Onderzoek: https-verbinding veel websites niet veilig genoeg - update | Pro

Reacties

« 1 2 3 4 5 »

Door Poringez, woensdag 10 november 2010 17:36

oh boy, nu krijgen we weer zo'n enorme media scare en blinde paniek bij mensen die niet zo goed begrijpen wat dit inhoud.
soms denk ik dat het publiceren van dit soort artikelen niet zo veel zin hebben...

Door ironx, woensdag 10 november 2010 17:41

Helaas is het vaak zo: geen publiciteit = het probleem bestaat niet = we doen er niks aan...
Heb zelf ook al enkele keren meegemaakt dat SSL certificaten verlopen waren of gewoonweg totaal niet juist

Mijn Ohra -> verlopen certificaat
Xbox.com (Microsoft!) -> verlopen certificaat, zelfs enkele maanden!

[Reactie gewijzigd door ironx op woensdag 10 november 2010 17:45]

Door mcmd, woensdag 10 november 2010 22:26

Als ik bij 'Mijn Ohra' kijk dan zie ik dat de certificaat geldig is tot 12 augustus 2012....
Of bedoel je iets anders?

Door PeeCee, woensdag 10 november 2010 23:08

Dat een certificaat verlopen is wil niet direct zeggen dat een website onveilig is. De encryptie blijft het zelfde, enkel is een man in the middle attack makkelijker als mensen niet goed opletten.

Maar om de MAM uit te voeren heb je wel iets meer nodig dan een certificaat dat verlopen is.

Ik vind dat de aanschaf van een certifitcaat voor een website soms ook schandalig duur is om bijv een groen balkje te krijgen.
We hebben het hier dan ook alleen over een authenticatieserver die dit aangeeft. En dit terwijl het certificaat misschien wel op de naam van pietje puk staat uit timboektoe. Zolang er maar betaald wordt is het goed.

Voor 150 euro kun je een heel jaar lang mensen oplichten door ze enkel gebruikt te laten maken via HTTPS op je website zonder dat iemand het ooit kan achterhalen.

Door dtech, donderdag 11 november 2010 00:57

Je wordt echt niet zomaar een vertrouwde CA (Certificate Authority) die opgenomen wordt in bijv. de standaardbundels van Microsoft, Apple of Mozilla. Ook is een certificaat als het goed is gekoppeld aan een domein; en moet je bij je CA kunnen aantonen dat je controle hebt over dat domein.

Het zal dus niet voorkomen dat een hacker een certificaat voor een website krijgt die hij al onder controle heeft, maar dat is dus ook helemaal niet erg: als hij controle heeft over de website heeft hij immers geen gefingeerd certificaat meer nodig.

SSL beschermt daarentegen prima tegen afluisteren (met elk certificaat, zelfs een zelf-gegenereerde) en MitM aanvallen (als het certificaat afkomstig is van een betrouwbare CA)

Door Inny, donderdag 11 november 2010 09:01

Door axel_007, donderdag 11 november 2010 12:08

Maar als bescherming vatbaar is voor een man in the middle attack, dan is het geen bescherming (of in ieder geval geen volledige bescherming).

Het is dus helemaal geen onzin dat (het gebrek aan) beveiliging bij grote websites aan de kaak gesteld wordt.

Overigens weet ik niet hoe ze dit getest hebben, maar het certificaat van mijn.ing.nl is volgens mij wel gewoon een EV-certificaat.... Het is namelijk uitgegeven door VeriSign Class 3 Extended Validation SSL SGC CA.

edit:
Het zou kunnen dat de testresultaten inmiddels zijn ingehaald door de werkelijkheid, het certificaat van Mijn ING is "valid from: 11 oktober 2010". Het lijkt er dus op dat ze pas een nieuw certificaat hebben

[Reactie gewijzigd door axel_007 op donderdag 11 november 2010 12:22]

Door BeosBeing, donderdag 11 november 2010 14:01

WesternUnion.nl -> certificaat is ook al maanden verlopen (vanaf de laatste grote update van de site meld Opera dit al). Pasgeleden maar eens gemeld toen ik ze aan de lijn had.

[Reactie gewijzigd door BeosBeing op donderdag 11 november 2010 14:06]

Door yannickie111, woensdag 10 november 2010 17:45

dat is ook wel zo, maar eigenlijk is natuurlijk ook gewoon schandalig dat zelfs banken en gezondheidsinstellingen de beveiliging van hun website niet op orde hebben.

"Het is vreemd om te zien dat websites als Facebook, Twitter en LinkedIn beter beveiligd zijn dan alle Nederlandse banken", schrijft hij.

En dit vind ik al helemaal vreemd, ik heb liever dat mensen mijn geboortedatum enz kunnen zien op Facebook, dan mijn bankgegevens!

Door Janusch, woensdag 10 november 2010 19:09

ik vind dit eigenlijk helemaal niet zo vreemd.

Sites als Facebook en twitter worden constant bijgehouden, bewerkt etc.
Er wordt dus veel aandacht aan besteed.

Dit is denk ik bij banken en overheidsinstellingen veel minder.

Ik zeg denk ik, omdat ik geen professional ben, en geen bronnen heb en het niet zeker weet. Het lijkt mij het meest logisch...

Door Roland684, donderdag 11 november 2010 09:19

Daarbij is facebook het produkt van facebook, terwijl internetbankieren maar een bijzaak is voor de banken. Slechts een klein deel van de ING werkt aan mijn.ing.nl terwijl een zeer groot deel van de facebook medewerkers aan de website werkt.

* Roland684 ziet overigens weinig verschil tussen het certificaat van facebook en dat van mijn.ing. beide lijken gewoon aan het domein gekoppeld te zijn. En juist bij de ing is ook de inlog-pagina encrypted terwijl je bij faceboek maar moet hopen dat je naam+wachtwoord naar een https-site gestuurd worden.

[Reactie gewijzigd door Roland684 op donderdag 11 november 2010 09:22]

Door Windom Earle, donderdag 11 november 2010 09:25

Zonder kennis van zaken nogal een loze opmerking. Ik ben zelf actief als security tester binnen een nederlandse bank (die overigens niet in dit artikel wordt genoemd) en kan je vertellen dat er continu releases, changes en bugfixes zijn. Het overgrote deel heeft echter, in tegenstelling tot sites als facebook, betrekking op de backend (onder meer om de beveiliging actueel te houden).

Ik vind het dan ook behoorlijk verrassend dat er blijkbaar banken zijn die het niet eens de moeite vinden te investeren in een nieuw certificaat. De kosten daarvan zijn op jaarbasis volledig te verwaarlozen. Net als voor de aanschaf van een EV certificaat.

Vooral als bank wil je een zo betrouwbaar mogelijk imago opbouwen. Daar heeft bijvoorbeeld de Rabobank veel profijt gehad tijdens de economische crisis, toen een hoop klanten van ING/ABN Amro/Fortis zijn overgestapt naar de Rabo.

Juist internetbankieren is een belangrijk uithangbord voor banken (gezien de hoeveelheid mensen die er gebruik van maken). Een paar simpele veiligheidsmaatregelen als hierboven worden genoemd zijn voor weinig geld te realiseren en zorgen ervoor dat je niet op deze manier in het nieuws komt ....

Door BeosBeing, donderdag 11 november 2010 14:08

Tja, de back-end is belangerijk maar vrij zinloos als de front-end al niet goed is en je via de voordeur kunt inbreken. Nu zeg ik niet dat dat kan, maar juist het versloffen daarvan kan betekenen dat de kans groter wordt dat het kan, en het is inderdaad ook slecht voor het imago. Als de voordeur al scheuren vertoont, hoe slecht zal het dan niet gesteld zijn met datgene wat je niet ziet. Zo denkt men meestal.

[Reactie gewijzigd door BeosBeing op donderdag 11 november 2010 14:19]

Door Nokian95dude, woensdag 10 november 2010 19:27

Ja daarom is FB al meerdere keren in het nieuws geweest vanwege beveiligingslekken. Omdat ze zo goed beveiligd zijn. Ik kan je vertellen dat een beetje hacker daar zo binnen zit,.

En vwb de banken. Kan je garanderen dat dat toch voor de rabo niet geld. Zeker weten dat die hun zaakjes wel op orde hebben hoor. Bovendien is het niewsbericht erg vreemd aangezien banken goed beveiligde verbindingen hebben en die worden alleen maar beter.. Dus ik snap dit niet zo goed.

Door Ruud v A, woensdag 10 november 2010 20:23

Door _Alkaline, woensdag 10 november 2010 21:50

Bron? Ik denk dat FB niet makkelijk te hacken is en dat een zogenaamde hacker alleen gebruik kan maken van "social engineering". Wat meer met psychologie dan hacken te maken heeft.

Door markvt, woensdag 10 november 2010 21:50

Als je bij de banken kijkt naar de hoeveelheid SPF records gepubliceerd zijn had dat ook een hoop ellende kunnen voorkomen

Door kidde, woensdag 10 november 2010 23:43

Misschien het onderzoek zelf eens lezen (op de link klikken) in de plaats van aannames te doen over de banken?

Uw gevoel over Rabo blijkt juist te zijn, maar enkele andere banken hebben de zaken slecht op orde. Het onderzoek legt precies uit waarom.

Door fevenhuis, woensdag 10 november 2010 18:04

Ik denk dat het publiceren van dit soort artikelen enorm veel zin heeft om de houding, van bedrijven waar de veiligheid juist zo belangrijk is, tegenover databeveiliging te veranderen.

Vandaag de dag moet de beveiliging nou eenmaal continue in gaten gehouden worden en niet pas achteraf optreden na problemen.

Door DarkForce, woensdag 10 november 2010 19:14

In tegendeel, wie A zegt moet ook B zeggen.... het effect van dit soort nieuws in de media is dat mensen de betreffende sites c.q. bedrijven niet langer vertrouwen.

1) Teus Hagen zegt nu bijvoorbeeld dat enkele bedrijven e.e.a. niet netjes op orde hebben qua SSL/TLS beveiliging.

2) Teus Hagen zal niet een nieuwe publicatie doen waarin hij zal aankondigen dat de SSL/TLS problemen opgelost zijn.

Een echte kwestie van wel A zeggen, maar geen B als het bedrijf welke "hij toch op deze wijze in een kwaad daglicht plaatst" de problemen opgelost heeft. Onder klanten (lees; consumenten) kan/zal deze weer het vertrouwen verliezen terwijl dit nu juist net is teruggewonnen.

[Reactie gewijzigd door DarkForce op woensdag 10 november 2010 19:14]

Door Floor, woensdag 10 november 2010 19:45

Tja, dan is het helaas eigenschuld dikke bult. Kijk eens naar de essentie van een bank: "het veilig beheren van je geld". Daar betaal je genoeg voor dus je mag verwachten eisen dat een bank zijn veiligheid goed in orde heeft. Dat geldt niet alleen de fysieke beveiliging maar de gehele organisatie moet erop ingericht zijn.

Daarom is de overheid er nog lang niet aan toe om digitaal te gaan. Er zitten teveel mensen met te weinig verstand van zaken, of erger nog, mensen die denken er verstand van te hebben maar die alleen maar wat oppervlakkige kennis hebben.

Beveiliging is meer dan alleen wat software updaten, wat rechten toekennen, een goed ingericht systeem. Het gaat van P&O (er wordt iemand ontslagen dus die mag per direct geen toegang meer hebben) tot directie (directie mag geen beslissingen nemen die de beveiliging ondermijnen). Beveiliging raakt elk individu in de organisatie en het individu moet erop bedacht zijn dat zijn of haar daden de beveiliging onbedoeld kan ondermijnen. Daarom dient elk serieus bedrijf/orgaan/instantie een security officer te hebben of in te huren die verstand van zaken heeft en beslissingsbevoegd is en dienen er protocollen te worden nageleefd en scenario's klaar te liggen. Dat niet alleen, deze persoon moet ook nog eens sterk in zijn schoenen staan want spreek de directie maar eens tegen als de veiligheid ondermijnt dreigt te worden door hun beslissing.

[Reactie gewijzigd door Floor op woensdag 10 november 2010 19:48]

Door DarkForce, woensdag 10 november 2010 21:37

Tja, dan is het helaas eigenschuld dikke bult. Kijk eens naar de essentie van een bank: "het veilig beheren van je geld". Daar betaal je genoeg voor dus je mag verwachten eisen dat een bank zijn veiligheid goed in orde heeft. Dat geldt niet alleen de fysieke beveiliging maar de gehele organisatie moet erop ingericht zijn.

Mocht het verkeerd uitgepakt hebben voor klanten van de ING dan had ING volgens mij ook echt wel schuld bekend en ervoor garant gestaan om e.e.a. ongedaan te maken (mocht er geld gejat zijn) in geval van privacy gevoelige gegevens is het nog een onderzoeker, noch jij noch ik die het recht in eigen hand moeten nemen om een bedrijf via media "publiekelijk zwart te maken" ook al gaat het om beveiliging. Daarom zeg ik ook niet voor niets dat het wel zo netjes zou zijn geweest dat er via diezelfde media naar buiten gebracht werdt dat ING nadien de beveiligingsproblemen opgelost heeft.

Daarom is de overheid er nog lang niet aan toe om digitaal te gaan. Er zitten teveel mensen met te weinig verstand van zaken, of erger nog, mensen die denken er verstand van te hebben maar die alleen maar wat oppervlakkige kennis hebben.

Je draait het hier om, de overheid is er weldegelijk aan toe! Het is echter de externe partij die in opdracht van de overheid wanprestaties levert en in mijn ogen het recht niet mogen hebben zich met dergelijke activiteiten bezig te houden.

Door Floor, donderdag 11 november 2010 09:01

Nee, de overheid is er niet aan toe. De gigantische verspilling van belastinggelden aan mislukte ICT projecten is hiervan alleen al een goed voorbeeld van. ICT projecten kan je pas starten wanneer je weet wat je wilt, je consistent bent in je beleid en je organisatie er klaar voor is, immers je organisatie moet zich richten naar de ICT en niet andersom.

Ik pleit al jaren voor een speciaal overheidsorgaan die zorgt voor een consistent beleid, waar mensen zitten met verstand van zaken en die weten hoe ICT projecten gemanaged moeten worden. Als ik zie wat voor totale nitwits zich met ICT bezighouden is het alleen maar logisch dat er zo ontzettend veel mis gaat (zie recent ook OV-chipkaart, stemcomputers, puinhoop met belastingaangiftes en teruggave, lek bij DUO en dat zijn alleen nog zaken die het landelijke nieuws halen. ) Je claim dat het aan de externe partij ligt bewijst alleen mijn bovengenoemde stelling.

Een bank mag publieke terecht worden gesteld, ze moeten immers altijd de veiligheidszaken in orde hebben. Hebben ze dat niet dan faalt hun eigen beveiligingsbeleid.
Het is wat anders als de bank een externe audit in hun opdracht had laten uitvoeren. Dat hebben ze nagelaten en nalatigheid bij banken moet je banken afstraffen. Zie het ook de financiële crisis die we te danken hebben aan nalatigheid van banken en overheid. Het is de enige prikkel die bij dit soort lompe organisaties werken.

[Reactie gewijzigd door Floor op donderdag 11 november 2010 09:08]

Door Madrox, donderdag 11 november 2010 09:58

Pas nog het IT debacle bij de Politiekorpsen, systeem wat niet deugt. Proces-verbalen etc.etc. die digitaal zoekraken....

Ondanks waarschuwingen van de IT specialisten, zegt de top in de korpsleiding "ach meneer, het zal zo'n vaart niet lopen" , "we hebben vaker met dit bijltje gehakt", "gewoon ff inwerken", "desnoods noteren we met potlood en kladblok".... Haha.

Door TW_RdV, donderdag 11 november 2010 12:20

" ... immers je organisatie moet zich richten naar de ICT en niet andersom ...".

Ik heb altijd gedacht dat ICT een ondersteunend onderdeel is van je bedrijfsvoering. En zou ICT zich dus moeten richten naar de organisatie.

Ik zou het niet voor elkaar krijgen om mijn baas de organisatie om te laten gooien vanwege de aanschaf van een pakket (omdat er zo'n leuke kleurtjes op het scherm komen en de rapproten zo frivool zijn).
Onze CIO zal het ook niet echt voor elkaar krijgen om de hele lijnorganisatie om te gooien omdat hij dat zo nodig vindt.

Of vergis ik me?

Door Floor, donderdag 11 november 2010 12:33

Een veel gemaakte fout en heel vaak ook de oorzaak dat een software implementatie mislukt, veel duurder wordt dan begroot of dat het eindresultaat onbevredigend is.

Je kiest uiteraard een pakket wat zo goed mogelijk bij je organisatie past maar met alleen de software aanpassen aan je bedrijf redt je het niet. Je krijgt dan snel "vroeger konden we dit en dit zus en zo, nu niet meer, kan het aangepast worden?". Gevolg:nieuw pakket (vaak dure investering), wat nagenoeg hetzelfde doet als het voorgaande pakket maar dan duurder.

Vaak betekend de overstap naar een software pakket dat je de interne bedrijfsvoering tegen het ligt moet gaan houden, procedures of zelfs de interne organisatie moet gaan veranderen. Dit schrikt af, dit is geen makkelijk verkooppraatje en daarom ook nauwelijks belicht. Goede consultants zullen hierop wijzen maar een getrainde manager weet het.
Wanneer je dit stadium doorlopen hebt dan is software inderdaad ondersteunend. Hoewel de software heden ten dage software niet meer als ondersteunend maar juist als kritisch kan worden bestempeld.

Door Iknik, donderdag 11 november 2010 09:44

Mocht het verkeerd uitgepakt hebben voor klanten van de ING dan had ING volgens mij ook echt wel schuld bekend en ervoor garant gestaan om e.e.a. ongedaan te maken

Jij hebt overduidelijk nog nooit met dat bijltje gehakt. Dat doet een bank dus niet.

recht in eigen hand [...] nemen

Hij constateert alleen, maar dat mag ook al niet meer?

Je draait het hier om, de overheid is er weldegelijk aan toe! Het is echter de externe partij die in opdracht van de overheid wanprestaties levert en in mijn ogen het recht niet mogen hebben zich met dergelijke activiteiten bezig te houden.

Maar die externe partijen gaan echt niet op eigen houtje aan overheidssystemen knutselen, hoor. Daar gaat een opdracht aan vooraf. En vaak is het zo dat wanneer een project verkeerd uitpakt (te duur, te lang, slechte kwaliteit) dat te wijten is aan de opdrachtgever, die eigenlijk niet weet wat hij hebben wil en de opdrachtnemer veel te veel de vrije hand geeft. Als jij een huis laat bouwen, en je zegt tegen de aannemer 'Doe maar iets, als er maar tenmiste 1 deur en 4 ramen in zitten' krijg je waarschijnlijk ook iets anders dan jijzelf voor ogen had; en dat ligt dan niet aan die aannemer, hij heeft dan, correct volgens de opdracht, immers 'iets' gedaan. Dan had jij duidelijker moeten zijn naar de aannemer.

Door Ras, woensdag 10 november 2010 22:14

De bank kan heel simpel zelf een persbericht de deur uitdoen waarin ze vertellen dat ze door dit onderzoek op gebreken zijn gewezen en inmiddels de nodige maatregelen hebben genomen om de beveiliging op te krikken. Wat mij betreft dus een uitgelezen kans voor de bedrijven om te laten zien hoe snel ze reageren op de beschuldigingen uit een onderzoek als deze. Als ze er goed mee omgaan kunnen ze het in hun voordeel laten werken.

Daarmee vind ik dus ook dat dit een prima onderzoek is en je echt niet van Teus Hagen hoeft te verlangen dat deze bij gaat houden of de bedrijven hun leven beteren. Die taak zou je volgens jou redenatie net zo goed aan tweakers.net kunnen toebedelen, want die berichten er nu ook over.

Neemt niet weg dat het wel interresant is om te weten te komen hoe de genoemde bedrijven reageren op dit onderzoek, dus tweakers.net zou er goed aan kunnen doen door over een maand contact te leggen met de genoemde bedrijven.

Door DarkForce, donderdag 11 november 2010 00:17

De bank kan heel simpel zelf een persbericht de deur uitdoen waarin ze vertellen dat ze door dit onderzoek op gebreken zijn gewezen en inmiddels de nodige maatregelen hebben genomen om de beveiliging op te krikken. Wat mij betreft dus een uitgelezen kans voor de bedrijven om te laten zien hoe snel ze reageren op de beschuldigingen uit een onderzoek als deze. Als ze er goed mee omgaan kunnen ze het in hun voordeel laten werken.

Dat is juist het probleem, denk je nu echt dat de consument erin trapt dat uit tests en statistieken is gebleken dat een product van fabrikant A slecht is, de klant er nog in trapt wanneer de fabrikant zegt... we zijn erop geattendeerd en hebben het opgelost?!

Dan is het al te laat. Als je als onderzoeker fatsoen kent en hebt, meld je eerst alvorens je iets in de media brengt. Media is de killer in de maatschappij, en dan komt het er in jou woorden op neer dat men zichzelf in de media moet verdedigen ?! Dat is natuurlijk helemaal de omgekeerde wereld. Daarom ook 'wie A zegt, moet ook B zeggen' je kunt beschuldigen, zwartmaken, smaad, laster en weet ik allemaal niet plegen met een onderzoek, maar je moet wel eerlijk en fair zijn en zeggen dat het probleem opgelost is.

Daarmee vind ik dus ook dat dit een prima onderzoek is en je echt niet van Teus Hagen hoeft te verlangen dat deze bij gaat houden of de bedrijven hun leven beteren. Die taak zou je volgens jou redenatie net zo goed aan tweakers.net kunnen toebedelen, want die berichten er nu ook over.

Dan moet je geen uitspraken doen, je bent pas onderzoeker als je niet alleen de nadelen of negatieve effecten maar ook positieve uitspraken kunt en durft te doen in gevallen als deze.

Neemt niet weg dat het wel interresant is om te weten te komen hoe de genoemde bedrijven reageren op dit onderzoek, dus tweakers.net zou er goed aan kunnen doen door over een maand contact te leggen met de genoemde bedrijven.

Tuurlijk is het interessant om te weten, maar het had beter geweest als bedrijven in kwestie de tijd hadden gehad zich te verweren c.q. stappen te ondernemen. Pas dan kun je spreken over een doeltreffend onderwerp in de media. Bedrijven door het slijk halen is nimmer een doel uit onderzoeken en statistieken is mij altijd geleerd en gezegd... het is om de bedrijven waarom het gaat op zwakheden te wijzen zodat deze er wellicht iets mee kunnen doen.

Dit is niets meer of minder dan pure zwartmakerij, de consumenten weer op het verkeerde been zetten. Ze kunnen door de bomen het bos al niet meer zien, weten niet waarop ze moeten letten en gaan dus door een geintje als dit weer flink in de twijfel zitten. Kan ik nu dan wel op ing.nl zonder dat ik mij zorgen hoef te maken? Kan ik dan wel bij xs4all.nl blijven, ondanks dat iemand kan zien wat mijn wachtwoorden zijn als ik inlog? Snap je 'm ? Ik als bedrijf zou ook direct zeggen dat ik het probleem opgelost heb, terwijl het misschien niet opgelost is. Stel je voor dat ik inkomsten mis moet lopen... daarom gaan consumenten vaak al niet uit van de berichten vanuit de fabrikant of in dit geval dienstverlener zoals ING.

Door Ras, donderdag 11 november 2010 01:33

... denk je nu echt dat de consument erin trapt dat uit tests en statistieken is gebleken dat een product van fabrikant A slecht is, de klant er nog in trapt wanneer de fabrikant zegt... we zijn erop geattendeerd en hebben het opgelost?!

Ja.

Dan moet je geen uitspraken doen, je bent pas onderzoeker als je niet alleen de nadelen of negatieve effecten maar ook positieve uitspraken kunt en durft te doen in gevallen als deze.

Tja, jouw definitie van onderzoeker.

Deze onderzoeker heeft kennelijk gewoon als doel om een probleem aan de kaak te stellen. Dat dit gaat ten koste van bedrijven: Eigen schuld van die bedrijven. Hadden ze maar beter werk moeten leveren. Wat Youp doet vind je zeker ook niet kunnen?

Door Floor, donderdag 11 november 2010 09:37

Het is een onderzoek, geen journalistieke rapportage!
Bij een journalistieke rapportage werk je met woord en weerwoord.

Tuurlijk is het interessant om te weten, maar het had beter geweest als bedrijven in kwestie de tijd hadden gehad zich te verweren c.q. stappen te ondernemen.

Afhankelijk van het onderzoek, maar wat voor termijn is dan redelijk? Een dag, een week, maand, een jaar? Bij ernstige beveiligingsproblemen vind ik 2 dagen toch echt het maximum terwijl de directie een maand al snel vindt. Hier moet je je als onderzoeker niet mee inlaten want je begeeft je op glad ijs. Een onderzoeker dient zoveel mogelijk onafhankelijk te blijven en dat is al een hele klus op zich zelf (zie de medische onderzoekers op universiteiten die wel onafhankelijk willen zijn maar niet kunnen omdat ze in werk wat ze ernaast doen afhankelijk zijn van de gelden uit de farmaceutische industrie).

[Reactie gewijzigd door Floor op donderdag 11 november 2010 09:38]

Door Iknik, donderdag 11 november 2010 09:38

Dat is juist het probleem, denk je nu echt dat de consument erin trapt dat uit tests en statistieken is gebleken dat een product van fabrikant A slecht is, de klant er nog in trapt wanneer de fabrikant zegt... we zijn erop geattendeerd en hebben het opgelost?!

En waarom trappen ze er niet in? Omdat berichten vanuit bedrijven de zaken over het algemeen wat rooskleurig voorstellen. Als jij eerst 5 keer liegt, waarom zou ik dan geloven dat jij de zesde keer de waarheid spreekt? En dat is dan een goede reden om maar niet meer te zeggen dat product X niet deugt, omdat een bedrijf dan niet die zesde keer hoeft te liegen? Ik snap werkelijk niets van jouw manier van 'redeneren'.

Dan is het al te laat.

Dat is dan toch de schuld van de bank zelf? Als de bank wél geld wil verdienen aan iets dat werken met gevoelige gegevens met zich meebrengt, maar je wil niet investeren in expertise / techniek om dat ook goed te doen, dan ben je gewoon fout bezig.

Als je als onderzoeker fatsoen kent en hebt, meld je eerst alvorens je iets in de media brengt.

Het is een onderdeel van de bedrijfsstrategie om (te) weinig te investeren in beveiliging. Moet je dat dan eerst melden aan degene die die strategie bedacht heeft? Beetje vreemd verhaal.

Tuurlijk is het interessant om te weten, maar het had beter geweest als bedrijven in kwestie de tijd hadden gehad zich te verweren c.q. stappen te ondernemen.

Dat hebben ze gehad. Vanaf het moment dat er bedacht is dat het verwerken van gevoelige gegevens via internet wel een goed idee is had er nagedacht moeten worden over veiligheid(sbeleid).

Jij draait het hele verhaal om door de boodschapper dood te schieten, en niet de oorzaak aan te pakken. Dat mensen het vertrouwen verliezen in bedrijven komt door die bedrijven, en door niemand anders.

een doel uit onderzoeken en statistieken [...] is om de bedrijven waarom het gaat op zwakheden te wijzen zodat deze er wellicht iets mee kunnen doen.

En waar blijft de consument in jouw verhaal? Die hoeven pas iets te weten op het moment dat een bank beslist of ze jouw gegevens wel of niet deugdelijk gaan beschermen?

We hebben sinds kort een 'vrije markt', en zoiets functioneert alleen wanneer iedereen in die markt over gelijke informatie beschikt. Dat betekent dus dat zowel een bedrijf, als een (mogelijke) consument beiden moeten weten dat dat bedrijf een veiligheidsrisico neemt. Als ik dat als consument niet weet kan ik geen goede keuze maken (goedkoop produkt + risico, duurder produkt + minder risico).

Ze kunnen door de bomen het bos al niet meer zien

Als dát het probleem is moet je eerst eens nagaan of de manier waarop we de economie hebben ingericht wel zo'n goeie is. Het is in ieder geval beslist geen reden voor zelfopgelegde censuur.

Ik als bedrijf zou ook direct zeggen dat ik het probleem opgelost heb, terwijl het misschien niet opgelost is. Stel je voor dat ik inkomsten mis moet lopen... daarom gaan consumenten vaak al niet uit van de berichten vanuit de fabrikant of in dit geval dienstverlener zoals ING.

Als je nou gewoon zegt dat het opgelost is als het opgelost is (dat heet 'de waarheid spreken') heb je het hele probleem niet. Sterker nog, als je nou gewoon vanaf het begin had nagedacht over een nette implementatie (dat heet 'visie', of 'strategie') had je de zaken wél op orde gehad en had je dit bericht kunnen gebruiken als positieve reclame voor jezelf.

Ze hebben gewoon de bewuste keuze gemaakt om (te) weinig te investeren in veiligheid, en daarvoor worden ze nu opgehangen. Tja. Eigen schuld, dikke bult.

[Reactie gewijzigd door Iknik op donderdag 11 november 2010 09:59]

Door Iknik, donderdag 11 november 2010 09:33

Een echte kwestie van wel A zeggen, maar geen B als het bedrijf welke "hij toch op deze wijze in een kwaad daglicht plaatst" de problemen opgelost heeft. Onder klanten (lees; consumenten) kan/zal deze weer het vertrouwen verliezen terwijl dit nu juist net is teruggewonnen.

Als ze dit nooit hadden kunnen weten geef ik je gelijk, maar deze kwesties zijn gewoon een zaak van te weinig expertise en / of budget en / of prioriteit. Dat is een bewuste keuze (of zou dat in ieder geval moeten zijn voor organisaties die met gevoelige gegevens werken). Als iemand er dan op wijst "bedrijf X heeft de bewuste keuze gemaakt om het op die manier aan te pakken" is dat niet meer dan een weergave van de bedrijfsstrategie. Het is niet aan de boodschapper om daarop verdere stappen te ondernemen.

Door CAPSLOCK2000, vrijdag 12 november 2010 02:21

Hij heeft geprobeerd contact op te nemen met al die websites, maar dat ging niet echt makkelijk. Lees z'n paper, dat is erg interessant, zeker als je zelf met SSL te maken hebt.

Door Oet, woensdag 10 november 2010 17:38

Mis ik iets, als ik kijk naar het certificaat voor https://mijn.ing.nl staat de CN gewoon op mijn.ing.nl Alles dik in orde lijkt me?!?

Edit misschien is het onderzoek eerder gedaan, huidig certificaat is gemaakt op 11-10-2010

[Reactie gewijzigd door Oet op woensdag 10 november 2010 17:40]

Door Devil N, woensdag 10 november 2010 17:45

Dat kan kloppen. Ergens eind oktober (vanaf de 23ste als ik me goed herinner) was het certificaat van Mijn ING een paar dagen lang verlopen, waardoor Firefox waarschuwingen ging geven. Kort daarna is het certificaat vervangen door een nieuwe. Kan met dit verhaal te maken hebben.

Door DarkForce, woensdag 10 november 2010 19:15

Kijk.... dus kan het zijn dat Teus Hagen met zijn waardeloze uitspraak, wel de klanten van ING aan de twijfel zet waardoor deze klanten het vertrouwen kunnen/zullen verliezen. Want een tegen bericht waarin hij aangeeft dat ING het probleem inmiddels opgelost heeft is ver te zoeken.

Door Tozz, woensdag 10 november 2010 20:19

Dat dit nu is herstelt doet geenzins afbreuk aan het feit dat dit ernstig is. De browser van mensen gaf nu op de legitieme ING site een error.

De volgende keer dat iemand wel een Man in the Middle attack uitvoert en iemand krijgt weer een dergelijke SSL error, maar nu omdat je omgeleid wordt naar een phishing site denken mensen mogelijk weer 'Oh, ING zal wel wat gedaan hebben'.

Door dit niet bij te houden op je eigen legitieme website zorg je er voor dat mensen de meldingen dat er wat mis is niet meer serieus nemen, en daarmee neemt je beveiligingsniveau af.

Door Grrmbl, woensdag 10 november 2010 20:52

De volgende keer dat iemand wel een Man in the Middle attack uitvoert en iemand krijgt weer een dergelijke SSL error, maar nu omdat je omgeleid wordt naar een phishing site denken mensen mogelijk weer 'Oh, ING zal wel wat gedaan hebben'.

Goed punt, maar de onderzoeker moet ook zijn bedoelingen duidelijk maken. Niet wat onderzoeken en het voor de honden werpen. Want dat doet deze, lijkt het. Of zou de onderzoeker dit in samenspraak met de onderzochte bedrijven hebben uitgezocht?

Door DarkForce, woensdag 10 november 2010 21:45

Het lijkt mij niet dat dit in samenspraak is gegaan maar pure bevindingen zijn van de onderzoeker. Het is tenslotte een onderzoek dat in de media terecht komt en in het nadeel van meerdere bedrijven betreft. Een dergelijk onderzoek schaadt je imago of kan schade opleveren.

Door Madrox, donderdag 11 november 2010 10:02

Volgens mij is het aan het bedrijf om te melden, als het dat wenst; dat het eventuele probleem is opgelost. Het is een onafhankelijk onderzoeker en geen waakhond in dienst van dat bedrijf.

Door CyBeR, donderdag 11 november 2010 22:54

Dat dit nu is herstelt doet geenzins afbreuk aan het feit dat dit ernstig is. De browser van mensen gaf nu op de legitieme ING site een error.

Ik gebruik Mijn ING zo ongeveer elke dag en ik ben maar één keer een error tegengekomen, toen ik de oude url gebruikte (mijn.postbank.nl). Dát certificaat was inderdaad korte tijd verlopen. Op de huidige url, mijn.ing.nl, heb ik die niet gezien.

[Reactie gewijzigd door CyBeR op donderdag 11 november 2010 22:54]

Door Terminal13, woensdag 10 november 2010 17:45

Heb je ook gekeken wanneer het certificaat is ge-update?
Inderdaad; dezelfde dag dat het rapport werd vrijgegeven/afgeleverd...
En ik neem aan dat de bedrijven vooraf een kopie hebben gekregen.

OnTopic: Eigenlijk vind ik het wel heel erg dat er een onderzoek moet komen naar de veiligheid van dit soort sites, met name van banken en overheidsinstellingen.

Ik kan me overigens wel voorstellen dat bedrijven wachten met het aanvragen van een nieuw/verbeterd certificaat op het moment dat het oude vervalt, dus eigenlijk zou de test elk jaar gedaan moeten worden om te kijken of bedrijven er überhaupt wel naar kijken.

Door mcmd, woensdag 10 november 2010 22:32

Op zich niet zo erg dat er onderzoek gedaan wordt. Dat kan uiteindelijk leiden tot een betere kwaliteit en daar wordt iedereen beter van. Ten slotte moet het testen van zwakheden niet alleen aan hackers worden overgelaten.

Door sequenter, woensdag 10 november 2010 21:42

Hmmm, vind jezelf het ook niet heel erg toevallig dat het certificaat van de mijn.ing.nl nu valid is from 10-11-2010, kortom dit artikel heeft nu al zijn vruchten afgeworpen.

edit : had stukje van Terminal13 nog niet gezien

[Reactie gewijzigd door sequenter op woensdag 10 november 2010 22:01]

Door z.jeroen, woensdag 10 november 2010 23:13

Mis ik iets, als ik kijk naar het certificaat voor https://mijn.ing.nl staat de CN gewoon op mijn.ing.nl Alles dik in orde lijkt me?!?

Klopt, en in het certificaat van 23-10-2008 - 12-11-1009, waar ik toevallig een kopie van heb, stond ook al CN=mijn.ing.nl. Dus óf het certificaat is tussen toen en nu even anders geweest óf het onderzoek deugt niet. De conclusies zijn in ieder geval nogal aangedikt.

Door mjtdevries, donderdag 11 november 2010 10:32

Die datum geeft overigens ook aan, dat het gewoon toeval kan zijn dat het certificaat net dezelfde dag geupdate is, aangezien het certificaat ieder jaar rond die tijd verloopt.

Door EvilMeBe, woensdag 10 november 2010 17:43

Wauw, ik ben eigenlijk behoorlijk geschokt van de onveiligheid (en slordigheid) van dergelijke sites. Zeker het feit dat gebruikte certificaten dus blijkbaar verlopen zijn, dan heeft er iemand echt zitten slapen lijkt me..

Zo geeft het 'slotje' enkel aan dat er een succesvolle ssl/tls-handshake is gemaakt, maar betekent dat niet direct dat de door de site aangeboden versleuteling goed genoeg is.

Ik ben dan benieuwd hoe een eindgebruiker wel kan beoordelen of een verbinding veilig is. Heb net het vak Network Security afgerond waar inderdaad ssl/tls aan bod kwam, maar hier werd verder niet op de gebruikersinterface ingegaan.

[Reactie gewijzigd door EvilMeBe op woensdag 10 november 2010 17:45]

Door leuk_he, woensdag 10 november 2010 21:31

Je kunt 2 levels van certificaten zien.
-Gewoon In order: blauwe naam van site voor url.
-Meer security (ev certiciaat): groene naam van de site.

Het probleem komt pas als het certicaat niet geldig is. Dan is het een alles of niks verhaal. Terwijl het een simpel probleem kan zijn dat b.v. je systeemklok niet goed staat.

Ook als de CA "zomaar" veranderd is niet geregeld in de browser.

Door Remus, donderdag 11 november 2010 09:00

Een certificaat zegt niet alles: als het encryptie protocol voor de handshake en/of de verbinding waardeloos is, is onderschepping nog steeds relatief makkelijk.

Door i-chat, donderdag 11 november 2010 09:46

dat is ook het hele probleem van https naar mijn idee

> waarom kun je niet gewoon een domain based cert gemakkelijk installeren (en heb je een vast eigen ip nodig).
> waarom waarom bouwen webontwikkelaars (ook die van bijv gratis zut als joomla) niet by default veiligheden in je kunt met jscript / ajax prima dezelfde encripty onderhandelen als ssl niet aanwezig / ondersteund / of te duur voor je is.

veiligheid begint niet eens op de site van je bank, natuurlijk verwachtje dat de ban netjes het mooiste, beste en duurste cert neemt dat er is. maar hoe zit dat met al die net iets minder belangrijke sites waar mensen WEL gewoon HUN password in plaintext sturen. ik weet van meerdere mensen dat hun wachtworden voor internet bankieren ongeveer het zelfde is als hun wachtwoord voor weeweewee.iknoemnugeensite.punt.NL
niet dat ik het w8chtwoord weet (wil weten) maar als je regelmatig iemand dezelfde bewegingen op het toetsenboard zit maken bij verschillende sites kun je wel raden dat het waarschijnlijk het zelfde passwoord is.

nu heb ik mezelf geleerd om dingen direct te vergeten <wachtwoorden van computers die niet van mij zijn +/- 1 minuut na het intypen ben ik het vergeten) de pincode van mijn vriendin (na 3 jaar weet ik hem nog steeds niet), de beveilingscode van m'n vorige werk... ongeveer 2 weken nadat ik vertrok wist ik hem al niet meer (terweil ik hem meer dan een jaar lang regelmatig heb gebruikt ... maar laat ik dan wel voorop stellen dat ik daar vermoedelijk een uitzondering in ben, en dat er zowizo mensen zijn die juist op zoek zijn naar dit soort 'gebruikers' fouten.

Door CAPSLOCK2000, vrijdag 12 november 2010 02:25

Dat kun je eigenlijk niet.

In theorie zou je de helpdesk kunnen bellen en vragen om de fingerprint van het certificaat. Maar in praktijk heeft de helpdesk geen flauw idee wat je bedoelt.

Eerst hebben we DNSSEC nodig, zolang je DNS niet kan vertrouwen (en dus niet weet of het ip-adres klopt) is er niet veel dat je kan doen.

Gaat dus allen DNSSEC implementeren.

Door woutjedude, woensdag 10 november 2010 17:53

Waar haal je dan een goed certificaat? En moest dit altijd 1500 euro kosten?

SSL-certificaten vergelijken is bijzonder moeilijk.

Door mstam, woensdag 10 november 2010 18:03

Zijn allemaal hetzelfde zolang je maar het juiste certificaat aanvraagt voor je zgn. common name als bijv. secure.jouwsite.com en zolang weak ciphers niet door je web server worden geaccepteerd, zie hieronder.

Een goedkope SSL-boer is PositiveSSL die certificaten van Comodo verkoopt. Voor nog geen $10 per jaar heb je al een certificaat.

Door latka, woensdag 10 november 2010 18:45

Het certificaat is wellicht altijd hetzelfde, het gaat om de background check die plaatsvind. Die is overigens ook niet altijd het bedrag waard wat men vraagt voor het afstempelen van het certificaat.

Overigens, ga ik er vanuit dat niemand meer certificaten genereert met die 'gepatchte' OpenSSL variant die een reeks van voorspelbare private keys genereerde... Als je dit gebruikt hebt dan kun je nog zoveel checks hebben, maar is je key vrij makkelijk te compromiteren.

Door flabber, woensdag 10 november 2010 20:44

En hier heb je direct een van de problemen te pekken die ten grondslag liggen aan de slechts beveiliging van sites:

Security is niet 'hot' en kent geen prettige cijfers met brtekking tot omzet, winst, etcetera.
Instanties geven zonder problemen (tien-) duizenden euro's of meer uit aan een extra server of switch met een sneller beheerinterface omdat dit X% meer traffic genereert en dus meer uiteindelijke omzet.
Maar voor de beveiliging van al die connecties gaat me inderdaad shoppen voor de goedkoopste "SSL-boer". [alleen het woord al!]
Uitgerekend op het totaal aantal conncties van een bank/gemeente over een jaar of de totale kosten van het benodigde serverpark, kost een certificaat van de bovenste plank natuurlijk nog steeds helemaal niets.

Ik kan het uit de praktijk beamen dat 'men' op een kostenplaatje van een paar ton gaat zeuren over een paar honderd euro voor de beveiliiging van dat nieuwe project/website/applicatie.

Door mstam, woensdag 10 november 2010 21:07

Uitgerekend op het totaal aantal conncties van een bank/gemeente over een jaar of de totale kosten van het benodigde serverpark, kost een certificaat van de bovenste plank natuurlijk nog steeds helemaal niets.

Een SSL-certificaat van $10 is exact hetzelfde als een certificaat van $100+. Er bestaan geen goede of slechte certificaten. Die dingen worden gewoon op een Linux bakkie gegenereerd, zowel voor Apache als IIS.

Het enige wat de duurdere certificaten over het algemeen "toevoegen", is een garantie in de vorm van een bedrag als je site gehackt wordt en in het geval je daar schade aan mocht ondervinden. Dit is natuurlijk gewoon verkooppraat en er zijn personen, you included, die daar intrappen.

Door davince72, woensdag 10 november 2010 22:00

Technisch zijn de sleutels vergelijkbaar, toch is het zo dat bijv een Verisign meer controles uitvoert om er zeker van te zijn dat de aanvrager van het certificaat ook echt diegene is die het aanvraagt. Dit in tegenstelling tot goedkopere certificaten.
Laat ik het anders formuleren: Probeer jij maar eens bij Verisign voor $100+ een certificaat te kopen voor bv: mijneigen.ing.nl. Gaat je niet lukken.

Door mstam, woensdag 10 november 2010 22:15

Laat ik het anders formuleren: Probeer jij maar eens bij Verisign voor $100+ een certificaat te kopen voor bv: mijneigen.ing.nl. Gaat je niet lukken.

Lukt je bij het geautomatiseerde InstantSSL ook niet, tenzij je als IT-er voor ING werk. Je hebt nml. een emailadres nodig in het ing.nl domein.

Maar goed, de certificaten zijn hetzelfde. Enige mogelijkheid is dat iemand een SSL makkelijker kan verkrijgen, bij bijv. InstantSSL, om malafide praktijken uit te voeren. Maar dan moet je nog steeds controle over de DNS hebben.

Door Ulx, donderdag 11 november 2010 08:32

[...]

Lukt je bij het geautomatiseerde InstantSSL ook niet, tenzij je als IT-er voor ING werk. Je hebt nml. een emailadres nodig in het ing.nl domein.

Wauw, dat is een goede waterdichte controle!

Door ASS-Ware, woensdag 10 november 2010 23:26

Technisch zijn de sleutels vergelijkbaar, toch is het zo dat bijv een Verisign meer controles uitvoert om er zeker van te zijn dat de aanvrager van het certificaat ook echt diegene is die het aanvraagt. Dit in tegenstelling tot goedkopere certificaten.
Laat ik het anders formuleren: Probeer jij maar eens bij Verisign voor $100+ een certificaat te kopen voor bv: mijneigen.ing.nl. Gaat je niet lukken.

De persoon die er voor kan zorgen dat je op zijn webserver uit komt, die zal een heel goedkoop certificaatje gebruiken van een niet te vertrouwen verkoper die die controles niet doet.
Dus, wat is dan de toegevoegde waarde van die dure certificaten ?

Door flabber, woensdag 10 november 2010 23:05

Een vergoeding *na* een hack is uiteraard een lachertje en zal niet de werkelijke schade vergoeden en daar trap ik dan ook niet in.

Maar een degelijke controle van de aanvrager zou eigenlijk overal gedaan moeten worden. En dan vindt ik het terecht dat een aanvraag wordt afgewezen als de kamer van koophandel gegevens niet 100% overeenstemmen met de data die zijn ingevuld bij de aanvraag. Sterker nog, het zou strafbaar moeten zijn als een bedrijf een certificaat uitgeeft bij een aanvraag die niet 100% correct is.

Het gaat hier om zaken waarbij een gebruiker er vanuit zou mogen gaan dat men geen zorgen hoeft te maken over beveiliging. En we hebben het over miljoenen, miljarden transacties per jaar.

En sorry dat ik het zeg, maar voor 10 dollar, laten we zeggen 8 euro, kan iemand in nederland wellicht 15 minuten bezig zijn met het bekijken van de aanvraag, maken van het certificaat, terugsturen en de 'call' afhandelen.
Dan laat echt geen speelruimte om serieus de aanvraag te beoordelen op validiteit en mogelijke beveiligingsrisico's of fraude.

Daarnaast heb ik mijn twijfels of het handig is om een bedrijfje in de VS (dollars) de validiteit van een aanvraag te beoordelen en onderscheid te maken tussen Lanschot Bankiers BV en Stichting Lanschot. Het zal ze worst wezen aldaar.
Het is niet voor niets dat overheidsinstellingen verplicht zijn certificaten te gebruiken die in Nederland worden geverifieerd.

Door Milt, woensdag 10 november 2010 23:46

De meeste SSL certificaten garanderen niet de authenticiteit van de eigenaar maar enkel van de domeinnaam. Het garandeert dat het certificaat is afgegeven aan iemand die eigenaar is van dat domein. Vaak wordt daar alleen maar een WHOIS check voor gedaan en moet je reageren op een authenticatie e-mail die naar een e-mailadres van dat domein wordt gestuurd.

Door Niemand_Anders, donderdag 11 november 2010 01:41

Tegenwoordig ja. Vroeger en dan praat ik over 1995 moest je briefpapier aanleveren, uittrekels uit merkregister en kvk. Toen internet populairder werd en er meer trusted CA's in browsers werden opgenomen dan alleen Verisign en Thawte werden de voorwaarden voor een SSL certificaat steeds minder streng.

Het is namelijk nooit de intentie geweest van SSL certificaten om de eigenaar te authenticeren, ook EV-SSL certificaten doen dat niet. De primaire functie van een SSL certificaat is het opzetten van een beveiligde verbinding zodat gegevens niet meer plain-text over het internet werden verstuurd.

EV-SSL certificaten bevatten overigens precies dezelfde informatie als SSL-certificaten. Men heeft alleen een extra sleutel aan het certificaat toegevoegd. Echter alle (EV-)SSL certificaten bevatten eveneens naam, plaats, provincie (staat) en land. Bij EV-SSL certificaten worden naam en plaats vaak weergegeven als je bovenop het groene balkje blijft staan.

Maar ergens in de geschiedenis is er iets mis gegaan met de term 'trusted CA'. Er zijn zelfs SSL-certificaat uitgegevers welke helemaal geen gegevens controleren en waarmee je binnen 5 minuten je certificaat hebt. Vergelijk dat maar eens met de 3 a 4 dagen welke het in 1995 kostte om een certificaat aan te vragen.

Echter zie ik bij elke nieuwe browser release de lijst met trusted EV-SSL aanbieders ook groeien en je hebt maar een partij nodig welke de authenticatie niet goed uitvoert en een EV-SSL certificaat is net zoveel waard als een 'normaal' SSL certificaat.

Er zijn gewoon teveel SSL-partijen welke de titel 'trusted CA' niet waard zijn.

Wat ik veel erger vind zijn de DNSSEC aanbeveiligen van deze zogenaamde security dodo: Gebruik een 6 minuten tutorial voor het opzetten van DNSSEC in Bind9..

En volgend jaar komt Tues met het verhaal dat DNSSEC door vrijwel alle partijen verkeerd is doorgevoerd. Security kun je niet toepassen dmv van een tutorial. Security vereist KENNIS en dat is nou net hetgeen wat een tutorial niet geeft. De lijst van Teus bevat geen enkel boek. Een goed (voorbereiden boek) om DNSSEC correct te implementeren is 'DNSSEC Specifications' (ISBN: 0979034272).

Het initiatief van Teus (NLUUG) om veiligheid op het internet in kaart te brengen juich ik toe. Maar dan moet dit wel een herhalend onderzoek worden waarvan de resultaten bijvoorbeeld elke maand gepubliceerd worden..

Echter bij het huidige onderzoek kunnen erg veel vraagtekens worden gezet. Bijvoorbeeld ISP welke hun DNS server zo hadden beveiligd dat deze alleen door hun klanten gebruikt kunnen worden (forward queries) zijn buiten het onderzoek gebleven. Daardom komen 14(!) van de 36 ISP's niet terug in het onderzoek. DNS Status van UPC is bijvoorbeeld onbekend. Heeft Teus bijvoorbeeld via GOT aan iemand gevraagd of een UPC lid een dig kon uitvoeren? Zo nee, waarom niet.

Omdat het onderzoek onvolledig is worden vooral verkeerde conclusies getrokken zoals dat DNSSEC slecht is geimplementeerd in Nederland. Maar je mist ruim een derde van de providers en als zij allemaal _WEL_ DNSSEC hebben geimplementeerd dan heeft ruim 40% van de providers DNSSEC en loopt Nederland voorop...

Waarom zijn slechts 9 van de 13 universiteiten getest? Waarom die andere 4 niet?

Mijn conclusie: Teus is langer bezig geweest met het schrijven van zijn paper dan het daadwerkelijke onderzoek. Kijkend naar de daadwerkelijke cijfers in het rapport is Teus denk ik niet langer bezig geweest van 4 tot 8 uurtjes..

Door i-chat, donderdag 11 november 2010 10:08

ik juich dit helemaal niet toe, sterker nog ik veroordeel dit soort popu kijk mij nou gedrag.

je geeft het zelf al aan wel blaten maar niet met echte aanbevelingen komen
> kom eens met een set richtlijnen een 50stappen plan om te zorgen dat de beveiliging beter wordt.

verder de primaire taak van ssl is het opzetten van een veilige verbinding, dat is NIET de taak van zo'n cert. DAT is ook het hele probleem. elke site elke server zou standaard ssl moeten gebruiken.

standaard kan dat shared zijn voor alle accounts op een hosting server.
daarna zouden alle CA's ingedeeld moeten worden per level en beoordeeld op de nauwkeurigheid die zij bieden bij het uitgeven van zo'n cert.

daarbij zouden Verisign, Tawte en nog een of enkele anderen op level 1 moeten zitten. en zouden alle banken, digi-ID en EPD's met dit soort certs moeten werken.
maar moet de naukeurigheid een stuk worden opgeschroeft naar een gedege controle

level 2 zou iets zijn voor minder belangrijke zaken zoals grote bedrijven etc.
met een goede check op kvk, en andere bedrijfts info zo'n CA zou zover moeten gaan dat ze ook checken of de logo's op een site kloppen is lid van deze en/of die organisatie maakt gebruik van betalingen via .x en y... partij en heeft beveiliging van x kwaliteit.

level 3 t/m N steeds een stap lager de bowsers zouden voor elke van die levels ook een eigen indicatie moeten geven

Door The Van, donderdag 11 november 2010 16:43

Een SSL-certificaat van $10 is exact hetzelfde als een certificaat van $100+

Pardon?!?

Er zijn wel degelijk verschillen tussen de certificaten, om te beginnen het DOEL van zo'n certificaat. Van een certificaat, dat alleen bedoeld is om verkeer te encrypten, wil ik best een self-signed exemplaar accepteren.
Voor elektronische handtekeningen vind ik dat -merkwaardig genoeg- niet voldoende, en eis een certificaat, dat door een CA is uitgegeven. Omdat de partij, die namens de CA certificaten uitgeeft vervolgens werk moet doen (is U wel wie U zegt dat U bent? Ingeschreven in het Handelsregister? Betalings history?) moet je ervoor betalen.

Dat sommige parties daar schandalig weinig voor doen, is een tweede.

Door mstam, donderdag 11 november 2010 21:23

[...]

Pardon?!?

Er zijn wel degelijk verschillen tussen de certificaten, om te beginnen het DOEL van zo'n certificaat. Van een certificaat, dat alleen bedoeld is om verkeer te encrypten, wil ik best een self-signed exemplaar accepteren.
Voor elektronische handtekeningen vind ik dat -merkwaardig genoeg- niet voldoende, en eis een certificaat, dat door een CA is uitgegeven.

Comodo die het $10 certificaat levert is ook gewoon een CA. Het is helemaal nergens voor nodig om 3 dagen op een certificaat te moeten wachten met een hoop papier-rompslomp.

Door paulus83, woensdag 10 november 2010 19:44

Het is zelfs mogelijk om een gratis SSL certificaat te krijgen, via http://www.startssl.com. Het nadeel hiervan is dat deze CA in veel, maar lang niet alle, client software is opgenomen. Vrijwel alle webbrowsers ondersteunen deze, dus is je doel puur om je webserver achter https te krijgen is dit een prima keus. Voor dingen als beveiligde mailservers (pop3s, imaps) is het minder geschikt, omdat veel mailclients de CA nog niet herkennen.

Door mstam, woensdag 10 november 2010 17:58

Ook een probleem is Windows Server t/m versie 2003 waar zgn. "weak ciphers" van 40 en 56bits standaard worden geaccepteerd en met een registry hack uitgeschakeld moeten worden om zodoende alleen 128bits en sterker te accepteren.

Door alt-92, woensdag 10 november 2010 18:11

Ook een probleem is Windows Server t/m versie 2003 waar zgn. "weak ciphers" van 40 en 56bits standaard worden geaccepteerd en met een registry hack uitgeschakeld moeten worden om zodoende alleen 128bits en sterker te accepteren.

Van twee banken die genoemd zijn weet ik dat zij daar echt geen Windows dozen als frontend gebruiken.
En als er al een Windows server exposed staat zijn die ook goed hardened en wordt ook op geaccepteerde cipher algoritmes behoorlijk wat getweaked (en nee, FIPS-140 is niet genoeg meer).

Door SandStar, woensdag 10 november 2010 18:09

Ook het certificaat van Tweakers IRC is al ruim 2 jaar verlopen...

Door BazB, woensdag 10 november 2010 18:16

Waarom is de tweakers-site eigenlijk niet via SSL te benaderen? Dit lijkt me geen gigantische opgave...

Door Dennahz, woensdag 10 november 2010 18:24

Wat is het nut? Login is sowieso al versleuteld, volgens mij. Voor de rest is toch alles openbaar? Ofja, het meeste dan. Het zijn geen privé gegevens hier hé.

Door Precision, woensdag 10 november 2010 18:33

Omdat het kan? Omdat we tweakers zijn?

Door Dennahz, woensdag 10 november 2010 18:35

Ja, ok, het is wel tof en zo, maar nuttig?

Door DarkUnreal, woensdag 10 november 2010 19:28

SSL voor de gein? lollar!

Door Gerco, woensdag 10 november 2010 19:40

Wanneer ik jouw session cookie steel wanneer je bij de mac zit te internetten kan de login nog wel zo goed versleuteld zijn maar ben ik toch mooi binnen. Lees eens bij over Firesheep bijvoorbeeld, Tweakers is net zo vatbaar voor zo'n "aanval" als Facebook en Twitter, iedere site die cookies gebruikt zonder SSL is dat trouwens.

Overigens helpt het niet om je sessie aan je IP te fixeren wanneer ik achter dezelfde NAT zit als jij (zoals bij de mac).

Door Milt, woensdag 10 november 2010 19:51

Tweakers is nu ook vatbaar voor een hack met Firesheep. Ik ben ingelogd en mijn browser stuurt nu dus een cookie naar tweakers.net over niet-HTTPS verbinding. Zolang een website een bezoeker ingelogd heeft zou al het verkeer over HTTPS moeten gaan.

Door traxopia, woensdag 10 november 2010 23:43

Omdat het encrypten van ALLE pagina's die een webserver verlaten de CPU load zo enorm gaat opdrijven dat tweakers direct een rackje servers extra kan gaan inzetten om de load bij te houden. Lijkt me nergens voor nodig aangezien de gegevens op tweakers niet geheim zijn.

Door elmuerte, woensdag 10 november 2010 18:17

Een ev-certificaat is niet veiliger. Het is alleen lastiger te krijgen. Maar uiteindelijk is het nog steeds net zo betrouwbaar als de CA en de auditors (welke meestal de Big Four zijn). Het is snel een kwestie van geld.

Door GoT, woensdag 10 november 2010 20:30

Klopt !, maar een EV is in die zin "veiliger", omdat je een minimale RSA key hebt van 2048 bits.
Een niet EV kan nog een 512 bits RSA key hebben.
http://nl.wikipedia.org/wiki/RSA_(cryptografie)#Veiligheid

Door SWINX, donderdag 11 november 2010 01:01

In theorie kan alles, maar al jaren geleden werden 1024 bits certificaten als standaard aangeboden, wat uiteraard een goede zaak is.

Beetje een vreemde partij waar je nog een 512 bits certificaat vandaan haalt?
Dat zou een beveiligingsaanbieder zijn die zijn eigen zaak ook niet erg serieus neemt.

Door GoT, donderdag 11 november 2010 08:06

Dat wordt niet aangeboden, maar stel je zelf in op je web server!

Binnen je webserver kan je een RSA key van 512 bits selecteren.
Indien je je request indient krijg je alleen een melding dat 512 bits niet wordt aangeraden, maar je kan daarna nog wel verder met het aanvragen van het certificaat.

[Reactie gewijzigd door GoT op donderdag 11 november 2010 10:23]

Door Woet, donderdag 11 november 2010 00:04

En omdat het lastiger te krijgen is (lees: onmogelijk behalve als je de eigenaar/CEO van het bedrijf bent) kan het dus nooit worden misbruikt zoals bij minder validatie sneller gebeurd.

Door freggy, woensdag 10 november 2010 18:39

"Het is vreemd om te zien dat websites als Facebook, Twitter en LinkedIn beter beveiligd zijn dan alle Nederlandse banken", schrijft hij.

En recent leerden we nog dat de vermelde sites erg onveilig zijn omdat ze hun sessiecookes over HTTP versturen ipv HTTPS. Ik heb de indruk dat bovenstaande uitspraak er dan toch ook een is die meer sensatiewaarde heeft dan wat anders...

Door MBV, woensdag 10 november 2010 18:58

Eerder tunnelvisie dan sensatie. Onderzoeker onderzoekt zijn gebiedje, en vergeet dat er nog andere aspecten van security zijn.

Door Grrmbl, woensdag 10 november 2010 20:58

Dat had zijn onderzoek groter gemaakt... helaas. Dan had hij zijn deadline niet gehaald en moest hij zelf door het stof.

Door ADQ, woensdag 10 november 2010 18:39

Ik ben benieuwd hoeveel mensen standaard een exception toevoegen aan hun browser.
Dreamhost.nl (g1ga.net) is een voorbeeld, maar er zijn nogal wat sites met zelf ondertekende certificaten. En dan raken ze gewend aan het maar toevoegen als vertrouwd..

« 1 2 3 4 5 »

Op dit item kan niet meer gereageerd worden.

18:45	Nanogenerators drijven consumentenelektronica aan
17:09	Android verzevenvoudigt marktaandeel smartphones

Onderzoek: https-verbinding veel websites niet veilig genoeg - update

Nieuws I/O

Shortcuts

Categorieën

Lees meer over

Gerelateerde content

Gerelateerde jobs

Reacties

27-05 Nieuws

00:38 Productreviews

01:13 Vraag & Aanbod

25-05 Jobs

20:30 Etc.

01:16 Reacties

01:18 Forum

25-05 Gesponsorde acties

27-05 Tweakblogs

26-05 Computable headlines

25-05 CRN headlines