedrag in kaart te brengen. Zonder twijfel heeft hij daarmee mensenlevens bespaart.
Oftwel, een etisch visionair is van ons heengegaan.
Dat komt ervan als men primair reageert, of je commentaar leest van een betaalde certificering verstrekker. Alle narigheid rond verschillende certificeringsdrama's vergeten. Ook waarom Symantec het afstootte, e.d. Maar men wordt tegenwoordig vaak zo opgeleid dat er zulk commentaar komt. Het systeem, weet je.
Allicht.
Waar ik problemen met heb is:
1) Proof of control van de website (meer is er niet)
2) Geen controle door de certificaatverstrekker dat degene van die het certificaat is, is wie die zegt dat die is (gewoon een soort blanco identiteitskaart in je bus omdat je toevallig op het juiste adres woont, of daar bij kan)
3) Automatisch elke 60 dagen het vervangen van het huidige certificaat waardoor de website geen zicht meer heeft op haar eigen certificaat (een inbreker die bij Certbot kan is voor altijd binnen want er is geen menselijke controle op de juistheid van certificaten. Geen controle op fingerprints en dergelijke)
Als ik naar https://www.npostart.nl/ ga, dan staat daar:
Stichting Nederlandse Publieke Omroep
Noord-Holland, NL
Verified by: Sectigo Limited
Vergelijk dat met bijvoorbeeld https://www.gimp.org/
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
Als ik naar https://www.npostart.nl/ ga, dan staat daar:
Stichting Nederlandse Publieke Omroep
Noord-Holland, NL
Verified by: Sectigo Limited
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
https://en.wikipedia.org/wiki/Domain-validated_certificate
Allicht.
Waar ik problemen met heb is:
1) Proof of control van de website (meer is er niet)
2) Geen controle door de certificaatverstrekker dat degene van die het certificaat is, is wie die zegt dat die is (gewoon een soort blanco identiteitskaart in je bus omdat je toevallig op het juiste adres woont, of daar bij kan)
3) Automatisch elke 60 dagen het vervangen van het huidige certificaat waardoor de website geen zicht meer heeft op haar eigen certificaat
1) onjuist:
Je kunt CAA en TLSA records in DNS zetten, en dat met DNSSEC signen tegen de root.
Tenzij je zulke DNS ook niet niet vertrouwd, maar dan heb je vooral zelf een probleem, vind ik.
2) irrelevant / non-issue:
Een partij extra ferm moeten betalen om die te laten roepen dat jij betrouwbaar bent is beter?
3) irrelevant / non-issue:
zie 1
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
https://en.wikipedia.org/wiki/Domain-validated_certificate
Wat mij betreft gebruikt security.nl helemaal geen encryptie. Zo was dat vroeger ook toch? Alleen als je een account gebruikt om te posten, dan is SSL wel handig om te hebben. Maar ik post hier geen staatsgeheimen. Alleen wat in mijn gedachten logisch is.
Geen OpenSSL draaien op je server kan ook een vorm van hardening zijn. Vooral als een site (niet deze) niet alle updates goed bijhoudt.
https://internet.nl/site/www.gimp.org/1699116/
Een 79% score is beslist niet under par.
luntrus
https://medium.com/swlh/why-lets-encrypt-is-a-really-really-really-bad-idea-d69308887801
en let's encrypt een erg slecht idee vinden.
Waar ligt de waarheid, lieve vrienden hier, volgens u?
Het is laten we alles encrypten zodat niemand er bij kan, behalve de amerikanen, die kunnen appeltje eitje een certificate maken voor een mim 'attack'
En nu delen ze ook nog allerlei host data, want ik zie ineens iets van 20 dns tests en niet zoals eerst van de amazon abuse cloud, maar nu ook van digital ocean etc.
Draag jij ook een aluminium hoedje? gebruik vooral geen 5G
OT: iemand die weer iets heeft bijgedragen waar we allemaal wat aan hebben. Jammer dat hij op zo`n enorm vroege leeftijd is gestorven. Encrypt in peace!
Deze Eckersley, F.R.A.V.I.A. en nog vele anderen en waarom blijven 'naarlingen' hier zo lang hangen, vaak tot over de honderd.
Nare plek zeker, dat derde brok rots vanaf de zon.
Maak er wat van coders, developers, pentesters, error-hunter en zo meer.
m.vr.gr.,
luntrus
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
No more ransomware! De nieuwe Ransomware Awareness Experience training biedt een realistische maar ook leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer wordt van ransomware en leren meteen hoe een besmetting kan worden voorkomen! Zoals altijd met realistische scenario's en actuele voorbeelden.
Security Trainer
Heb jij net als de rest van ons een passie voor cybersecurity en wil je in een team werken met mensen die minstens zo enthousiast en gedreven zijn als jij? Lijkt het je tof om wereldwijd security trainingen te geven en je security kennis over te dragen? Dan zijn wij op zoek naar jou!
Are you ready for a challenge?
Full Stack Developer (Python)
Lijkt het jou leuk om je coding skills in te zetten voor het ontwikkelen van de latest en greatest security challenges? Certified Secure maakt gebruik van de latest tech-stacks, wij bouwen praktisch alles in Python, maar soms ook in Java, C, Assembly of PHP.