Firefox vertrouwt DigiD toch na verzoek Nederlandse overheid - update
Op verzoek van de Nederlandse overheid heeft Mozilla besloten om bepaalde certificaten die door de gehackte ssl-leverancier DigiNotar zijn uitgegeven, toch te vertrouwen. Daardoor kan de identiteit van DigiD toch worden gegarandeerd.
Dinsdag meldde Tweakers.net dat Mozilla van plan was om alle certificaten die door DigiNotar waren uitgegeven, niet meer te vertrouwen. Ook veel certificaten die namens de Nederlandse overheid zijn uitgegeven, zouden daardoor worden getroffen: DigiNotar is een van de zes bedrijven die een zogenoemde subroot-autoriteit van de ssl-autoriteit 'Staat der Nederlanden' zijn. Daarmee ging Mozilla verder dan andere browsermakers, die alleen het vertrouwen in eigen root-certificaat van DigiNotar opzegden.
Door de beslissing van Mozilla zou ook de identiteit van de DigiD-servers niet meer kunnen worden gecontroleerd in Firefox; Nederlanders zouden in die browser niet meer gegarandeerd veilig op DigiD kunnen inloggen, evenals in Thunderbird en Firefox Mobile. Daar is Mozilla echter op teruggekomen, zo blijkt uit een post van een Mozilla-medewerker op de bugtracker van Firefox. In de jongste versie van Firefox, die afgelopen nacht is vrijgegeven, worden alleen certificaten van de root-autoriteit DigiNotar niet meer vertrouwd; die onder de vlag van de overheid - de zogenoemde PKIoverheid-ssl - wel.
Er is de overheid veel aan gelegen dat deze certificaten vertrouwd blijven: veel overheidsdiensten gebruiken deze certificaten: niet alleen DigiD, maar ook de Belastingdienst en de DUO. Een blokkade door browsermakers zou betekenen dat de overheid op zoek moest gaan naar andere leveranciers van ssl-certificaten, wat tijd en geld zou kosten.
De medewerker, Gervase Markham, schrijft dat de redenen voor die beslissing 'binnenkort' bekend zullen worden gemaakt. In de broncode van de update Firefox is in ieder geval een van die redenen al te vinden: de Nederlandse overheid heeft Mozilla verzocht om een uitzondering te maken voor certificaten van de Nederlandse overheid, zo blijkt uit een comment in de broncode. Alle certificaten die door een autoriteit met de naam 'DigiNotar' zijn uitgegeven, worden geblokkeerd, behalve als deze autoriteit een subroot van de Staat der Nederlanden is.
Het Beverwijkse bedrijf DigiNotar kwam maandag in het nieuws toen bekend werd dat een certificaat van het bedrijf waarschijnlijk in Iran is gebruikt om op gebruikers van Google te spioneren door een man in the middle-aanval. Het certificaat, dat voor alle subdomeinen van Google.com geldig was, had nooit mogen worden uitgegeven. Dinsdag bleek dat hackers het certificaat hebben gegenereerd. Bij de hack, die anderhalve maand geleden plaatsvond, zijn ook andere, valse certificaten gegenereerd. Aanvankelijk dacht DigiNotar alle certificaten te hebben ingetrokken, maar dat bleek niet zo te zijn.
Of er ook nog andere valse certificaten van DigiNotar in omloop zijn, is onduidelijk. "We kunnen niet uitsluiten dat er andere valse certificaten in omloop zijn", zei Jan Valcke, coo van DigiNotar-moederbedrijf Vasco Security, dinsdag al tegen Tweakers.net.
Volgens de overheidsorganisatie GovCert is er 'geen reden om aan te nemen' dat de hack gevolgen heeft voor certificaten die voor de overheid worden uitgegeven. Eerder al gaf de overheid aan nog het volle vertrouwen in DigiNotar te hebben. Dat is opmerkelijk: niet alleen merkte het bedrijf pas na anderhalve maand dat er nog frauduleuze certificaten in omloop waren, ook is een onderzoek van beveiligingsbedrijf Fox-IT naar de beveiliging van DigiNotar nog in volle gang.
Update, 10:46: Woordvoerder Nathalie Doesberg van de overheidsorganisatie Govcert.nl bevestigt dat er contact is geweest tussen de Nederlandse overheid, DigiNotar en Mozilla, maar dat het vertrouwen van de certificaten een 'eigen afweging' van Mozilla is.
Reacties (132)
Kijkend naar het screenshot... Is dat dan weer niet te misbruiken door fake-certificaten uit te geven met als naam "Staat der Nederlanden Root CA"?
Of mis ik hier iets?
Of mis ik hier iets?
Dat ga ik even uittesten 
Ik laat het zodadelijk wel weten.
-edit-
Vanuit gaande dat die in de laatste beschikbare nightly zou zitten, dan geeft firefox gewoon keurig aan dat het niet vertrouwd word (zelfde resultaat met 'oude' builds). Het zou ook te makkelijk zijn geweest
Ik laat het zodadelijk wel weten.-edit-
Vanuit gaande dat die in de laatste beschikbare nightly zou zitten, dan geeft firefox gewoon keurig aan dat het niet vertrouwd word (zelfde resultaat met 'oude' builds). Het zou ook te makkelijk zijn geweest
[Reactie gewijzigd door Keiichi op woensdag 31 augustus 2011 09:38]
Nee, want het wordt gevolgd door een ' en' met waarschijnlijk de echte check is.
Hoop ik
Hoop ik
Dat denk ik niet. Zo te zien is dat een recursieve aanroep om alle certificaten te controleren
De if-lus gaat gewoon de regel eronder gewoon verder...Nee, want het wordt gevolgd door een ' en' met waarschijnlijk de echte check is.
Hoop ik
return 0 is dan namelijk wat er moet gebeuren indien de if-lus evalueerd naar true.
Ja, dan ga je er wel van uit dat er nog fake certificaten in omloop zijn of gemaakt kunnen worden. Beiden zou ik na zo'n blunder niet uitsluiten...
Dat zou als ik het goed heb betekenen dat een users een aangepaste Firefox versie zouden moeten installaren, dit op zijn beurt betekenen dat hackers bijvoorbeeld repositories of ftp / http servers van hun 'eigen' FF versie zouden moeten voorzien.
Die uitzondering op naam wordt enkel gemaakt voor certificaten die uitgegeven zijn door DigiNotar. Zie de volledige patch. Daarin wordt eerst gekeken of het certificaat uitgegeven is door DigiNotar, als dat het geval is wordt het certificaat geweigerd, behalve het certificaat dat door de Nederlandse staat wordt gebruikt.
In dit bugreport vind je ook meer uitleg en de hele discussie over het blokkeren van de root CA versus alle certificaten uitgegeven door DigiNotar
In dit bugreport vind je ook meer uitleg en de hele discussie over het blokkeren van de root CA versus alle certificaten uitgegeven door DigiNotar
[Reactie gewijzigd door Otherside1982 op woensdag 31 augustus 2011 09:31]
Maar als je nu een fake root maakt met de overheid naam. En je bent in het bezit van de gelekte DigiNotar key. Dan kan je deze toch signen met behulp van de Diginotar Key en dan heb je een certificaat met een groen slotje in de browser.
Nee, want de patch test de 'issuerName'.
Als jij een nieuw CA certificaat maakt en dat laat issueen door diginotar, is die niet vertrouwd. Alleen de key die bea persoonlijk in haar handtasje bewaard word nog vertrouwd dus als er iets anders dan alleen die ene key in de chain zit word hij geweigerd.
Als jij een nieuw CA certificaat maakt en dat laat issueen door diginotar, is die niet vertrouwd. Alleen de key die bea persoonlijk in haar handtasje bewaard word nog vertrouwd dus als er iets anders dan alleen die ene key in de chain zit word hij geweigerd.
Dan moet de gebruiker alsnog de fake root CA toevoegen aan de certificate store van z'n browser. Dus sowieso ga je een beveiligingswaarschuwing krijgen.
In het bugreport:
Test sites for the previous patch:
https://diginotar.nl (chains to DigiNotar root CA through its EV intermediary, should be blocked)
https://zga-tag.zorggroep-almere.nl (chains to Entrust root, should be blocked)
https://zoek.officielebekendmakingen.nl (chains to Dutch government root, should NOT be blocked)
Dat betekent dat bepaalde (semi-)overheidsinstanties er toch last van kunnen ondervinden. De zorggroep Almere wordt bijvoorbeeld geblokkeerd.Add a comment that clarifies, the dutch exception only relates to intermediates,
which were issued by by this toplevel (Nederlanden) CA.
[Reactie gewijzigd door Eagle Creek op woensdag 31 augustus 2011 13:25]
Mathijs Kwik maakt heel valide punten in de bugreport:
Mocht ik certificaten bij DigiNotar hebben, dan zou ik zo vlug mogelijk overstappen naar een andere CA met een betere track record.
Als dat laatste klopt, dan heeft deze "quick-fix" van Firefox invloed op meer dan alleen de overheidscertificaten.Really? An exception is made by request of the dutch government?
Damn, the Iranian government should have just requested a few exceptions too, then this whole circus wouldn't have happened.
Joking aside, the current state of affairs is that DigiNotar doesn't even know the impact of the hack yet, even though it took place over a month ago. They won't guarantee anything and only talk in terms of "no indication so far" and "probably not affected". A company like that is clearly incapable of operating a root CA, and any certificate issued by them is contaminated.
DigiNotar is currently very busy moving affected customers (non governmental) to the "PKI Overheid" root, which I think is very peculiar, since "PKI Overheid" is meant for governmental sites only, and given the current status of "probably not compromised". Source
Mocht ik certificaten bij DigiNotar hebben, dan zou ik zo vlug mogelijk overstappen naar een andere CA met een betere track record.
[Reactie gewijzigd door AndrewF op woensdag 31 augustus 2011 13:38]
Dit is een specifieke check om DigiNotar certificaten niet trusted te laten zijn, er wordt ook nog de gewone check op geldigheid van de certificaten gedaan.
Er wordt dus zowel gecontroleerd of het certificaat is volgens de gewone regels geldig en trusted is, en er wordt expliciet gecontroleerd of het een door DigiNotar ondertekend certificaat is, zo ja dan is deze untrusted, tenzij de Root CA de Staat der Nederlanden CA is.
Er wordt dus zowel gecontroleerd of het certificaat is volgens de gewone regels geldig en trusted is, en er wordt expliciet gecontroleerd of het een door DigiNotar ondertekend certificaat is, zo ja dan is deze untrusted, tenzij de Root CA de Staat der Nederlanden CA is.
Neen, dat kan niet. Deze check komt na de normale checks, ten eerste, en de Staat der Nederlanden Root CA moet de laatste (of eerste, afhankelijk van welke kant je op redeneert) in de chain zijn.
M.a.w. de enige manier waarop het kan is door die CA zelf te maken en 'm vervolgens zelf te trusten.
M.a.w. de enige manier waarop het kan is door die CA zelf te maken en 'm vervolgens zelf te trusten.
En dus "Wij van WC eend...", dat is ook niet te vertrouwen natuurlijk.M.a.w. de enige manier waarop het kan is door die CA zelf te maken en 'm vervolgens zelf te trusten.
[Reactie gewijzigd door CptChaos op woensdag 31 augustus 2011 16:25]
Enigsinds belachelijk dat er op verzoek van de staat een uitzondering wordt gemaakt op een onvertrouwde CA. Er is een chain of trust, en de browsers hebben een verantwoordelijkheid in die chain. Ik denk dat ze objectief moeten oordelen of een CA te vertrouwen is.
Nu begrijp ik wel dat ze deze beslissing natuurlijk ook zelf gemaakt hebben, maar toch vind ik het raar dat ze de uitzondering maken op verzoek van de overheid in plaats van dat ze de uitzondering maken omdat ze zelf vinden dat deze certificaten te vertrouwen zijn.
Ik wil graag als gebruiker weten of de browser die ik vertrouw ook de certificaten die ik gebruik vertrouwd en niet of de overheid (de sub-root autoriteit) deze certifcaten vertrouwd.
Maargoed, wat wil je anders, het liefst wil ik ook gewoon mijn DigiD gebruiken, dus ik denk dat dit wel het juiste is uiteindelijk om practische redenen en theoritsch gezwam heeft de eindgebruiker helemaal niks aan.
Nu begrijp ik wel dat ze deze beslissing natuurlijk ook zelf gemaakt hebben, maar toch vind ik het raar dat ze de uitzondering maken op verzoek van de overheid in plaats van dat ze de uitzondering maken omdat ze zelf vinden dat deze certificaten te vertrouwen zijn.
Ik wil graag als gebruiker weten of de browser die ik vertrouw ook de certificaten die ik gebruik vertrouwd en niet of de overheid (de sub-root autoriteit) deze certifcaten vertrouwd.
Maargoed, wat wil je anders, het liefst wil ik ook gewoon mijn DigiD gebruiken, dus ik denk dat dit wel het juiste is uiteindelijk om practische redenen en theoritsch gezwam heeft de eindgebruiker helemaal niks aan.
[Reactie gewijzigd door TeMo op woensdag 31 augustus 2011 09:21]
Ben het met je eens, een browser hoort niet te zwichten voor wat een overheid wenst. De browser hoort gewoon te doen wat deze hoort te doen, zonder dat een 3e partij invloed op hun beslissing kan uitoefenen ..
Firefox had moeten zeggen van; 'Sorry maar we kunnen niet voor iedereen onze code over de hoop gooien, zorg maar voor een legitieme CA'
Maar goed, de overheid heeft nou eenmaal veel kracht, ze kunnen je het ook erg moeilijk maken als je er tegenin gaat.
Firefox had moeten zeggen van; 'Sorry maar we kunnen niet voor iedereen onze code over de hoop gooien, zorg maar voor een legitieme CA'
Maar goed, de overheid heeft nou eenmaal veel kracht, ze kunnen je het ook erg moeilijk maken als je er tegenin gaat.
Waarom zou de overheid het Mozilla nou moeilijk kunnen en willen maken? Ze heeft het zelf al moeilijk genoeg. Ik begrijp echt niet waarom Mozilla naar dit verzoek luistert.
[Reactie gewijzigd door ik_ben_bas op woensdag 31 augustus 2011 09:39]
Er zijn nog veel meer vragen over dit dit verzoek:
Hoe heeft Mozilla vastgesteld dat het verzoek daadwerkelijk van de overheid kwam, en niet van iemand anders? Wie mogen namens de staat der Nederlanden zodanig handelen? De Koningin natuurlijk, ministers, ambassadeurs misschien, maar wie heeft dit verzoek ingediend?
Hoe was zijn of haar identiteit vastgesteld, was het verzoek dan getekend met een email-certificaat van ...?
Hoe heeft Mozilla vastgesteld dat het verzoek daadwerkelijk van de overheid kwam, en niet van iemand anders? Wie mogen namens de staat der Nederlanden zodanig handelen? De Koningin natuurlijk, ministers, ambassadeurs misschien, maar wie heeft dit verzoek ingediend?
Hoe was zijn of haar identiteit vastgesteld, was het verzoek dan getekend met een email-certificaat van ...?
Ik denk niet dat Mozilla een mailtje heeft gehad van mailto:dutchgoverment@gmail.com, ondertekend met Best regards, Mark Rutte, en op basis daarvan de beslissing heeft genomen.
Ik denk sowieso niet dat dit soort beslissingen over één nacht ijs gaan, en dat men op hogere niveau echt wel even bij bepaalde partijen verifieert voordat zo'n ingrijpende wijziging wordt doorgevoerd.
Uiteraard heb je in de basis wel gelijk dat de betrouwbaarheid van zo'n uitzondering valt of staat met de betrouwbaarheid van de verzoeker, maar het lijkt me dat Mozilla hier geen uitglijers mee wil maken
.
Ik denk sowieso niet dat dit soort beslissingen over één nacht ijs gaan, en dat men op hogere niveau echt wel even bij bepaalde partijen verifieert voordat zo'n ingrijpende wijziging wordt doorgevoerd.
Uiteraard heb je in de basis wel gelijk dat de betrouwbaarheid van zo'n uitzondering valt of staat met de betrouwbaarheid van de verzoeker, maar het lijkt me dat Mozilla hier geen uitglijers mee wil maken
.[Reactie gewijzigd door Eagle Creek op woensdag 31 augustus 2011 13:29]
Je hebt de paradox uit mijn post scherp gezien, de ene dag verklaart Mozilla dat alles van Diginotar, dus ook alles van de Nederlandse staat niet vertrouwd kan worden. En de volgende dag willigen ze een verzoek in van diezelfde Nederlandse staat, en niet zomaar een verzoek: maar juist een verzoek om alles van de Nederlandse staat toch maar te vertrouwen.
Nu kan dat inderdaad allemaal op een correcte wijze zijn gebeurd. Alleen... Mozilla en de Nederlandse overheid kiezen ervoor om niet te onthullen hoe dat is gegaan. Misschien hebben zij iets te verbergen. Misschien niet. Ik ben zelf erg benieuwd naar de motivatie van de overheid voor de verlangde ingreep.
Hoe je het wendt of keert: Dit verhaal speelt omdat ons vertrouwen is ondermijnd. Vertrouwen kan je het beste winnen met transparantie. Maar DigiNotar EN de Nederlandse overheid EN Mozilla kiezen ervoor om rookgordijnen op te trekken. Wat weten zij dat het publiek niet mag weten?
Nu kan dat inderdaad allemaal op een correcte wijze zijn gebeurd. Alleen... Mozilla en de Nederlandse overheid kiezen ervoor om niet te onthullen hoe dat is gegaan. Misschien hebben zij iets te verbergen. Misschien niet. Ik ben zelf erg benieuwd naar de motivatie van de overheid voor de verlangde ingreep.
Hoe je het wendt of keert: Dit verhaal speelt omdat ons vertrouwen is ondermijnd. Vertrouwen kan je het beste winnen met transparantie. Maar DigiNotar EN de Nederlandse overheid EN Mozilla kiezen ervoor om rookgordijnen op te trekken. Wat weten zij dat het publiek niet mag weten?
Ik denk niet dat Mozilla een mailtje heeft gehad van mailto:dutchgoverment@gmail.com, ondertekend met Best regards, Mark Rutte, en op basis daarvan de beslissing heeft genomen.
Tja, maar misschien heeft Mark Rutte wel een PGP signature gebruikt ofzo.
Tja, maar misschien heeft Mark Rutte wel een PGP signature gebruikt ofzo.
FF gaat te ver om zomaar blind alle DigiNotar certificaten te weigeren, ik vind dit een zwakte van FF. De overheid heeft ze erop gewezen dat dit te ver gaat. Het root certificaat is van de Staat der Nederlanden, daar is niets mis mee.
Het gaat er om dat de zwakste schakel in de chain of trust niet de Staat der Nederlanden is, maar DigiNotar. De hele ketting functioneert zo goed als zijn zwakste schakel.
Wat hier gedaan is, is het veiligheidsrisico afwegen tegenover andere schade. Blijkbaar is na goed afwegen geconcludeerd dat de andere schade niet opweegt tegen het bestaan van een eventueel veiligheidsrisico (hoe klein dan ook). Ik mag hopen dat er contact met DigiNotar is geweest over eventuele uitgifte van een frauduleus certificaat en dat dit dus niet het geval is.
Desondanks zou ik als overheid gewoon naar een andere certificatenuitgever zijn gestapt. Dat kan binnen een dag geregeld zijn.
Wat hier gedaan is, is het veiligheidsrisico afwegen tegenover andere schade. Blijkbaar is na goed afwegen geconcludeerd dat de andere schade niet opweegt tegen het bestaan van een eventueel veiligheidsrisico (hoe klein dan ook). Ik mag hopen dat er contact met DigiNotar is geweest over eventuele uitgifte van een frauduleus certificaat en dat dit dus niet het geval is.
Desondanks zou ik als overheid gewoon naar een andere certificatenuitgever zijn gestapt. Dat kan binnen een dag geregeld zijn.
Jij heb duidelijk geen enkele ervaring met het aanvraag proces van certificaten. Als een partij jou binnen een dag een certificaat uitdeelt, mag je je ernstige zorgen maken over kwaliteit van het uitgifte proces.
Juist door dit soort haastige fouten zijn de problemen ontstaan.
De doorlooptijd voor een PKI overheid certificaat bij Diginotar (en ook GPR) is meestal 2 weken.
Juist door dit soort haastige fouten zijn de problemen ontstaan.
De doorlooptijd voor een PKI overheid certificaat bij Diginotar (en ook GPR) is meestal 2 weken.
Tijd zit in de voorbereiding/dossier, wat als 'noodprocedure' al klaar zou moeten liggen. Maar true, 1 dag is wel wat kort, en 2 weken erg lang (als spoed vereist is).
De fouten waren overigens niet ontstaan door een foute/overhaastte procedure, maar door een hack waarna niet tijdig is ingegrepen.
De fouten waren overigens niet ontstaan door een foute/overhaastte procedure, maar door een hack waarna niet tijdig is ingegrepen.
ik snap eerlijk gezegd ook niet wat het probleem is, om te schakelen... 2weken doorloop tijd is ook maar gewoon 80 manuur... ergo 1 dag werk als je 10 man op de zaak zet... de minister van... even langs sturen op het hoofdkantoor van verisign en je hebt binnen een paar uur een ander cert (als je maar betaald)...
wat mij betreft dient de goedkeuring alleen maar zo lang te zijn als de tijd die nodig is om te switchen van cert.
wat mij betreft dient de goedkeuring alleen maar zo lang te zijn als de tijd die nodig is om te switchen van cert.
Bedenk je wel, dat je dan alleen het certificaat hebt. Het certificaat moet ook uitgerold worden op de diverse (web)servers die gebruik maken van het DigiNota certificaat.ik snap eerlijk gezegd ook niet wat het probleem is, om te schakelen... 2weken doorloop tijd is ook maar gewoon 80 manuur... ergo 1 dag werk als je 10 man op de zaak zet... de minister van... even langs sturen op het hoofdkantoor van verisign en je hebt binnen een paar uur een ander cert (als je maar betaald)...
wat mij betreft dient de goedkeuring alleen maar zo lang te zijn als de tijd die nodig is om te switchen van cert.
Dan heb je zelf ook niet erg veel ervaring die certificaten. Je kunt als organisatie zijnde meer dan 1 certificaat tegelijkertijd aanvragen. Als je 300 stuks aanvraagt ga je als issuer ook niet 300x de identiteit van de aanvrager bepalen. Als de aanvragende partij voor al die certificaten dezelfde is hoef je niet 300x opnieuw de identiteit te bepalen, dat is nogal zinloos. Wel moet je per certificaat de overige zaken steeds weer opnieuw bekijken. Het probleem zit 'm eerder in de aanloop naar de aanvraag en wat er gebeurd wanneer je de aangevraagde certificaten zijn. Die moeten dan nog in gebruik worden genomen. Je kunt weliswaar het e.e.a. geautomatiseerd laten verlopen maar als je 300 certificaten moet gaan vervangen is dat niet iets wat zo eventjes gedaan is.
De manier waarop DigiNotar deze problemen heeft aangepakt getuigt niet van veel competentie. Dat maakt dat DigiNotar als CA niet te vertrouwen is.
Als je diginotar als organisatie niet vertrouwd. (Dat doe ik iig niet), dan kun je geen enkel certificaat dat is uitgegeven of ondertekend door diginotar nog vertrouwen.
Dus ook die certificaten die DigiNotar namens de nederlandse overheid heeft verstrekt. Het maakt daarin niet uit waar in de keten diginotar zich bevind. De keys van DigiNotar, en ALLE DOOR HEN GESIGNEERDE CERTIFICATEN zijn niet te vertrouwen.
Er is een uitzondering op deze redenering te bedenken, als diginotar niet de partij is geweest die de certificaten heeft ondertekend, maar diginotar wel als zodanig wordt geidentificeerd.
Waarschijnlijk signeert 'DigiNotar' niet zelf de certificaten met het certificaat 'DiginotarPKI CA Overheid en bedrijven', en hebben ze dus geen toegang tot de private-key van dit certificaat. In plaats daarvan doet de nederlandse staat het signen met deze key zelf, dit is de enige reden die ik kan bedenken waarom deze key nog steeds vertrouwd wordt.
Edit:
Ik ga hier wel voorbij aan de 'chain-of-trust', wat in andere reacties keurig wordt uitgelegd.
Als je diginotar als organisatie niet vertrouwd. (Dat doe ik iig niet), dan kun je geen enkel certificaat dat is uitgegeven of ondertekend door diginotar nog vertrouwen.
Dus ook die certificaten die DigiNotar namens de nederlandse overheid heeft verstrekt. Het maakt daarin niet uit waar in de keten diginotar zich bevind. De keys van DigiNotar, en ALLE DOOR HEN GESIGNEERDE CERTIFICATEN zijn niet te vertrouwen.
Er is een uitzondering op deze redenering te bedenken, als diginotar niet de partij is geweest die de certificaten heeft ondertekend, maar diginotar wel als zodanig wordt geidentificeerd.
Waarschijnlijk signeert 'DigiNotar' niet zelf de certificaten met het certificaat 'DiginotarPKI CA Overheid en bedrijven', en hebben ze dus geen toegang tot de private-key van dit certificaat. In plaats daarvan doet de nederlandse staat het signen met deze key zelf, dit is de enige reden die ik kan bedenken waarom deze key nog steeds vertrouwd wordt.
Edit:
Ik ga hier wel voorbij aan de 'chain-of-trust', wat in andere reacties keurig wordt uitgelegd.
[Reactie gewijzigd door psyBSD op woensdag 31 augustus 2011 12:11]
Dat de Nederlandse overheid nu zelf de private key heeft was misschien wel de bedoeling. Zo kunnen ze alle verkeer naar de beveiligde websites die dit certificaat gebruiken naar believen aftappen. Een Big Brother scenario waar ik helemaal niet van op zou zien.
En bij de overheid heb je verder ook geen keuze omdat je als burger ervan afhankelijk bent. Die chain of trust is dan niet belangrijk meer.
Maar ik zal er wel niets van snappen en er helemaal naast zitten..
En bij de overheid heb je verder ook geen keuze omdat je als burger ervan afhankelijk bent. Die chain of trust is dan niet belangrijk meer.
Maar ik zal er wel niets van snappen en er helemaal naast zitten..
Het verzoek van de Staat der Nederlanden kan natuurlijk de FF ontwikkelaars in de richting van 'uitzondering maken omdat ze zelf vinden dat deze certificaten te vertrouwen zijn.' duwen.
Waarschijnlijk wisten ze niet dat de Staat der Nederlanden hier gebruik van maakt. Een gevalletje 'oeps', we zullen het aanpassen.
Waarschijnlijk wisten ze niet dat de Staat der Nederlanden hier gebruik van maakt. Een gevalletje 'oeps', we zullen het aanpassen.
Het punt is dat er sprake is van een totaal andere chain of trust bij die DigiD certificaten. Daar is de uiteindelijke rootCA immers de overheid en niet diginotar.
Ja ik snap het wel, maar ik vind dat Firefox deze beslissing moet maken niet op verzoek van de overheid, maar omdat ze vinden dat deze certificaten te vertrouwen zijn.
Nu ga ik er vanuit dat ze deze certificaten gewoon wel vertrouwen, maar ik bedoel meer dat de aanleiding van de uitzondering verkeerd is.
Nu weet ik niet als gebruiker van Firefox of ik dit certificaat kan vertrouwen, aangezien het enige wat er in de broncode bijgecomment staat
"On request of the dutch government"
Betekent dit dat de overheid druk heeft uitgeoefend op Firefox, of betekent dit dat de overheid Firefox alleen een duwtje in rug gegeven zoals Airell heeft opgemerkt.
Nu ga ik er vanuit dat ze deze certificaten gewoon wel vertrouwen, maar ik bedoel meer dat de aanleiding van de uitzondering verkeerd is.
Nu weet ik niet als gebruiker van Firefox of ik dit certificaat kan vertrouwen, aangezien het enige wat er in de broncode bijgecomment staat
"On request of the dutch government"
Betekent dit dat de overheid druk heeft uitgeoefend op Firefox, of betekent dit dat de overheid Firefox alleen een duwtje in rug gegeven zoals Airell heeft opgemerkt.
[Reactie gewijzigd door TeMo op woensdag 31 augustus 2011 09:41]
Het certificaat waarmee de certificaten van de overheid ondertekend zijn, is niet van diginotar maar van de overheid. Het enige wat diginotar doet is het leveren van het certificaat.
Zoals hierboven ook al genoemd is: firefox deed het op de snelle manier door te kijken naar de naam. Ze hebben echter geen rekening gehouden ( of wisten niet ) van de overheid.
Als ze echt onder druk werden gezet hadden ze dat vast niet zo in de code gezet.
Zoals hierboven ook al genoemd is: firefox deed het op de snelle manier door te kijken naar de naam. Ze hebben echter geen rekening gehouden ( of wisten niet ) van de overheid.
Als ze echt onder druk werden gezet hadden ze dat vast niet zo in de code gezet.
Waarom is een browserontwikkelaar nou bij uitstek de beste partij om de betrouwbaarheid van een CA te beoordelen?
Das niet waar de ssl root Staat der Nederlanden is de beheerder van deze SSL certificaten, de staat der Nederlanden heeft 6 Sub suppliers van deze
De chain ziet er als volgt uit
SSL Authoriteit Staat der Nederlanden
-DigiNotar
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-2de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-3de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-4de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-5de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-6de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
Wat er nu is gebeurt is niet dat de Staat Der Nederlanden is terug getrokken maar van de Sub partij DigiNotar, kortom de certificaten die uitgegeven zijn door andere sub resellers zullen gewoon valid blijven.
Er is dus _GEEN_ andere chain of trust als de DgiD certificaten zijn uitgegeven door DigiNotar.
Ik vind dat het bewezen is dat dit systeem werkt, het is ongelukkig maar Mozilla en IE en dergelijke dienen helemaal geen wijzigingen te maken de betrokken partijen ( Zoals DigiD ) dienen gewoon naar de 2/3/4/5/6de Sub te gaan voor nieuwe certificaten.
Als Mozilla hierop uitzonderingen gaat maken dan is wat mij betreft ieder certificaat zo onbetrouwbaar als het maar kan omdat we overal uitzonderingen voor gaan maken en hiermee de gepoogde beveiliging voorbij lopen.
de rootca heeft de chain of trust van 1 van de sub ondernemers ingetrokken, hiermee breek je dus de chain van die sub ondernemer.DigiNotar is een van de zes bedrijven die een zogenoemde subroot-autoriteit van de ssl-autoriteit 'Staat der Nederlanden' zijn
De chain ziet er als volgt uit
SSL Authoriteit Staat der Nederlanden
-DigiNotar
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-2de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-3de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-4de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-5de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-6de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
Wat er nu is gebeurt is niet dat de Staat Der Nederlanden is terug getrokken maar van de Sub partij DigiNotar, kortom de certificaten die uitgegeven zijn door andere sub resellers zullen gewoon valid blijven.
Er is dus _GEEN_ andere chain of trust als de DgiD certificaten zijn uitgegeven door DigiNotar.
Ik vind dat het bewezen is dat dit systeem werkt, het is ongelukkig maar Mozilla en IE en dergelijke dienen helemaal geen wijzigingen te maken de betrokken partijen ( Zoals DigiD ) dienen gewoon naar de 2/3/4/5/6de Sub te gaan voor nieuwe certificaten.
Als Mozilla hierop uitzonderingen gaat maken dan is wat mij betreft ieder certificaat zo onbetrouwbaar als het maar kan omdat we overal uitzonderingen voor gaan maken en hiermee de gepoogde beveiliging voorbij lopen.
Je doet de aanname dat DigiNotar gebruik maakt van één enkel systeem voor alle SSL certificaten die ze uitgeven. Als ze aan kunnen tonen dat de PKIoverheid certificaten door een gescheiden systeem worden uitgegeven en dat dat systeem niet is gehackt, dan is de keuze van Mozilla wél prima te verklaren.
Dit is ook wat verklaard wordt op govcert.nl:
http://www.govcert.nl/act...eiligingscertificaat.html
Het is niet precies bekend wélk contact er is geweest, tussen wie en wie precies, en wat daarin is besproken, verklaard of aangetoond.
Ik ben het met je eens dat een verzoek niet genoeg is. Een rapport van een security audit kan wél voldoende zijn. Dat ze de eerdere maatregelen hebben afgezwakt doet vermoeden dat er wel degelijk dat soort informatie is doorgegeven.
Dit is ook wat verklaard wordt op govcert.nl:
http://www.govcert.nl/act...eiligingscertificaat.html
Het is niet precies bekend wélk contact er is geweest, tussen wie en wie precies, en wat daarin is besproken, verklaard of aangetoond.
Ik ben het met je eens dat een verzoek niet genoeg is. Een rapport van een security audit kan wél voldoende zijn. Dat ze de eerdere maatregelen hebben afgezwakt doet vermoeden dat er wel degelijk dat soort informatie is doorgegeven.
[Reactie gewijzigd door Cheatah op woensdag 31 augustus 2011 11:03]
Dat is dus exact het probleem! Het valselijk gegenereerde *.google certificaat had niet gemaakt moeten kunnen worden. Dit hoort (zeker als je bekijkt hoe lang het duurt voordat je je legitieme certificaat hebt na aanvraag) ALTIJD gescheiden te gebeuren. We kunnen er vanuit gaan dat degenen die het valse google certificaat genereerde ditzelfde had kunnen doen met de DigiD certificaten.Als ze aan kunnen tonen dat de PKIoverheid certificaten doore een gescheiden systeem worden uitgegeven en dat dat systeem niet is gehackt, dan is de keuze van Mozilla wél prima te verklaren.
Het vertrouwen is weg maar het kost een boel geld en moeite om over te gaan naar een andere CA. Struisvogelpolitiek dan maar? Doen alsof 'de hackers' alleen google als doelwit hadden? Ja doe maar joh, WAARSCHIJNLIJK is er niets aan de hand met onze certificaten
Dat snapt iedereen. Punt is dat dat certificaat is gesigned door "DigiNotar Root CA" en niet door "DigiNotar PKIoverheid CA Overheid en Bedrijven". Het is dus 100% zeker dat "DigiNotar Root CA" is misbruikt.Dat is dus exact het probleem! Het valselijk gegenereerde *.google certificaat had niet gemaakt moeten kunnen worden.
Als het systeem dat met "DigiNotar PKIoverheid CA Overheid en Bedrijven" kan signen gescheiden is van het gecomprimitteerde system, is dus helemaal niet 100% zeker dat ook dát certificaat is misbruikt. En aangezien de mensen bij Fox-IT en Govcert redelijk wat verstand van zaken hebben, is het niet vreemd om aan te nemen dat het zelfs onwaarschijnlijk is dat door "DigiNotar PKIoverheid CA Overheid en Bedrijven"-gesignde certificaten niet te vertrouwen zouden zijn.
Nee, dat kun je dus niet. Als het compleet gescheiden systemen zijn dan is dat bij wijze van spreken net zo onwaarschijnlijk als dat ze ook toegang zouden hebben tot een andere CA.We kunnen er vanuit gaan dat degenen die het valse google certificaat genereerde ditzelfde had kunnen doen met de DigiD certificaten.
Diginotar b.v. is gekraakt - feit
"DigiNotar Root CA" is misbruikt en was dus verbonden met de gekraakte webserver. - ook een feit.
"DigiNotar PKIoverheid CA Overheid en Bedrijven" is een gescheiden systeem - Pure speculatie! In zoverre; ik neem aan dat "Diginotar Root CA" ook niet op de webserver zijn certificaten genereerde en dus OOK een "gescheiden systeem" was.
Mijns inziens waren de mogelijkheden die de hackers kregen m.b.t. "DigiNotar PKIoverheid CA Overheid en Bedrijven" dezelfde als die zij verkregen op "DigiNotar Root CA".
Het feit dat misbruik nog niet ontdekt is wil niet zeggen dat er geen valse certificaten in omloop zijn!
Edit: @Cheatah: Technisch gezien heb je helemaal gelijk; zo horen de zaken ook te gaan. Mijn punt is alleen dat we er niet blind op moeten vertrouwen dat het zo goed geregeld is; zeker niet gezien de blunder die al gemaakt is...
"DigiNotar Root CA" is misbruikt en was dus verbonden met de gekraakte webserver. - ook een feit.
"DigiNotar PKIoverheid CA Overheid en Bedrijven" is een gescheiden systeem - Pure speculatie! In zoverre; ik neem aan dat "Diginotar Root CA" ook niet op de webserver zijn certificaten genereerde en dus OOK een "gescheiden systeem" was.
Mijns inziens waren de mogelijkheden die de hackers kregen m.b.t. "DigiNotar PKIoverheid CA Overheid en Bedrijven" dezelfde als die zij verkregen op "DigiNotar Root CA".
Het feit dat misbruik nog niet ontdekt is wil niet zeggen dat er geen valse certificaten in omloop zijn!
Edit: @Cheatah: Technisch gezien heb je helemaal gelijk; zo horen de zaken ook te gaan. Mijn punt is alleen dat we er niet blind op moeten vertrouwen dat het zo goed geregeld is; zeker niet gezien de blunder die al gemaakt is...
[Reactie gewijzigd door ChaoZero op woensdag 31 augustus 2011 11:49]
Govcert en Mozilla vinden van niet, blijkbaar. Het zou raar zijn als ze die patch hebben gewijzigd als ze geen goede reden hadden om dat te doen. Vergeet niet dat Mozilla er helemaal niet mee zou zitten om verder te gaan, en dat het is aan de Nederlandse overheid om te bewijzen dat PKIoverheid nog veilig is. Het is erg aanneemlijk doch niet bevestigd dat Mozilla daar veel specifiekere informatie over heeft gekregen."DigiNotar PKIoverheid CA Overheid en Bedrijven" is een gescheiden systeem - Pure speculatie!
Dat is een aanname van jou, en dit wordt weerlegd door de statements van Govcert. Anders zou Mozilla natuurlijk niet die uitzondering inbouwen.Mijns inziens waren de mogelijkheden die de hackers kregen m.b.t. "DigiNotar PKIoverheid CA Overheid en Bedrijven" dezelfde als die zij verkregen op "DigiNotar Root CA".
Ik ben het absoluut met je eens dat iedereen voorzichtig moet zijn, maar ik weet dat wij buitenstaanders over minder informatie beschikken dan daadwerkelijk beschikbaar is.
Dat zal dan ook weer moeten worden bevestigd door bijvoorbeeld Fox-IT.
Daar kun je dus niet vanuit gaan. Zoals ik de informatie van govcert.nl interpreteer, samen met de voorschriften voor PKIo CSP's zoals te vinden op logius.nl, is het proces voor het maken van PKIo certificaten anders en zijn de systemen fysiek gescheiden.[...]
We kunnen er vanuit gaan dat degenen die het valse google certificaat genereerde ditzelfde had kunnen doen met de DigiD certificaten.
Dan moet die haxx0rer dus beide systemen gehaxx0red hebben, en dan ook nog 's z'n tweede hack onmerkbaar uitgevoerd hebben (maar de eerste niet.)
Ik ben het met je eens dat DigiNotar niet meer te vertrouwen is, maar dat is organisatorisch en geen reden om retroactief ook hun PKIoverheid-certificaten niet meer te vertrouwen.
DigiNotar is onbetrouwbaar omdat ze geen openheid van zaken hebben gegeven inzake dit incident. Dergelijke incidenten kunnen overal voorkomen, dat is ze wat mij betreft te vergeven zolang ze maatregelen nemen om herhaling te voorkomen en daar pro-actief openlijk in zijn. Wat hier nu gebeurd is, is dat er frauduleuze certificaten zijn uitgegeven en dat ze dat hebben verzwegen en dat is onvergeeflijk als je weet wat hierbij op het spel staat.
Sterker nog: wat hierbij op het spel staat is in dit geval zelfs gebeurd: de frauduleuze certificaten zijn in handen gekomen van een toch wel haast malafide overheid die ze vervolgens gebruikt heeft om burgers af te luisteren. Een overheid die erom bekend staat weinig te geven om de rechten van de mens. Dat maakt dit een schoolvoorbeeld van leven en dood.
Er is de mogelijkheid dat diginotar niet zelf mag signen met het certificaat, dit is wat de heer Fransman steeds lijkt te roepen.
Als de staat enkel het screenen heeft uitbesteed aan 6 partijen, maar zelf het signeren doet met 1 van deze 6 sub-certificaten, dan is de betrouwbaarheid van deze certificaten niet (direct) in het geding.
Het feit dat mozilla een uitzondering maakt voor het sub-certificaat van PKIOverheid lijkt hierop te wijzen.
Edit:
Of de staat der heeft toegezegd zelf het certificaat te revoken wanneer blijkt dat er ook problemen zijn met het PKIOverheid certificaat.
Als de staat enkel het screenen heeft uitbesteed aan 6 partijen, maar zelf het signeren doet met 1 van deze 6 sub-certificaten, dan is de betrouwbaarheid van deze certificaten niet (direct) in het geding.
Het feit dat mozilla een uitzondering maakt voor het sub-certificaat van PKIOverheid lijkt hierop te wijzen.
Edit:
Of de staat der heeft toegezegd zelf het certificaat te revoken wanneer blijkt dat er ook problemen zijn met het PKIOverheid certificaat.
[Reactie gewijzigd door psyBSD op woensdag 31 augustus 2011 12:09]
Wat volledig haaks lijkt te staan op wat DigiNotar aan haar klanten nu aanbiedt: namelijk het opnieuw uitgeven van het certificaat maar dan onder de PKIoverheid root. Dit is bedoeld voor overheidszaken waarmee ze nu volledig mee breken. Ze voegen daarbij wel toe dat dit wel onder de voorwaarden van deze PKIoverheid gaat. Hopelijk is dat voldoende om te zorgen dat deze root CA niet ineens voor niet-overheidszaken gebruikt kan worden. Als dat wel het geval is dan wordt door het gekloot van 1 partij ineens de overzichtelijkheid van je hele structuur over de heg gegooid. Dat geeft wel stof tot nadenken.Er is de mogelijkheid dat diginotar niet zelf mag signen met het certificaat, dit is wat de heer Fransman steeds lijkt te roepen.
Als blijkt dat DigiNotar inderdaad niet zelf mag signen betekent dat ze haar klanten waarschijnlijk niet datgene kunnen aanbieden wat ze nu roepen. Dat geeft weer stof tot nadenken bij haar klanten.
Ergo: het zaakje stinkt momenteel aan alle kanten. Ik denk dat we maar eerst eens het rapport van Fox-IT moeten gaan afwachten wat er nou precies gaande is.
Dit lijkt me grond om PKIoverheid te revoken.Wat volledig haaks lijkt te staan op wat DigiNotar aan haar klanten nu aanbiedt: namelijk het opnieuw uitgeven van het certificaat maar dan onder de PKIoverheid root.
Nee, DigiNotar ondertekent zelf.Er is de mogelijkheid dat diginotar niet zelf mag signen met het certificaat, dit is wat de heer Fransman steeds lijkt te roepen.
Als de staat enkel het screenen heeft uitbesteed aan 6 partijen, maar zelf het signeren doet met 1 van deze 6 sub-certificaten, dan is de betrouwbaarheid van deze certificaten niet (direct) in het geding.
Het feit dat mozilla een uitzondering maakt voor het sub-certificaat van PKIOverheid lijkt hierop te wijzen.
Dat wel.Edit:
Of de staat der heeft toegezegd zelf het certificaat te revoken wanneer blijkt dat er ook problemen zijn met het PKIOverheid certificaat.
Bijna goed. Klopt deels. De subroot Diginotar, onderdeel van root Staat der Nederlanden, is niet geblokkeerd. Diginotar Root CA is wel geheel geblokkeerd.Das niet waar de ssl root Staat der Nederlanden is de beheerder van deze SSL certificaten, de staat der Nederlanden heeft 6 Sub suppliers van deze
[...]
de rootca heeft de chain of trust van 1 van de sub ondernemers ingetrokken, hiermee breek je dus de chain van die sub ondernemer.
De chain ziet er als volgt uit
SSL Authoriteit Staat der Nederlanden
-DigiNotar
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-2de Sub
-- Uitgegeven Certificaten aan willekeurige bedrijven/instanties
-3de Sub
Wat er nu is gebeurt is niet dat de Staat Der Nederlanden is terug getrokken maar van de Sub partij DigiNotar, kortom de certificaten die uitgegeven zijn door andere sub resellers zullen gewoon valid blijven.
Als ik het goed begrijp heeft de Staat der Nederlanen en Digitar een eigen Root CA.
Certificaten pad Staat der Nederlanden:
Staat der Nederlanden Root CA
- Staat er Nederlanden Overheid CA
- - DigiNotar PKIoverheid Ca Overheid en Bedrijven
- - - as.digid.nl (hier als voorbeeld)
Certificaten pad Diginotar, met subroot voorbeelden zelf bedacht, kon ik niet vinden in het echt:
Dginotar Root CA
- Diginotar CA
- - Diginotar klanten CA
- - - jouwbedrijfalsvoorbeeld.nl
Wat is geblokkeerd? Dginotar Root CA en alles wat er onder hangt.
Wat is niet geblokkeerd? een Diginotar certificaat, b.v. as.digid.nl, indien de root is: Staat der Nederlanden Root CA
Dit gaat er van uit dat as.digid.nl als sub certificaat onder DigiNotar PKIoverheid Ca Overheid en Bedrijven nog veilig is. Dat is dus de vraag.
Zie ook Mozilla:
"The current patch we have checked in dis-trusts everything issued by the DigiNotar Root CA, but does not dis-trust certificates issued by DigiNotar as part of the Staat der Nederlanden PKI (PKIoverheid), which chain up to a different root."
edit: typo. correctie jouwbedrijfalsvoorbeeld.nl
[Reactie gewijzigd door Xubby op woensdag 31 augustus 2011 13:14]
Dan bewerk je toch de trust van de Staat der Nederlanden CA certificaat in Firefox zodat je deze ook niet meer vertrouwt? Of je import de DigiNotar PKIOverheid CA en markeert deze als untrusted.
De toegevoegde check is alleen om deze specifieke CA uit te zonderen van deze expliciete (botte bijl) verwijderen van de trust. Dat heeft geen effect op de wijze waarop jij de trust configureert in Firefox.
Volgens DigiNotar is er slechts één van hun private keys compromised (van een stuk of 10), de overheid heeft aangegeven dat zij de controle hebben over de DigiNotar PKIOverheid CA keys en dat ze erop vertrouwen dat deze niet compromised zijn. Vandaar het verzoek van de overheid om een uitzondering te maken.
De toegevoegde check is alleen om deze specifieke CA uit te zonderen van deze expliciete (botte bijl) verwijderen van de trust. Dat heeft geen effect op de wijze waarop jij de trust configureert in Firefox.
Volgens DigiNotar is er slechts één van hun private keys compromised (van een stuk of 10), de overheid heeft aangegeven dat zij de controle hebben over de DigiNotar PKIOverheid CA keys en dat ze erop vertrouwen dat deze niet compromised zijn. Vandaar het verzoek van de overheid om een uitzondering te maken.
Mjah okay, maar de gemiddelde gebruiker is niet in staat om te beoordelen of een CA te vertrouwen is, dat is de hele chain of trust met certificaten. Ik vertrouw m'n browser.
De browser moet een CA vertrouwen. Nu vertrouwt de browser een CA omdat de CA (of in ieder geval iemand die er direct mee te maken heeft; de overheid) zegt "wij zijn te vertouwen".
Ik verwacht een objectieve beoordeling van de betrouwbaarheid van een CA, in plaats van een browser die CA's vertrouwt omdat ze zeggen dat ze te vertrouwen zijn.
De browser moet een CA vertrouwen. Nu vertrouwt de browser een CA omdat de CA (of in ieder geval iemand die er direct mee te maken heeft; de overheid) zegt "wij zijn te vertouwen".
Ik verwacht een objectieve beoordeling van de betrouwbaarheid van een CA, in plaats van een browser die CA's vertrouwt omdat ze zeggen dat ze te vertrouwen zijn.
Alle CA's worden vertrouwd omdat ze zeggen te vertrouwen te zijn.Ik verwacht een objectieve beoordeling van de betrouwbaarheid van een CA, in plaats van een browser die CA's vertrouwt omdat ze zeggen dat ze te vertrouwen zijn.
En totdat het tegendeel bewezen is, zoals hier, doen browsers dat dus ook.
Het is niet alsof browsers dat doen, die vertrouwen de meeste root CA's gewoon en daar gaat niet perse een objectieve beoordeling aan vooraf.Ik verwacht een objectieve beoordeling van de betrouwbaarheid van een CA, in plaats van een browser die CA's vertrouwt omdat ze zeggen dat ze te vertrouwen zijn.
Zouden ze ook voor andere overheden uitzonderingen maken? Ik weet nog wel een regime dat nu zonder geldig Google-certificaat zit.
Ik vindt het een bedenkelijke zet dat browsers van 'case to case' gaan beslissen of iets vertrouwd is of niet. Al vertrouw ik Mozilla van alle betrokken partijen nog het meest.
Ik vindt het een bedenkelijke zet dat browsers van 'case to case' gaan beslissen of iets vertrouwd is of niet. Al vertrouw ik Mozilla van alle betrokken partijen nog het meest.
Nee. Bedenk wel dat Nederland een van de weinige overheden is met een CA die vertrouwd wordt door browsers. In mijn OSX systeem tel ik er in totaal drie.Zouden ze ook voor andere overheden uitzonderingen maken? Ik weet nog wel een regime dat nu zonder geldig Google-certificaat zit.
Dat is alleen maar zo omdat onze overheid betrouwbaar is. De Iraanse overheid had, als hun eigen CA vertrouwd werd door browsers, dit truukje makkelijk zelf uit kunnen halen door gewoon zelf een *.google.com certificaat te ondertekenen.
Maar Iran is een regime waarvan verwacht wordt dat ze dat soort dingen doen, dus wordt die door geen mens in de wereld buiten de Iraanse overheid zelf vertrouwd.
IK gok dat de Nederlandse overheid FF duidelijk heeft gemaakt wat er met hun marktaandeel in Nederland gaat gebeuren als sites van de Nederlandse overheid niet meer bezocht kunnen worden door FF.
Het grootste probleem met SSL is het vertrouwen die we hebben gesteld in die instanties. Dat is het zwakke punt van de hele beveiliging. Nu is het een techniek uit de jaren 90, wat prima werkt in het algemeen, maar het kan natuurlijk beter dan dit. Destijds had je alleen Verisign, wat dan nog enigzins goed te controleren was, maar dat is nu dus wel wat anders. Men is bezig met nieuwe, moderne methodes maar het probleem daarbij is weer dat het nauwelijks wordt opgepikt. Destijds werd ssl zo populair door de integratie in Netscape.
Dat vertrouwen hebben sommigen niet meer in Digitar:Het grootste probleem met SSL is het vertrouwen die we hebben gesteld in die instanties. Dat is het zwakke punt van de hele beveiliging.
"This CA should receive an internet death sentence as their carelessness may have resulted in deaths in Iran,” an unknown researcher who verified the certificate wrote. “This cert was issued in JULY of 2011 and it is now just a few days before SEPTEMBER. It is being used in the wild against real people in Iran *right* now.”
Indeed, statements issued by Google and Mozilla shortly after this article was first published indicate a growing mistrust of DigiNotar, which in January was acquired by VASCO Data Security, a maker of two-factor tokens and other authentication products.
“While we investigate, we plan to block any sites whose certificates were signed by DigiNotar,” a statement issued by Google announced.
Google credited a security feature recently added to its Chromium browser engine with protecting alibo and bringing the bogus credential to public attention.
Mozilla, meanwhile, said it planned to issue updates for Firefox, Thunderbird and SeaMonkey shortly “that will revoke trust in the DigiNotar root and protect users from this attack.” It invited users who don't want to wait to manually purge the DigiNotar root from their browsers following these instructions.
Representatives from DigiNotar didn't respond to repeated requests for comment."
Ofwel sommigen wensen Digitar het einde van het bedrijf toe wegens misbruik door Iran tegen Iraniers sinds Juli 2011. Digitar weigerde desgevraagd herhaaldelijk elk commentaar in het artikel.
Google op een blog :
" The attacker used a fraudulent SSL certificate issued by DigiNotar, a root certificate authority that should not issue certificates for Google (and has since revoked it)."
Ofwel: Digitar had nooit een Google certificaat mogen uitgeven.
Toegevoegd:
"Another (anonymous) reader says, "What might be worrying is that the CA behind the forgery is the official supplier of most Dutch Government certificates, diginotar.nl. They are supposed to be very stringent in their application process. As a Dutchman, I'm very interested to see how this one plays out.""
Ofwel een anoniem persoon verbaast zich er over dat de officiele certificaten leverancier van de NL overheid zo'n vals certificaat kan uitgeven. De procedure dient heel strict te zijn. Hij is nieuwsgierig hoe Digitar zich uit gaat proberen te redden.
[Reactie gewijzigd door Xubby op woensdag 31 augustus 2011 12:24]
Dank je, ik lees namelijk zelf geen Engels.Ofwel een anoniem persoon verbaast zich er over dat de officiele certificaten leverancier van de NL overheid zo'n vals certificaat kan uitgeven. De procedure dient heel strict te zijn. Hij is nieuwsgierig hoe Digitar zich uit gaat proberen te redden.
DigiNotar deed twee dingen: commerciele certificaten uitgeven precies zoals Verisign, Thawte, Comodo en GeoTrust dat ook doen. Nouja, het proces is wellicht iets anders maar het idee hetzelfde; je wilt een certificaat, je klopt aan bij zo'n toko, je voldoet aan hun proces en je krijgt het certificaat.
Het andere was CSP zijn voor PKIoverheid. In de basis is dat hetzelfde als bovenstaand, maar dan met een nóg strenger proces voor aanvraging en een aparte afhandeling van hoe het werkt.
Het eerste proces is compromised. Het tweede volgens hen zelf en volgens GovCert niet.
Dat doen ze ook, ze vertrouwen de root CA 'Staat der Nederlanden' expliciet. Immers, diginotar fake certificaten (gegenereerd door de hackers) kunnen nooit ondertekend zijn door de 'staat der Nederlanden' Root CA, maar alleen door Diginotar Root CA zelf.Er is een chain of trust, en de browsers hebben een verantwoordelijkheid in die chain. Ik denk dat ze objectief moeten oordelen of een CA te vertrouwen is.
Je opmerking klopt niet.
De Staat der Nederlanden verzoekt dat FF de wijze van afhandelen van certicaten volgens afspraken afhandelt en geen excepties maakt, wat inhoudt dat de keten vanaf de root bekeken wordt en niet dat de intermediate betrouwbaar zou moeten zijn of niet. Signatures van certificaten kunnen namelijk onafhankelijk van elkaar bekeken worden, wat het hacken van een intermediate certificaat naar een false Root moeilijk zo niet onmogleijk maakt, het zou alleen werken als vanaf de intermediate een alternatief Fake root certificaat van Staat der Nederlanden gemaakt zou worden en bekeken zou kunnen worden..
wat FF niet moet doen is intermediate op eigen voorwaarden gaan weigeren want dan werkt het hele chain of trust methodiek niet. http://en.wikipedia.org/w...e_certificate_authorities
de browsers hebben wel de taak om te zorgen dat het beoordelen van certificaten confrorm de afspraken gebouwd is om met intermediate en root CA's te controleren, en niet op een eigenwijze ieder certificaat te gaan beoordelen.
Door de root CA van DIginotar er uit te halen, zit je in eerste instantie goed.
De Staat der Nederlanden verzoekt dat FF de wijze van afhandelen van certicaten volgens afspraken afhandelt en geen excepties maakt, wat inhoudt dat de keten vanaf de root bekeken wordt en niet dat de intermediate betrouwbaar zou moeten zijn of niet. Signatures van certificaten kunnen namelijk onafhankelijk van elkaar bekeken worden, wat het hacken van een intermediate certificaat naar een false Root moeilijk zo niet onmogleijk maakt, het zou alleen werken als vanaf de intermediate een alternatief Fake root certificaat van Staat der Nederlanden gemaakt zou worden en bekeken zou kunnen worden..
wat FF niet moet doen is intermediate op eigen voorwaarden gaan weigeren want dan werkt het hele chain of trust methodiek niet. http://en.wikipedia.org/w...e_certificate_authorities
de browsers hebben wel de taak om te zorgen dat het beoordelen van certificaten confrorm de afspraken gebouwd is om met intermediate en root CA's te controleren, en niet op een eigenwijze ieder certificaat te gaan beoordelen.
Door de root CA van DIginotar er uit te halen, zit je in eerste instantie goed.
[Reactie gewijzigd door flossed op woensdag 31 augustus 2011 11:14]
Een keten is zo sterk als de zwakste schakel, vandaar dat voor "certificate chains"de term keten wordt gebruikt. Ook die zijn onbetrouwbaar als 1 van de schakels gebroken is. Dat is hier overduidelijk het geval. Dan moet je alle ketens met die schakel erin weigeren.
Browser makers hebben helemaal niet de verantwoordelijkheid de complete ketting te vertrouwen. In feite dienen browser makers enkel de verschillende root certificaten te vertrouwen. Een Chain of Trust werkt doordat je juist niet geinteresseerd bent in alle andere partijen in de ketting. Je bent enkel geinteresseerd in de partij naast je.
Jij vertrouwd Mozilla, Mozilla vertrouwd De staat der Nederlanden, De staat der Nederlanden vertrouwd DigiNotar, DigiNotar vertrouwd pietje puk BV, Pietje puk BV vertrouwd Klaasje en dus vertrouw jij Klaasje. Door willekeurig te roepen dat je "een" partij op een andere plaats in de keten dan naast je toch niet vertrouwd tast je het fundament van een Chain of Trust aan. Want als jij (van een afstand) DigiNotar niet durft te vertrouwen terwijl direct gerelateerde partijen dat wel durven, waarom vertrouw je dan wel partijen in andere Chains of Trust waarvan je waarschijnlijk nog nooit gehoord hebt?
Mozilla "snapt" het principe van een Chain of Trust niet en gaat met het niet vertrouwen van sub-roots veel te ver. Dat is een afweging voor de betreffende root autoriteiten. Is Mozilla het niet met die afweging eens dient Mozilla ALLE certificaten van de betreffende root autoriteiten ongeldig te verklaren en niet enkel die van de sub root DigiNotar.
Oftewel, kromme logica van Mozilla en nu dus een kromme fix
Jij vertrouwd Mozilla, Mozilla vertrouwd De staat der Nederlanden, De staat der Nederlanden vertrouwd DigiNotar, DigiNotar vertrouwd pietje puk BV, Pietje puk BV vertrouwd Klaasje en dus vertrouw jij Klaasje. Door willekeurig te roepen dat je "een" partij op een andere plaats in de keten dan naast je toch niet vertrouwd tast je het fundament van een Chain of Trust aan. Want als jij (van een afstand) DigiNotar niet durft te vertrouwen terwijl direct gerelateerde partijen dat wel durven, waarom vertrouw je dan wel partijen in andere Chains of Trust waarvan je waarschijnlijk nog nooit gehoord hebt?
Mozilla "snapt" het principe van een Chain of Trust niet en gaat met het niet vertrouwen van sub-roots veel te ver. Dat is een afweging voor de betreffende root autoriteiten. Is Mozilla het niet met die afweging eens dient Mozilla ALLE certificaten van de betreffende root autoriteiten ongeldig te verklaren en niet enkel die van de sub root DigiNotar.
Oftewel, kromme logica van Mozilla en nu dus een kromme fix
Oh, oh, oh ....
"" 'geen reden om aan te nemen' dat de hack gevolgen heeft voor certificaten die voor de overheid worden uitgegeven ""
Dit is een heel enge zin,.. zeker na al wat er gebeurd is.
"" 'geen reden om aan te nemen' dat de hack gevolgen heeft voor certificaten die voor de overheid worden uitgegeven ""
Dit is een heel enge zin,.. zeker na al wat er gebeurd is.
Hardcoded nog wel
Fraai is het niet, maar wat is het alternatief?
Bestaat er een centrale instantie waar je de betrouwbaarheid van een CA kan checken?
Als browserontwikkelaar zelf zo'n lijst bijhouden is niet te doen, wat als je dat niet minstens zo goed beveiligt als een CA dat hoort te doen maak je de boel alleen maar erger.
Bestaat er een centrale instantie waar je de betrouwbaarheid van een CA kan checken?
Als browserontwikkelaar zelf zo'n lijst bijhouden is niet te doen, wat als je dat niet minstens zo goed beveiligt als een CA dat hoort te doen maak je de boel alleen maar erger.
Het alternatief is een blacklist naast de huidige Root CA whitelist. Maar daarmee kun je nog steeds niet bereiken wat er hier geprobeerd wordt: DigiNotar wantrouwen, tenzij je daarmee digid.nl wantrouwt. Dat is logischer gezien een denkfout, en vandaar dat er zo'n hack nodig is.
Dit is erg fijn en scheelt ons heel veel gedoe aangezien een aantal van onze applicaties de DigiNotar PKIOverheid certificaten (moeten) gebruiken voor onze HTTPS en als clientcertificaat voor communicatie met een aantal overheidsdiensten.
Zolang GovCert en onze partners de PKIoverheid-certificaten van DigiNotar nog vertrouwen, doen wij dat ook. Tenzij er natuurlijk ander fouten m.b.t. de gang van zaken bij DN aan het licht komen waardoor we zelf het vertrouwen in DigiNotar opgeven.
Wellicht wordt het een idee om een aantal nieuwe PKIoverheid-geauthoriseerde certificaatboren aan te stellen zodat mensen makkelijker kunnen switchen indien nodig.
Zolang GovCert en onze partners de PKIoverheid-certificaten van DigiNotar nog vertrouwen, doen wij dat ook. Tenzij er natuurlijk ander fouten m.b.t. de gang van zaken bij DN aan het licht komen waardoor we zelf het vertrouwen in DigiNotar opgeven.
Wellicht wordt het een idee om een aantal nieuwe PKIoverheid-geauthoriseerde certificaatboren aan te stellen zodat mensen makkelijker kunnen switchen indien nodig.
Sorry hoor, gisteren lees ik 'Extra Veilig, ook doordat er Face 2 Face meetings zijn' nou ben ik erg benieuwd hoe deze 'vertrouwens' kwestie (die als commentaar in Mozilla zit) is aangevlogen? Is onze Premier in Face2Face contact geweest met de Mozilla ontwikkelaars? HOeveel Ontwikkelaars moet je spreken voordat je kunt spreken over een vertrouwensband?
Vaag allemaal..
Vaag allemaal..
Het onderzoek van Fox-IT loopt ook nog. Een hg backout is wel op zijn plaats. Spaghetti in Mozilla ... 
Het protocol van aanvragen en valideren kan wel zeer betrouwbaar en veilig zijn, maar als een vreemde partij via een achterdeur het systeem in kan komen en zelf certificaten kan aanmaken is er het grondig mis.
Als uit onderzoek blijkt dat het daadwerkelijk creeren van een door de overheid goedgekeurde certificaat door dezelfde systemen loopt als een aanvraag van Diginotar is er wel een groot probleem. Zo groot dat ik ook de overheids certificaten niet meer zou vertrouwen.
Kortom de overheid zegt eigenlijk, vertrouw ons maar. Alles is in orde, we geloven het zelf ook.
Als Diginotar in zijn geheel niet meer vertrouwd wordt is dat enorm veel werk om recht te zetten. Niet alleen binnen de overheid moeten alle certificaten vervangen worden (alleen binnen RWS en EL&I zijn het er al honderden), ook bij (toe)leveranciers moet er een hoop vervangen worden.
Als uit onderzoek blijkt dat het daadwerkelijk creeren van een door de overheid goedgekeurde certificaat door dezelfde systemen loopt als een aanvraag van Diginotar is er wel een groot probleem. Zo groot dat ik ook de overheids certificaten niet meer zou vertrouwen.
Kortom de overheid zegt eigenlijk, vertrouw ons maar. Alles is in orde, we geloven het zelf ook.
Als Diginotar in zijn geheel niet meer vertrouwd wordt is dat enorm veel werk om recht te zetten. Niet alleen binnen de overheid moeten alle certificaten vervangen worden (alleen binnen RWS en EL&I zijn het er al honderden), ook bij (toe)leveranciers moet er een hoop vervangen worden.
Leuk jongens, dat bedrijf hoort hun licentie te verliezen na wat ze gedaan hebben.
Dat is alleen een groot probleem, als je dat doet dan werken plots een heleboel sites niet meer.
Nu werken die sites wel, maar kunnen wij er niet op vertrouwen dat we wel ECHT op die site zitten.
Wat is erger?
Wat is erger?
Op zoek?Een blokkade door browsermakers zou betekenen dat de overheid op zoek moest gaan naar andere leveranciers van ssl-certificaten, wat tijd en geld zou kosten.
Hoeveel moeite zou het nou zijn om de subroot van Diginotar WEL in te trekken en de getroffen sites (DigiD, DUO etc.) te voorzien van een SSL certificaat van een van de vijf overgebleven partijen? En hoe oneindig veel meer vertrouwen zou dit uitstralen?[..]DigiNotar is een van de zes bedrijven die een zogenoemde subroot-autoriteit van de ssl-autoriteit 'Staat der Nederlanden' zijn.
Het spelletje voor DigiNotar is gewoon over, de overheid moet geen zaken meer met ze doen. De huidige gang van zaken is niet in het belang van veiligheid en vertrouwen, en lijkt eerder op vriendjespolitiek gebaseerd te zijn?
Digid gebruikt inderdaad DigiNotar certificaten.
DUO gebruikt echter zelf Getronics certificaten. De enige reden dat DUO genoemd wordt in dit geheel is dat DUO gebruik maakt van DigiD.
DUO gebruikt echter zelf Getronics certificaten. De enige reden dat DUO genoemd wordt in dit geheel is dat DUO gebruik maakt van DigiD.
Zoals hier te lezen is gaat het om ongeveer 200 domeinen; en uiteraard kost het best wat tijd (en dus geld) om deze allemaal te vervangen.
Evenwel is het woord 'zoeken' hier behoorlijk overdreven als er inderdaad eerder beschreven staat dat het gewoon duidelijk is welke bedrijven dit allemaal mogen doen. Het revoken van CA's is een perfect oplossing om het vertrouwen in hen op te zeggen en mogelijke verdere problemen te voorkomen
Evenwel is het woord 'zoeken' hier behoorlijk overdreven als er inderdaad eerder beschreven staat dat het gewoon duidelijk is welke bedrijven dit allemaal mogen doen. Het revoken van CA's is een perfect oplossing om het vertrouwen in hen op te zeggen en mogelijke verdere problemen te voorkomen
Je zou zeggen dat de overheid wel een database zou hebben met legitieme betrouwbare leveranciers van wat dan ook toch?
Vreemd dat ze dan apart op zoek moeten gaan ..
Heeft de overheid niet een ICT tak?
En wat je zegt over dat vertrouwen, ja, dit geeft geen vertrouwen, een gecomprimitteerd certificaat, we gaan Firefox onder druk zetten, die accepteren 'm, terwijl het niet te vertrouwen is. Dus de browser die waarborgt nu niet de veiligheid van de gebruiker ..
En dat is echt jammer dat het zo gaat.
En dat omdat onze lieve overheid geen zin heeft om een nieuwe leverancier te 'zoeken' ..
Vreemd dat ze dan apart op zoek moeten gaan ..
Heeft de overheid niet een ICT tak?En wat je zegt over dat vertrouwen, ja, dit geeft geen vertrouwen, een gecomprimitteerd certificaat, we gaan Firefox onder druk zetten, die accepteren 'm, terwijl het niet te vertrouwen is. Dus de browser die waarborgt nu niet de veiligheid van de gebruiker ..
En dat is echt jammer dat het zo gaat.
En dat omdat onze lieve overheid geen zin heeft om een nieuwe leverancier te 'zoeken' ..
DigiNotar geeft twee soorten certificaten uit. Algemene certificaten en PKIOverheids certifcaten. De eerste CA is gecompromitteerd. De PKIoverheids certficaten van DigiNotar is voor zover bekend nog niets mee aan de hand.
Om PKIoverheids cetrtificaten te mogen uitgeven moet voldaan worden aan tal van strenge eisen mbt proces en techniek. Het aantal aanbieders van PKIoverheids certifcaten is dan ook beperkt.
Voor de lijst zie: https://www.logius.nl/pro...verheid/csp-certificaten/
Kortom er zijn meerdere aanbieders. Vervangen is echter niet gratis.
Het is een lastig dilemma: Trek je als overheid je handen af van DigiNotar dan levert dit een hoge kosten post op voor de vervanging van certificaten (cetrtifcaat kosten maar zeker ook proces kosten) en DigiNotar kan de deuren sluiten. Dit terwijl er niets vast staat of PKIOverheid op enige wijze geraakt is, al wankelt de betrouwbaarheid van DigiNotar natuurlijk wel.
Vast staat wel dat de overheid weinig goed kan doen. Doet ze het zelf dan moet ze het uitbesteden aan de markt. Verprutst de markt het dan heeft de overheid het volgens velen alsnog gedaan...?
Om PKIoverheids cetrtificaten te mogen uitgeven moet voldaan worden aan tal van strenge eisen mbt proces en techniek. Het aantal aanbieders van PKIoverheids certifcaten is dan ook beperkt.
Voor de lijst zie: https://www.logius.nl/pro...verheid/csp-certificaten/
Kortom er zijn meerdere aanbieders. Vervangen is echter niet gratis.
Het is een lastig dilemma: Trek je als overheid je handen af van DigiNotar dan levert dit een hoge kosten post op voor de vervanging van certificaten (cetrtifcaat kosten maar zeker ook proces kosten) en DigiNotar kan de deuren sluiten. Dit terwijl er niets vast staat of PKIOverheid op enige wijze geraakt is, al wankelt de betrouwbaarheid van DigiNotar natuurlijk wel.
Vast staat wel dat de overheid weinig goed kan doen. Doet ze het zelf dan moet ze het uitbesteden aan de markt. Verprutst de markt het dan heeft de overheid het volgens velen alsnog gedaan...?
[Reactie gewijzigd door netman op woensdag 31 augustus 2011 10:14]
Niet heel veel moeite, maar aangezien het over een duur type certificaat gaat en het gaat om een groot aantal certificaten (want veel domeinnamen) is dit best prijzig en onnodige verspilling van ons belastinggeld waar al zoveel op wordt bezuinigd.
Het gekke is dat de overheid een eigen CA heeft (Staat der Nederlanden CA), waarom ondertekenen ze niet gewoon de eigen certificaten zonder er een commerciële partij tussen te hangen?
"Een eigen CA hebben" zegt niet zoveel. Ik kan vandaag een CA beginnen, en geldige certificaten gaan uitgeven voor Google en DigID. Het sleutelwoord hier is vertrouwen; de grote browsers vertrouwen mijn CA niet. Om toch vertrouwen te krijgen zal ik mijn CA certificaat moeten laten signen door een partij die wel vertrouwd wordt, een week geleden DigiNotar bijvoorbeeld.
Ik vind het overigens nog steeds onduidelijk of PKIOverheid een zelf-operende entiteit was (en dus willekeurig certificaten kon signen met als trusted root DigiNotar), of dat ze elk certificaat apart moesten laten signen door DigiNotar. In het laatste geval komt de werkelijke situatie niet overeen met het beeld dat ik in de eerste paragraaf schets.
Ik vind het overigens nog steeds onduidelijk of PKIOverheid een zelf-operende entiteit was (en dus willekeurig certificaten kon signen met als trusted root DigiNotar), of dat ze elk certificaat apart moesten laten signen door DigiNotar. In het laatste geval komt de werkelijke situatie niet overeen met het beeld dat ik in de eerste paragraaf schets.
De Staat der Nederlanden CA zit juist al in alle browsers. Wat jij zegt klopt wel, maar is niet van betrekking op deze situatie.
Ik neem aan dat de kosten kunnen worden verhaald op DigiNotar.
Klopt maar het is nog veel erger als we met zn allen inloggen op DigiD dat niet veilig is. Waardoor er een mogelijkheid is dat heel veel prive gegevens van veel Nederlanders in de verkeerde handen kunnen vallen.
als je als gebruiker de waarschuwing negeert en gewoon inlogd heb je exact dezelfde situatie als nu de SSL verbinding word sowieso gemaakt dan. Het enige verschil is dat je door deze uitzondering de melding niet krijgt dat de verbinding mogelijk gecompromiteerd is.
Het uiteindelijk certificaat is aan het DigiD domein toegekend en komt vanuit de staat der nederlanden. Als inderdaad alleen het root certificaat van diginotar is gecompromiteerd en niet die van de staat der nederlander root, dan is dit een valide keuze. Maar dit behoort diginotar eigenlijk aan te tonen en niet de nederlandse overheid.
Sowieso komt er meer kijken bij een man in the middle attack dan alleen een vervalst certificaat. Ook moet de gebruiker dan via een verkeerd domein naar het digid domein worden gesluist. Als een gebruiker zelf direct naar het digid domein gaat kan er niks tussen zitten. Ditzelfde geld bijvoorbeeld ook voor het belastingaangifte programma. Zolang je een onaangetaste versie hiervan hebt die hard coded het officiele digid domein gebruikt is er niks aan de hand.
Dit kan dan alleen als jouw browser of je hele systeem ook gecompromiteerd is. Maar in dat geval kan net zo goed deze check die ze nu aanbrengen ook verwijdert of omzeild zijn door een virus/malware.
Het uiteindelijk certificaat is aan het DigiD domein toegekend en komt vanuit de staat der nederlanden. Als inderdaad alleen het root certificaat van diginotar is gecompromiteerd en niet die van de staat der nederlander root, dan is dit een valide keuze. Maar dit behoort diginotar eigenlijk aan te tonen en niet de nederlandse overheid.
Sowieso komt er meer kijken bij een man in the middle attack dan alleen een vervalst certificaat. Ook moet de gebruiker dan via een verkeerd domein naar het digid domein worden gesluist. Als een gebruiker zelf direct naar het digid domein gaat kan er niks tussen zitten. Ditzelfde geld bijvoorbeeld ook voor het belastingaangifte programma. Zolang je een onaangetaste versie hiervan hebt die hard coded het officiele digid domein gebruikt is er niks aan de hand.
Dit kan dan alleen als jouw browser of je hele systeem ook gecompromiteerd is. Maar in dat geval kan net zo goed deze check die ze nu aanbrengen ook verwijdert of omzeild zijn door een virus/malware.
Het doel van SSL is een beveiliging tegen een "Man In The Middle". Een virus op jouw computer is dat niet (want dat is een eindsysteem), maar bijvoorbeeld een gekraakte WiFi router is het wel.
De Iraanse geheime dienst heetf uiteraard controle over de ISPs daar, en is dus zo'n MITM waartegen SSL zou moeten beschermen.
De Iraanse geheime dienst heetf uiteraard controle over de ISPs daar, en is dus zo'n MITM waartegen SSL zou moeten beschermen.
Ik denk dat de overheid nu gewoon zegt: onze certificaten zijn te vertrouwen. Waar ze dat dan op baseren, is mij weer een raadsel (en zouden ze best mogen aangeven!). Voorlopig dus maar ff geen DigiD gebruiken (of andere overheidsdiensten...)
Ik denk dat de grote browser leveranciers wel degelijk redenen hebben om aan te nemen dat deze certificaten wel te vertrouwen zijn. Anders zouden ze dat ook niet doen vanwege de veiligheid die anders in geding komt m.b.t. hun klanten.
Meer over de methode waarop SSL-certificaten worden uitgegeven stond in een reactie van GekkePrutser op een ander nieuwsbericht hierover.
Meer over de methode waarop SSL-certificaten worden uitgegeven stond in een reactie van GekkePrutser op een ander nieuwsbericht hierover.
Misschien willen ze voorkomen dat mensen het advies krijgen om geen Firefox te gebruiken voor DigiD...
String literals in code? Specifieke controles op deze manier in de code inbouwen? Lijkt me niet echt de coding best practices volgen die stukje code.
Best practices gaan niet altijd hand-in-hand met pragmatisch denken en werken aan praktijk oplossingen
Ik laat in 't midden of 't in dit specifiek geval gewenst is maar het is in ieder geval niet zo zwart-wit als je nu stelt.
Ik laat in 't midden of 't in dit specifiek geval gewenst is maar het is in ieder geval niet zo zwart-wit als je nu stelt.
Op dit item kan niet meer gereageerd worden.
Onderwerpen
Populair: Android Tablets Samsung Websites en communities Mobiele telefoons Google Sony Microsoft Games Politiek en recht
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True
