Poll

Vindt dat persoonlijk nogal een vlut-anwoord, dat spreekt gewoon voor zich en staat los van alle andere antwoorden (uiteindelijk zegt ELK antwoord dat het internet niet veilig is namelijk) en zeker geen excuse dat Diginotar gehackt is...

Dat meldpunt is een farce... Ik heb van de week tenenkrommend het interview gezien met Mw. Kroes (1-Vandaag) over dat zij maar vindt dat er een Europees meldpunt moet komen voor dit soort hacks of andere zaken die de "grensoverschrijdende veiligheid van internetzaken" in gevaar brengen. Mw. Kroes is wat hoogdravend en haar doelen op ICT-gebied (zoals breedband in Europa en andere zaken tot aan je eigen voordeur) zal zij nooit gerealiseerd zien voordat ze met pensioen gaat.

Nou ben ik volledig niet onderlegd in SSL-certificaten en de tiers die hierin gebruikt worden voor het uitdelen, beoordelen, implementeren etc maar zijn er geen zogenaamde root CA's die als meldpunt dienen voor certificaten of die minstens de mogelijkheid hebben om eenzijdig een certificaat in te trekken? Alsof een ambtenaar in Brussel/Straatsburg "even" kan beoordelen hoe veilig/onveilig een certificaat nog is als een random SSL-issues hierover belt of mailt.

Er zijn voldoende zelf-regulerende organen die een standaard in het leven hebben geroepen en hier ook toezicht op houden; waarom moet het onderwerp SSL nou weer ergens in Europa belegd worden? Was het gebeurd met 500+ certificaten van allerlei webwinkels, dan was er waarschijnlijk aanzienlijk minder aandacht aan besteed en waren er niet eens geluiden uit de Tweede Kamer over gekomen.

Je haalt me de optie uit de mond. Ik weet dan ook niet wat ik moet kiezen. Het hele systeem van CA's die wij met zijn allen gebruiken is al een hele tijd sterk verouderd. Zeker toen (ik meen vorig jaar) bekend werd dat een aantal CA's hun moedersleutel aan bepaalde overheden hadden gegeven. Helaas heb ik hier geen bronvermelding meer van (kan 't niet meer vinden met google) maar sindsdien adviseer ik eenieder om nog eens goed na te denken alvorens een public CA de certs te laten ondertekenen. Ik kan me namelijk voorstellen dat voor bepaalde info je toch liever een private CA gebruikt waarvan je zeker bent dat die niet remote te hacken is (oftewel waar het utp kabeltje uitgehaald is).

M.i. maakt de overheid redelijk goed overwogen keuzes in deze. Veel eerder konden ze niet reageren, omdat Diginotar de hack onder de pet hield.

Je kunt wel vragen stellen bij de controle op de CA's. Als de berichtgeving rondom de interne organisatie van Diginotar klopt, dan is daar wel het een en ander serieus mis, op het misleidende af: effe lekker cashen op overheidscertificaten zonder er een fatsoenlijke infrastructuur voor in te richten.