Peter Eckersley, medeoprichter Let's Encrypt, op 43-jarige leeftijd overleden
Peter Eckersley, medeoprichter van certificaatautoriteit Let's Encrypt, is vorige week op 43-jarige leeftijd overleden. Eckersley was een Australische computerwetenschapper die voor de Amerikaanse burgerrechtenbeweging EFF werkzaam was en aan de wieg stond van Let's Encrypt, de certificaatautoriteit die mede verantwoordelijk is geweest voor het toenemend gebruik van https door websites. Bij de EFF lanceerde Eckersley projecten zoals Privacy Badger en HTTPS Everywhere, browser-extensies die de privacy van gebruikers beschermen.
De wetenschapper wordt vooral herinnerd wegens zijn rol bij Let's Encrypt, een certificaatautoriteit die gratis tls-certificaten uitgeeft die websites gebruiken voor het opzetten van een versleutelde verbinding met bezoekers en identificatie. Sinds de lancering eind 2015 heeft Let's Encrypt meer dan 2,53 miljard certificaten uitgegeven en een belangrijke rol gespeeld bij de groei van het aantal https-sites. Op dit moment maken meer dan 280 miljoen websites gebruik van door Let's Encrypt uitgegeven certificaten, die negentig dagen geldig zijn, en worden er tussen de twee en drie miljoen certificaten per dag uitgegeven.
Tijdens de coronapandemie adviseerde hij ontwikkelaars van contact tracing-apps hoe die op een privacyvriendelijke manier konden worden ontwikkeld. De laatste tijd was Eckersley vooral bezig met de ethiek en veiligheid van kunstmatige intelligentie en richtte hij het AI Objectives Institute op.
And thanks for Let’s Encrypt.
It really has brought HTTPS to where it belongs – everywhere.
Leer de mensen/eindgebruikers uit de klauwen van onderdrukkende monster-oplossingen blijven.
Matrix.org, het ontmantelen van officieuze schoudersurfende staatsmedewerkers en diensten van het zich steeds meer totalitair opstellend 'systeem'.
luntrus
Anyway, ikzelf ben dankbaar voor een niet commercieele partij, die het minder makkelijk maakt om bijv. journalisten en dissidenten hun surfgedrag in kaart te brengen. Zonder twijfel heeft hij daarmee mensenlevens bespaart.
Oftwel, een etisch visionair is van ons heengegaan.
Dat komt ervan als men primair reageert, of je commentaar leest van een betaalde certificering verstrekker. Alle narigheid rond verschillende certificeringsdrama's vergeten. Ook waarom Symantec het afstootte, e.d. Maar men wordt tegenwoordig vaak zo opgeleid dat er zulk commentaar komt. Het systeem, weet je.
Allicht.
Waar ik problemen met heb is:
1) Proof of control van de website (meer is er niet)
2) Geen controle door de certificaatverstrekker dat degene van die het certificaat is, is wie die zegt dat die is (gewoon een soort blanco identiteitskaart in je bus omdat je toevallig op het juiste adres woont, of daar bij kan)
3) Automatisch elke 60 dagen het vervangen van het huidige certificaat waardoor de website geen zicht meer heeft op haar eigen certificaat (een inbreker die bij Certbot kan is voor altijd binnen want er is geen menselijke controle op de juistheid van certificaten. Geen controle op fingerprints en dergelijke)
Als ik naar https://www.npostart.nl/ ga, dan staat daar:
Stichting Nederlandse Publieke Omroep
Noord-Holland, NL
Verified by: Sectigo Limited
Vergelijk dat met bijvoorbeeld https://www.gimp.org/
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
Als ik naar https://www.npostart.nl/ ga, dan staat daar:
Stichting Nederlandse Publieke Omroep
Noord-Holland, NL
Verified by: Sectigo Limited
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
https://en.wikipedia.org/wiki/Domain-validated_certificate
Allicht.
Waar ik problemen met heb is:
1) Proof of control van de website (meer is er niet)
2) Geen controle door de certificaatverstrekker dat degene van die het certificaat is, is wie die zegt dat die is (gewoon een soort blanco identiteitskaart in je bus omdat je toevallig op het juiste adres woont, of daar bij kan)
3) Automatisch elke 60 dagen het vervangen van het huidige certificaat waardoor de website geen zicht meer heeft op haar eigen certificaat
1) onjuist:
Je kunt CAA en TLSA records in DNS zetten, en dat met DNSSEC signen tegen de root.
Tenzij je zulke DNS ook niet niet vertrouwd, maar dan heb je vooral zelf een probleem, vind ik.
2) irrelevant / non-issue:
Een partij extra ferm moeten betalen om die te laten roepen dat jij betrouwbaar bent is beter?
3) irrelevant / non-issue:
zie 1
Welke geeft een veiliger gevoel? Proof of control?? Ga je van de laatste website met een veilig gevoel je software ophalen?
https://en.wikipedia.org/wiki/Domain-validated_certificate
Wat mij betreft gebruikt security.nl helemaal geen encryptie. Zo was dat vroeger ook toch? Alleen als je een account gebruikt om te posten, dan is SSL wel handig om te hebben. Maar ik post hier geen staatsgeheimen. Alleen wat in mijn gedachten logisch is.
Geen OpenSSL draaien op je server kan ook een vorm van hardening zijn. Vooral als een site (niet deze) niet alle updates goed bijhoudt.
https://internet.nl/site/www.gimp.org/1699116/
Een 79% score is beslist niet under par.
luntrus
https://medium.com/swlh/why-lets-encrypt-is-a-really-really-really-bad-idea-d69308887801
en let's encrypt een erg slecht idee vinden.
Waar ligt de waarheid, lieve vrienden hier, volgens u?
Het is laten we alles encrypten zodat niemand er bij kan, behalve de amerikanen, die kunnen appeltje eitje een certificate maken voor een mim 'attack'
En nu delen ze ook nog allerlei host data, want ik zie ineens iets van 20 dns tests en niet zoals eerst van de amazon abuse cloud, maar nu ook van digital ocean etc.
Draag jij ook een aluminium hoedje? gebruik vooral geen 5G
OT: iemand die weer iets heeft bijgedragen waar we allemaal wat aan hebben. Jammer dat hij op zo`n enorm vroege leeftijd is gestorven. Encrypt in peace!
Deze Eckersley, F.R.A.V.I.A. en nog vele anderen en waarom blijven 'naarlingen' hier zo lang hangen, vaak tot over de honderd.
Nare plek zeker, dat derde brok rots vanaf de zon.
Maak er wat van coders, developers, pentesters, error-hunter en zo meer.
m.vr.gr.,
luntrus
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?