Nieuws
image

Certificaatautoriteiten stoppen met mail, fax en post voor controle domeinhouder

donderdag 11 december 2025, 09:53 door Redactie, 7 reacties
Laatst bijgewerkt: Gisteren, 10:47

Certificaatautoriteiten gaan stoppen met het gebruik van e-mail, sms, fax, telefoongesprekken en fysieke post om te controleren of de persoon die een tls-certificaat voor een domein aanvraagt ook de legitieme domeinhouder is. Het CA/Browser Forum heeft besloten om elf oudere methodes voor "Domain Control Validation" uit te faseren. Dit moet voorkomen dat aanvallers certificaten voor domeinen kunnen aanvragen die niet van hen zijn om daar vervolgens aanvallen mee uit te voeren, zo laat Google weten.

Het CA/Browser Forum is een consortium van certificate authorities en ontwikkelaars van browsers, besturingssystemen en andere PKI-applicaties dat zich bezighoudt met het opstellen van regels voor certificaten en certificaatautoriteiten. Certificaatautoriteiten geven de tls-certificaten uit die websites bijvoorbeeld gebruiken voor het opzetten van een versleutelde verbinding met bezoekers en identificatie.

Een domeinhouder die bij een certificaatautoriteit een tls-certificaat wil aanvragen moet aantonen dat hij de eigenaar van het domein is. Hiervoor zijn allerlei methodes beschikbaar. Zo kan de domeinhouder een DNS TEXT record aanmaken en daarin een door de certificaatautoriteit gegeven waarde plaatsen. Er zijn echter ook oudere methodes die volgens het CA/Browser Forum onvoldoende bescherming bieden. Het gaat dan bijvoorbeeld om het gebruik van sms, e-mail, fax en telefoongesprekken om te controleren of de aanvrager van een certificaat ook de domeinhouder is. Deze methodes worden nu uitgefaseerd.

"Door het uitfaseren van deze verouderde methodes, die gebruikmaken van zwakkere verificatiesignalen zoals fysieke post, telefoongesprekken of e-mail, sluiten we mogelijke openingen voor aanvallers en sturen we het ecosysteem naar geautomatiseerde, cryptografisch verifieerbare security", aldus Google. De uitfasering zal stapsgewijs plaatsvinden en begin 2028 zijn afgerond. Volgens het techbedrijf zullen deze aanpassingen voor de meeste gebruikers onzichtbaar zijn. "En dat is precies het doel. Maar achter de schermen maken ze het lastiger voor aanvallers om certificaatautoriteiten te misleiden om certificaten uit te geven voor domeinen die ze niet bezitten."

Reacties (7)
Reageer met quote
Gisteren, 10:19 door Anoniem
De timeline is ook wel belangrijk:
To allow affected website operators to transition smoothly, the deprecation will be phased in, with its full security value realized by March 2028.
Reageer met quote
Gisteren, 10:39 door majortom - Bijgewerkt: Gisteren, 10:43
Dus wordt er enkel gecheckt of de aanvrager controle over het domein heeft (de Let's Encrypt methode); dit zegt dus helemaal niets over de betrouwbaarheid van de aanvrager, de link tussen domein en aanvrager (hoort abnamro.org echt bij de ABN AMRO of niet?) etc. Dit hele systeem is daarmee rot en onbetrouwbaar, want je kunt hier niet meer uit afleiden of je met de echte legitieme partij achter de site te maken hebt of met een malafide impersonator. Authenticatie (dat waarvoor certificaten bedoeld zijn) is daarmee waardeloos geworden en de bijbehorende encryptie incluis (omdat de basis al untrusted is),

Security wordt hiermee ondergeschikt gemaakt aan efficienty en gemak (vooral voor de uitgevers van certificaten). Waarom zou je dan uberhaupt nog betalen voor een certificaat?
Reageer met quote
Gisteren, 11:01 door Named
Dit oude forum heeft besloten de fax machine eindelijk uit te zetten, hoera!

Vroeger had het nog enigszins zin om de eigenaar van een website te valideren in een certificaat, dit was zichtbaar.
Maar nu is er geen enkele reden meer toe, aangezien er nog maar zelden naar word gekeken naar deze informatie.
Overheden halen hun certificaten uit het buitenland, banken gebruiken Let's Encrypt en het valt bijna niemand op.

Ik denk dat er iets (terug) moet komen om duidelijk te maken van wie een website is.
De huidige certificaten worden nu maandelijks ververst, het uitvoeren van handmatige verificatie is daarbij onhandig.
Dan is een 2e certificaat die domeinnaam aan bedrijf of persoon koppelt de logische uitkomst denk ik.
Een "website eigenaarschap" certificaat dus!
Reageer met quote
Gisteren, 11:03 door Anoniem
Dit hele systeem is daarmee rot en onbetrouwbaar, want je kunt hier niet meer uit afleiden of je met de echte legitieme partij achter de site te maken hebt of met een malafide impersonator. Authenticatie (dat waarvoor certificaten bedoeld zijn) is daarmee waardeloos geworden en de bijbehorende encryptie incluis (omdat de basis al untrusted is),
Dat was het toch al met het EUSSR root certificate wat hapklaar in de browser zou moeten zitten.
We zijn terug bij af: het intetnet is niet te vertrouwen. Snel terug naar papier. Dat heeft zoveel andere voordelen ook...
Reageer met quote
Gisteren, 11:12 door Anoniem
Als ze minder kosten gaan maken en e.e.a. zal worden geautomatiseerd worden de certificaten dan ook goedkoper? Want wij betalen nu voor de controle handelingen. Ik vermoed niet dat die peperdure EV certificaten goedkoper gaan worden.

Waarom blijven ze niet de oude manieren gebruiken en tegelijk dat TXT DNS record verplichten.
Reageer met quote
Gisteren, 11:59 door Anoniem
Door majortom: Dus wordt er enkel gecheckt of de aanvrager controle over het domein heeft (de Let's Encrypt methode); dit zegt dus helemaal niets over de betrouwbaarheid van de aanvrager, de link tussen domein en aanvrager (hoort abnamro.org echt bij de ABN AMRO of niet?) etc. Dit hele systeem is daarmee rot en onbetrouwbaar, want je kunt hier niet meer uit afleiden of je met de echte legitieme partij achter de site te maken hebt of met een malafide impersonator. Authenticatie (dat waarvoor certificaten bedoeld zijn) is daarmee waardeloos geworden en de bijbehorende encryptie incluis (omdat de basis al untrusted is),

Security wordt hiermee ondergeschikt gemaakt aan efficienty en gemak (vooral voor de uitgevers van certificaten). Waarom zou je dan uberhaupt nog betalen voor een certificaat?

Nee, dat is nooit anders geweest. Er was geen validatie tussen de te registreren domain aanvrager en de naam van het domein (dus abnamro.org). De validatie wordt niet perse anders; ze gebruiken alleen een andere mechanisme.
Bij een EV certificaat krijg je alle bovenstaande stappen (bellen, mail etc) maar nog geen DNS verificatie. En juist dát is een heel belangrijke stap om te controleren of een certificaat wel bij de domeinnaam hoort. In zekere zin was die er indirect; er gaat een mail naar webmaster, postmaster of administrator @ aan te vragen domein; maar dat wil nog niet perse zeggen dat je ook DNS eigenaar bent.
Reageer met quote
Gisteren, 15:57 door majortom
Door Anoniem:
Door majortom: Dus wordt er enkel gecheckt of de aanvrager controle over het domein heeft (de Let's Encrypt methode); dit zegt dus helemaal niets over de betrouwbaarheid van de aanvrager, de link tussen domein en aanvrager (hoort abnamro.org echt bij de ABN AMRO of niet?) etc. Dit hele systeem is daarmee rot en onbetrouwbaar, want je kunt hier niet meer uit afleiden of je met de echte legitieme partij achter de site te maken hebt of met een malafide impersonator. Authenticatie (dat waarvoor certificaten bedoeld zijn) is daarmee waardeloos geworden en de bijbehorende encryptie incluis (omdat de basis al untrusted is),

Security wordt hiermee ondergeschikt gemaakt aan efficienty en gemak (vooral voor de uitgevers van certificaten). Waarom zou je dan uberhaupt nog betalen voor een certificaat?

Nee, dat is nooit anders geweest. Er was geen validatie tussen de te registreren domain aanvrager en de naam van het domein (dus abnamro.org). De validatie wordt niet perse anders; ze gebruiken alleen een andere mechanisme.
Bij een EV certificaat krijg je alle bovenstaande stappen (bellen, mail etc) maar nog geen DNS verificatie. En juist dát is een heel belangrijke stap om te controleren of een certificaat wel bij de domeinnaam hoort. In zekere zin was die er indirect; er gaat een mail naar webmaster, postmaster of administrator @ aan te vragen domein; maar dat wil nog niet perse zeggen dat je ook DNS eigenaar bent.
Een groot verschil: je weet wel dat de aanvraag vanuit een legitieme bron kwam/komt. Een DNS check is wel een hele minimale check, die overal vandaan kan komen. Dus om nu alle checks te vervangen door de meest minimale check lijkt me een stap in de verkeerde richting, Probeer juist de domeinnaam<->bedrijf relatie goed te krijgen. Overigens, als je bij Digicert kijkt is (volgens de website) de DV check de basis check op basis waarvan de andere checks gedaan worden, i.e. de meest minimale check https://www.digicert.com/faq/public-trust-and-certificates/what-is-an-extended-validation-ev-ssl-certificate.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search
Image