HTTPS en HSTS voortaan verplicht voor alle overheidswebsites en webapps
Overheidswebsites en webapplicaties moeten voortaan verplicht van HTTPS en HSTS gebruikmaken. De Wet digitale overheid (Wdo) die deze eisen stelt is gisteren in werking getreden. Al begin 2017 liet de minister van Binnenlandse Zaken weten dat HTTPS voor alle overheidssites verplicht zou worden. Naast HTTPS voor een beveiligde verbinding was het plan om ook HSTS te verplichten.
HTTP Strict Transport Security (HSTS) zorgt ervoor dat websites die via HTTPS te bezoeken zijn alleen via HTTPS worden bezocht, ook al wordt er door de gebruiker HTTP in de adresbalk ingevoerd. In 2019 kwam het kabinet vervolgens met een internetconsultatie over de verplichting. Tijdens de aanschaf van ict-systemen en -diensten moeten overheidsorganisaties de ‘Pas toe of leg uit’-lijst van Forum Standaardisatie raadplegen, en de standaarden die van toepassing zijn, gebruiken. Tenzij ze een zwaarwegende reden hebben om dat niet te doen.
Het ‘Pas toe of leg uit’-beleid biedt ruimte aan publieke organisaties en overheidsorganisaties om in hun eigen tempo open standaarden te implementeren. Voor sommige standaarden gaat dat te langzaam, blijkt uit metingen die Forum Standaardisatie uitvoert (pdf). De Wdo moet ervoor zorgen dat ook achterblijvende overheidsorganisaties als het om HSTS en HTTPS gaat in beweging komen. Daarnaast moet de HTTPS-configuratie voldoen aan de TLS-richtlijnen en Webapplicatie-richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Het Forum Standaardisatie organiseert aanstaande woensdag 5 juli voor overheidsinstanties een "open spreekuur" over het verplicht toepassen van HTTPS en HSTS.
Maar ook Windows Updates gaan nog grotendeels via http.
HSTS helpt niet als de door jou gebruikte webbrowser geen (niet verlopen) HSTS-registratie van een website heeft en die browser geen "https-only" instelling heeft die áán staat: als je dan security.nl invult in de adresbalk van jouw browser, wordt er verbinding gemaakt via poort 80. Onder ongunstige omstandigheden (bijv. public WiFi) kan zo'n verbinding eenvoudig worden gekaapt.
Als jouw browser bij http://http.badssl.com zonder waarschuwing een rode pagina laat zien, staat "https-only" niet aan.
Waarom zouden we poort 80 uit gaan zetten? Gewoon niet voor dit soort sites gebruiken, Dat heeft toch niets verder met http of poort 80 te maken?
Dat is net zoiets als ... telnet moet dicht!!! Gooi het op de brandstapel. Ze bedoelen dan eigenlijk: Het Prococol! telnet niet gebruiken ... maar in de praktijk zie je dan dat poort 23 wordt uitgezet. of ... het commando telnet zelf verwijderen :D
HSTS zou niet gevoelig moeten zijn voor IP changes. Kun je dit toelichten?
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.