Hoofdcategorieën

[RSS] Index » Nieuws » Core » Software » IE7 krijgt sterkere HTTPS-beveiliging

IE7 krijgt sterkere HTTPS-beveiliging

Door Mick de Neeve, dinsdag 25 oktober 2005 15:40
Bron: MSDN Blogs, views: 24.820

Op MSDN's Internet Explorer Weblog is informatie verschenen omtrent nieuwe HTTPS-veiligheidsfeatures binnen Internet Explorer 7. Het HTTPS-protocol is een versleutelde versie van het HTTP-protocol en wordt voor bijvoorbeeld e-commercetransacties gebruikt. De meeste wijzigingen schroeven de standaardveiligheidsinstellingen van de browser omhoog en zijn in IE6 met de hand in te stellen.

Allereerst zal het standaardoverdrachtsprotocol dat in IE6 wordt gebruikt, SSLv2, in IE7 standaard worden uitgeschakeld; in plaats daarvan zal gebruik worden gemaakt van de krachtigere SSLv3- of TLSv1-protocollen, omdat er nog maar een klein aantal sites zou zijn dat SSLv2 gebruikt. Daarnaast komt er een aantal veranderingen voor de gebruiker in het geval er problemen met de veiligheidscertificaten van een site zijn. Waar de IE6-gebruiker nog om een keuze wordt gevraagd of de website voor de huidige en/of toekomstige sessies vertrouwd dient te worden, zou IE7 de toegang iedere keer blokkeren en de gebruiker waarschuwen. Hierbij is er weliswaar de mogelijkheid de onheilstekens te negeren, maar door de waarschuwingen heenklikken zou wel een prominent roodgekleurde adresbalk opleveren; daarnaast wordt alleen veilig geachte HTTPS-content op de betreffende pagina gerenderd. Via instellingswijzigingen is evenwel te bereiken dat eventueel aanwezige HTTP-content toch te zien is. Volgens Microsoft zijn dit soort wijzigingen in de standaardinstellingen belangrijk omdat weinig webdevelopers, laat staan gebruikers, de risico's zouden begrijpen van het binnen een HTTPS-pagina renderen van objecten die middels HTTP zijn afgeleverd.

Ook biedt IE7 ondersteuning voor een aantal nieuwe versleutelingsalgoritmes, waaronder de Advanced Encryption Standard, die sleutellengtes tot en met 256 bits aankan. Ten slotte is de TLS-implementatie verbeterd, waarbij een oud probleem met virtueel gehoste sites opgelost zou zijn. Door de extra veiligheidseisen van HTTPS moet een server zijn digitale certificaat afgeven voordat het de HTTP-headers van de browser ontvangt. Als er echter meerdere subdomeinen op hetzelfde IP-adres worden gehost kan het misgaan; de server heeft dan geen headers om te bepalen welke content er naar de browser moet. De nieuwe TLS-implementatie zorgt daarom dat de bedoelde hostnaam bekend is in de aanvankelijke handshake tussen client en server.

IE 7 ssl-features
Volgende 16:12
Vorige 13:13

Categorieën

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 51 reacties zichtbaar510 Off-topic / Irrelevant: 49 reacties zichtbaar49+1 On-topic: 45 reacties zichtbaar45+2 Informatief: 8 reacties zichtbaar8+3 Must-read: 1 reactie zichtbaar1
«  1  2  »

Door Tukk, dinsdag 25 oktober 2005 15:45

Score: 1
Mijn webmail is https (https://webmail.xs4all.nl)
Als ik nu daar een HTML-mail bekijk is de content(de plaatjes) vaak gehost bij de verstuurder van de info-mail.

Wat is er gevaarlijk aan deze situatie, althans zo gevaarlijk dat ik gewaarschuwd zou moeten worden door een grote rode balk? :?

Door MetaFrame, dinsdag 25 oktober 2005 15:49

Score: 2
Ze kunnen statisieken van die plaatjes halen en evt achter bepaalde gegevens komen als jij je pc niet beveiligt hebt aangezien je toch verbinding moet maken met een server waar die plaatjes gehost staan.

Door The Noid, dinsdag 25 oktober 2005 16:01

Score: 1
De spammers weten vervolgens dat jouw email adres werkt en gelezen wordt. Kunnen ze meer geld vragen bij het verkopen van je email adres. :)
Niet echt een beveiligings probleem, maar toch.

Bij communicatie naar hetzelfde domijn gaan dezelfde cookies over de http verbinding als over de https verbinding en zou dus je sessie-key onderschept kunnen worden.

Door Olaf van der Spek, dinsdag 25 oktober 2005 16:16

Score: 1
Bij communicatie naar hetzelfde domijn gaan dezelfde cookies over de http verbinding als over de https verbinding en zou dus je sessie-key onderschept kunnen worden.
Daar heb je secure cookies voor.

Door gijoke, donderdag 27 oktober 2005 14:49

Score: 1
Dit is helemaal niet waar MS (en manicmind waarschijnlijk ook niet) het over heeft als ze het probleem beschrijven. Dat probleem is er namelijk net zo hard bij 2 HTTP verbindingen (HTML-mail + de webmail interface). het gaat erom dat allerlei (cross-site)scripting uitgevoerd kan worden en gegevens uitgelezen kunnen worden over je sessie. Spammerts zijn bijzaak.

Dit is dus een voorbeeld van de webdevelopers en gebruikers die het veiligheidsrisico niet goed inschatten

Door Olaf van der Spek, dinsdag 25 oktober 2005 15:51

Score: 1
Wat is er gevaarlijk aan deze situatie, althans zo gevaarlijk dat ik gewaarschuwd zou moeten worden door een grote rode balk?
Voor plaatjes is het waarschijnlijk geen probleem maar voor scripts (ads) bijvoorbeeld wel.

Door redstorm, dinsdag 25 oktober 2005 15:59

Score: 0
Voor plaatjes is het wel een probleem, vaak staat er als bron van het plaatje iets van:
www.reclame.com/feclame.php?from=<a href=\"mailto:een@mail.adres\">een@mail.adres</a>
En zo kunnen ze achterhalen wie hun mail leest.

Door Olaf van der Spek, dinsdag 25 oktober 2005 16:01

Score: 2
Dat heeft niks met http/https te maken. Dat is een issue van je mail reader.

Door Sleep0rz, dinsdag 25 oktober 2005 19:17

Score: 1
Ja, en het gaat er hier om dat het webmail is. Dus waardoor zal je mailtje gerenderd worden?

Door Olaf van der Spek, woensdag 26 oktober 2005 10:17

Score: 1
Dus waardoor zal je mailtje gerenderd worden?
Hopelijk door een mail reader die slim genoeg is om img tags te veranderen in a tags. Het blijft de taak van de mail reader, niet van de browser om dat te doen.

Door F_J_K, dinsdag 25 oktober 2005 15:52

Score: 2
Het weergeven van plaatjes in mails vind ik inderdaad een hele goede. Een van de standaardmethoden van spammers om te achterhalen of je hun zooi leest, is het plaatsen van unieke ID's in dat soort plaatjes.

Dus standaard uitgeschakeld: graag.

Natuurlijk valt het met mail op zich wel mee, omdat je mails hoe dan ook niet zo kan vertrouwen en is de versleuteling daar puur voor de privacy, maar toch. En ook vwb privacy is het goed om een rode balk te krijgen, dan weet je meteen dat %vriendin% of %baas% kan meekijken ondanks de HTTPS.

Door addictive, dinsdag 25 oktober 2005 16:00

Score: 1
wanneer iemand een script laadt, deze de header van een image meegeeft, en in het script weer linkt naar een andere image, dan zie jij dus de image die je moet zien, maar het script zie jij niet. En het wordt wél uitgevoerd. En dat kan dus zeker gevaarlijk zijn.

Door Faro, dinsdag 25 oktober 2005 15:46

Score: 1
De meeste wijzigingen schroeven de vstandaardveiligheidsinstellingen van de browser omhoog en zijn in IE6 met de hand in te stellen.

beteknt dat ook dat de beperkingen hoger worden in ie7?in ie6 ervaar ik dat wel met hogere security :?

Door Olaf van der Spek, dinsdag 25 oktober 2005 15:48

Score: 2
Ook biedt IE7 ondersteuning voor een aantal nieuwe versleutelingsalgoritmes,
In de bron hebben ze het over Vista. Ik hoop echter dat al deze features gewoon in IE7 komen en IE7 ook voor XP beschikbaar komt.
slotte is de TLS-implementatie verbeterd, waarbij een oud probleem met virtueel gehoste sites opgelost zou zijn.
Ik ben blij dat het eindelijk ondersteund wordt, maar het is wel erg jammer dat het zo lang heeft moeten duren.

Door iTec, dinsdag 25 oktober 2005 15:50

Score: 1
Ik hoop het niet, ik hoop liever op dat het OPTIES worden om te installeren..

* 786562 iTec

Door Countess, dinsdag 25 oktober 2005 17:42

Score: 3
jij en ik niet.
maar ik ben wel blij als de leek iets word opgedragen om te gebruiken voor zijn eigen veiligheid.
scheeld mij iniedergeval weer een hoop werk en maakt het internet weer een stukje veiliger.

Door Klaus_1250, dinsdag 25 oktober 2005 15:59

Score: 1
slotte is de TLS-implementatie verbeterd, waarbij een oud probleem met virtueel gehoste sites opgelost zou zijn
http://www.ietf.org/rfc/rfc2817.txt (of http://www.faqs.org/rfcs/rfc3546.html ?) Alleen moet de webserver dat dan ook wel weer ondersteunen...

Hoe zit het eigenlijk met TLS 1.1?

Door Olaf van der Spek, dinsdag 25 oktober 2005 16:00

Score: 1
Helaas is 2817 protocol specifiek.
3546 is wel goed.

Door EvilGhost, dinsdag 25 oktober 2005 15:51

Score: 1
Aan de eene kant is goed dat er zoveel features erin worden gebakken helaas zijn er aantal dingen die minder zijn. Nu gaat Microsoft bijna al bepalen welke sites je wel en niet mag bezoeken en als je daarvan af wilt komen moet je weer heel veel tweaken aan IE. Ik ben benieuwd of het wel echt zin heeft om de gebruiker zo erg te beschermen door dingen uit te schakelen. Als je een domme gebruiker bent (en daar zijn er heel veel van)die overal maar domweg op klikt kan het voorkomen dat je alsnog op sites met virussen en al dat soort ongein komt. Hier zet ik dus erg mijn vraagtekens erbij

Edit: @Luuk 1983
Vandaar dat ik van mening ben dat ze gebruikers ermeer op moeten wijzen op wat voor soort sites ze gerus kunnen surfen en welke soort niet. Het is handig dat er zoveel veiligheid is, maar uiteindelijk ligt het toch aan de gebruiker en daarop moeten ze het aanpakken. Ik heb nog nooit een virus gehad die echt erge dingen deed om me computer (eigenlijk zoiezo geen virussen hoogstens spyware) en hoe komt dat? Gewoon door mijn gebruik.

Door kreator, dinsdag 25 oktober 2005 16:04

Score: 1
Hoe kun je dat nu dan alweer weten, terwijl het product notabene nog niet eens af is?!? Beetje voorbarige conclusie.

Door sjaakduhuuhl, dinsdag 25 oktober 2005 16:07

Score: 1
OMG Kerel, haal het imago van Firefox gebruikers toch niet zo omlaag met een irritant domme off-topic reply als dat :r
Ieder zijn eigen browser, he... Ik gebruik ook Firefox, maar als iemand liever Opera of Netscape gebruikt moet hij dat toch zelf weten!

Door EvilGhost, dinsdag 25 oktober 2005 16:08

Score: 1
Ik gebruik ook Firefox.

En hoe kan je zo zeker al weten dat Firefox per defenitie beter is. Misschien zijn er andere functies van IE7 die het toch weer beter maken.

Door Luuk1983, dinsdag 25 oktober 2005 16:10

Score: 1
Daarom is het denk ik zaak om standaard de boel een stuk dichter te spijkeren dan nu het geval is. Maar de grens is nogal dun tussen veriligheid en gebruikers(on)gemak. Een domme gebruiker moet beschermd worden tegen zichtzelf, maar tegelijkertijd moet alles voldoende werken zonder dat de gebruiker geïriteerd wordt.

Kortom: Microsoft probeerd het beste compromis te vinden, maar uiteindelijk is het toch de gebruiker die de veiligheid bepaald.

Door TheZoo, woensdag 26 oktober 2005 09:42

Score: 1
Als jij vindt, dat het de taak is van MS om de gebruiker tegen zichzelf te beschermen, moeten de autofabrikanten dat ook niet maar gaan doen?

Door S1M0N, woensdag 26 oktober 2005 09:50

Score: 1
Volgens mij nemen de meeste autofabrikanten (behalve die chinese suv) ook zeer veel veiligheidsmaatregelen, zoals een kooiconstructie, airbags foefjes met elektronische sleutels om diefstla te voorkomen etc.

Maar ik snap niet dat iemand nu op de conclusie komt dat IE7 gaat bepalen welke sites je wel mag zien en welke niet. Het enigste wat het gebruik TLS in IE7 vraagt is een deugdelijk certifcaat en daar kun je zelf wel voor zorgen.

By the way, wordt het certifcaat verders ook nog gechecked, zo heb ik bij mn eigen ssl-verbinding maar eigen certificaat (zonder root-certificate) aangemaakt... is dat zometeen ook nog mogelijk?

Door Olaf van der Spek, dinsdag 25 oktober 2005 16:11

Score: 0
Gele en rode balken zijn juist beter dan een klein lock icon en modal dialogs met warnings.

Door Ortep, dinsdag 25 oktober 2005 16:12

Score: 1
Vaak genoeg kom ik in de computerwinkel mensen tegen die gewoon te bang zijn om hun computer te gebruiken, uit angst voor virussen, spam, worms en noem ze maar op.
Stuur die mensen eens door naar mij. Ik wil er wel eens een zien die zo redeneert. Ik kom er veel meer tegen die zonder blikken of blozen zeggen: Firewall? Virusscanner? Niets daarvan...dat kost geld en dat maakt mijn PC trager. Of Ik merk toch nooit wat van virussen dus is het geen probleem.

En als je dan eens een scanner over zo'n PC haalt vindt je soms 1500-2000 spyware problemen (geen cookies, echte!) en een stuk of 10 virussen. Die haal je er af en een week later is het weer hetzelfde.

Laat aub de PC standaard zo 'dicht' mogelijk staan. Dan kunnen we daarna de zaak wel weer gecontoleerd open zetten.

Door Pietervs, dinsdag 25 oktober 2005 18:01

Score: 1
Het is beter voor een veilig systeem en bekwame gebruikers te zorgen dan iedere keer "weet u dit wel zeker" of "ik zou het niet doen" te zeggen.
Ja, en in een ideale wereld stopt ook iedereen voor een rood licht en rijdt niemand te hard...
Kortom: dat er alleen nog maar bekwame gebruikers komen en veilige Operating Systems is een utopie. Dus jammer genoeg zijn er allerlei gele en rode waarschuwingsbalken nodig...

Door AgentSmith, dinsdag 25 oktober 2005 16:09

Score: 1
In Firefox heb ik een tijdje SSLv2 uitgeschakeld maar ik kwam toch nog een aantal sites tegen die deze versie nodig hadden. Slecht natuurlijk. Hopelijk zorgt de introductie van IE7 ervoor dat webmasters zich gedwongen voelen om over te schakelen op betere beveiliging. Veel sites gebruiken ook nog maximaal 128bit versleuteling terwijl 256bit (AES) allang bestaat. IE6 ondersteunt het echter niet dus voelen de meeste webmasters zich niet geroepen het te installeren.

@Luuk: Een webmaster die zo denkt, neemt beveiliging niet serieus. Daarbij, als het je beroep is dan is het toch een kleine moeite om AES te implementeren? Je hoeft geeneens rekening te houden met sitebezoekers zolang de oudere beveiligingsmethoden beschibaar blijven. Als ik echter creditcardgegevens of andere gevoelige informatie verzend dan kijk ik altijd even of er 256bit AES wordt gebruikt. Voelt wel zo prettig :).

Door Luuk1983, dinsdag 25 oktober 2005 16:12

Score: 1
Tja, je kan natuurlijk niet verwachten dat elke keer als er een nieuwe standaard uitkomt alle bestaande sites switchen.

Het kan me voorstellen dat je nieuwe sites uiteraard volgens de dan geldende standaarden bouwt, maar om de site daarna te BLIJVEN updaten gaat ook wel ver. Tenzij het natuurlijk een zeer belangrijke site is, maar ja dan wordt die site sowieso al vaak geupdate waarschijnlijk :)

Door Olaf van der Spek, dinsdag 25 oktober 2005 16:18

Score: 2
De web server software moet je zoiezo up to date houden. TLS support zit er dan in principe standaard in.

Door brompot758, dinsdag 25 oktober 2005 16:16

Score: 1
waaronder de Advanced Encryption Standard, die sleutellengtes tot en met 256 bits aankan

De door M$ gehanteerde implementatie kan misschien maximaal AES-256 aan, maar AES-512 en zelfs AES-1024 zijn gewoon mogelijk met de standaard.

Met de huidige stand van de techniek is AES-256 overigens wel de hoogst praktisch haalbare. Anders overlaad je met name de CPU van de webserver te snel.

ALs je trouwens nu al behoefte hebt aan AES-256: Apache met Firefox als browser gebruikt dit al standaard.

Door RickN, dinsdag 25 oktober 2005 16:46

Score: 1
Ik denk dat veel mensen zouden schrikken als ze zien hoe makkelijk het is om een man-in-the-middle attack uit te voeren op https verkeer als de attacker toegang heeft tot je netwerk.

Bovendien denk ik dat veel mensen zouden schrikken als ze zien hoe makkelijk het is toegang te krijgen tot iemands draadloze netwerk zolang 9/10 netwerken nog met WEP worden versleuteld.

Een dagje zoeken met google, wat tutorials lezen, tools downloaden en je leest de gmail van je buurman, of erger....

Meer prominente waarschuwingen als het certificaat van de site die je bezoekt niet in orde is, zijn dus zeker wel zéér welkom!

Door Olaf van der Spek, dinsdag 25 oktober 2005 17:38

Score: 1
Meer prominente waarschuwingen als het certificaat van de site die je bezoekt niet in orde is, zijn dus zeker wel zéér welkom!
Het handmatig moeten installeren van een certificaat lijkt mij wel een goede optie. En dan natuurlijk niet meer simpel met een enkele Ja een niet-geinstalleerd certificaat kunnen accepteren.

Door fremar, dinsdag 25 oktober 2005 17:27

Score: 2
Ik hoop wel dat de mogelijkheid blijft bestaan om self-signed certificaten permanent te accepteren, anders komen een hoop hobby-projecten en anderen met een kleine beurs toch wel in de problemen.
* 786562 fremar

Door Olaf van der Spek, dinsdag 25 oktober 2005 19:02

Score: 0
Unless you completely know and trust the operator of this website, do not enter information into this webpage.
Wat is dat voor vage zin. Een certificaat beschermt je toch tegen alles wat tussen jou en de website zit en niet tegen de eigenaar van de site zelf?

Door xbassiex, dinsdag 25 oktober 2005 19:10

Score: 0
Èn je kunt eigenlijk nooit iemand voor 100% vertrouwen op het internet...

Door alt-92, dinsdag 25 oktober 2005 19:55

Score: 1
En hoe weet jij dat je niet met een DNS spoof te maken hebt waardoor je tegen een Kloon-telebankieren site aan kijkt?

Door Olaf van der Spek, woensdag 26 oktober 2005 10:21

Score: 1
En hoe weet jij dat je niet met een DNS spoof te maken hebt waardoor je tegen een Kloon-telebankieren site aan kijkt?
Dat is afhankelijk van het certificaat, maar ik snap niet wat dat met die vage zin te maken heeft.

Door SED, dinsdag 25 oktober 2005 20:08

Score: 1
en certificaat geeft geen bescherming alks domme mensen maar gewoon kliken en alle certificaten acepteren.
De zin slaat op het feit dat je op een website die je niet kunt vertrouwen geen gegevens moet invullen..
«  1  2  »

Op dit item kan niet meer gereageerd worden.

Volgende 16:12
Vorige 13:13
VNU Media logo Powered by True

© 1998 - 2009 Tweakers.net - Alle rechten voorbehouden - Uw Privacy - Algemene Voorwaarden

Uitgever van: