Door Anoniem: Ik lees hier regelmatig berichten die erop duiden dat we hier snappen dat anonimiteit niet gelijk staat aan criminaliteit.
Kan zijn, maar andersom wel: criminelen zijn bijna altijd anoniem (ook als zij zich voordoen als een ander).
Websitebezoekers hoeven helemaal niet te weten van wie een site is.
Als je belazerd wordt door een website van anoniem heeft het weinig of geen zin om naar een rechter te stappen (je weet niet eens in welk land die anoniem gevestigd is). Jouw risico is dan maximaal. Een soort kofferbakverkoop van een auto met valse kentekenplaten door een verkoper met een anonymous masker op.
Naarmate jij grotere risico's loopt bij het bezoeken van een website, moet je meer vertrouwen hebben in de verantwoordelijke voor die website. Als je geen idee hebt wie dat is, is elk vertrouwen een blinde gok. Met hoe meer zekerheid je weet wie de verantwoordelijke is en of deze in een fatsoenlijke rechtsstaat gevestigd is, hoe groter diens pakkans als hij/zij jou belazert. Tevens: hoe langer diens goede reputatie, hoe kleiner jouw risico is - want die reputatie zal die website-eigenaar niet graag verspelen (en daarna opnieuw op moeten bouwen).
Door Anoniem: Zowel de whois als het TLS certificaat van security.nl leiden mij ook niet naar een natuurlijk persoon. Sterker nog: In de whois staan alleen adresgegevens van de registrar en hoster. Is security.nl nu crimineel?
https://security.nl heeft een OV (Organization Validated) certificaat. Uit
https://crt.sh/?id=17535770958:
Subject:
commonName = www.security.nl
organizationName = The Security Council B.V.
localityName = Den Haag
countryName = NL
[...]
X509v3 Certificate Policies:
Policy: 2.23.140.1.2.2
CPS: http://www.digicert.com/CPS
Nb. Chrome onder Android, de enige mobiele browser die ik ken die nog
íets van het certificaat laat zien, beperkt zich tot:
ISSUED TO
Common Name (CN)
www.security.nl
Organization (O)
The Security Council B.V.
Land en stad worden weggelaten (terwijl allerlei gegevens, waar doorsnee gebruikers niets mee kunnen, wel worden getoond). Ook zie je niet of het om OV of EV gaat.
In § 3.2.2.1.1 "Organization Validated" in
https://www.digicert.com/content/dam/digicert/pdfs/legal/digicert-public-trust-cp-cps-v7-08.pdf kun je lezen dat de OV-identiteitscheck van Digicert niet zoveel voorstelt - en een aanvaller deze dus relatief eenvoudig zou kunnen spoofen. Zo'n aanvaller is er daarmee echter nog niet, want hij (v/m) zal op netwerkniveau als AitM (Attacker in the Middle) moeten kunnen acteren om de browser van het slachtoffer met een andere webserver te laten verbinden.
De kans dat dit gebeurt hangt af van de verwachte verdiensten van de aanvaller. Die schat ik in als laag voor
security.nl; hoewel een aanvaller links naar malware in de nepsite zou kunnen opnemen, zijn veel bezoekers van deze site geen security-noobs (en waarschijnlijk ook geen wachtwoord-hergebruikers). Bovendien zullen er onder de bezoekers mensen zijn die snel onraad ruiken, waardoor deze site niet lang "gekaapt" zal blijven.
Belangrijk hier is ook de
reputatie van de website met de eenvoudig te onthouden domeinnaam
security.nl die bovendien in mijn lijstje met Favorieten staat. KeePassDX op mijn smartphone stuurt mij direct naar het record met de juiste inloggegevens als de domeinnaam klopt.
M.a.w.
security.nl is één van de slechtste voorbeelden die je kon bedenken.
Door Anoniem: Ik beweer nergens dat er groepen mensen zijn die niet in de narigheid van criminelen kunnen trappen, alleen ben ik ook van mening dat anonimiteit van websites daarbij geen rol speelt.
Oneens.
Door Anoniem: Sowieso is het hele CA systeem verrot,
Eens. En zolang een commercieel bedrijf dat cloudsservers verhuurt, browsers maakt én certificaten uitgeeft, in de praktijk de lakens uitdeelt in het CA/B forum (waar geen consumentenorganisaties in vertegenwoordigd zijn), gaat dit ook niet goedkomen.
Door Anoniem: betere ideeën zijn er wel (oa DANE)
Was jij niet diegene die mij voor techneut uitmaakte (en er dus buiten de werkelijkheid van doorsnee gebruikers en noobs denkt)?
Door Anoniem: Kortom, als mensen gewaarschuwd worden "deze website heeft u nog niet eerder bezocht" en "log niet in!" (vóórdat potentieel misleidende content van de website wordt gedownload - laat staan getoond), zal dat inloggen op nepsites waarschijnlijk in de meeste gevallen helpen voorkómen.
Dat klinkt als een prima waarschuwing, maar anonimiteit van websites veranderd daar niets aan. De browser kan immers gewoon checken of de site voor komt in de al opgebouwde history.
Ik leg het het mogelijk niet goed uit (overigens ga ik uit van een database lijkend op die voor HSTS).
1) Eerder bezochte website, ongewijzigd certificaat en geen andere anomalies: meteen toegang;
2) Eerder bezochte website maar gewijzigd certificaat of andere anomalies: waarschuwen (evt. alleen bij als kritisch aangemerkte sites, zoals van banken);
3) Niet eerder bezochte site: als de gebruiker daarop wil inloggen dan alarm slaan. Als het om een gewenst bezoek van een nieuwe site gaat (webshop, site waar je een account op aanmaakt, persoonsgegevens moet verstrekken of moet betalen) de gebruiker zoveel mogelijk helpen om diens risico's in te schatten. Denk aan zeer recent op naam van een ander gezette domeinnaam, detectiescore op bijv. VirusTotal, free/low budget hosting (bijv. subdomeinen van weebly.com, *.framer.* en *.created.app), goedkope domeinnamen (per TLD), typisch misleidende TLD-1 zoals *.nl.com, potentieel misleidende IDN,
én of het gaat om een anonieme c.q. geauthenticeerde eigenaar/verantwoordelijke (in dat laatste geval, met welke betrouwbaarheid die authenticatie heeft plaatsgevonden, én hoe betrouwbaar de authenticeerder is).
