Govcert zegt vertrouwen in MD5-ssl's definitief op

Gepubliceerd: Vrijdag 16 januari 2009

De Nederlandse overheid raadt bedrijven af om nog langer MD5 ssl-certificaten te gebruiken. Bestaande toepassingen moeten zo snel mogelijk worden uitgefaseerd.

Toon volledig artikel

Sheize op Vrijdag 16 Januari 2009 16:45

Goh dit hadden de bedrijven echt niet zelf kunnen bedenken.

-2 / 4

Niels Sijm op Vrijdag 16 Januari 2009 17:55

Een ssl-certificaat moet bezoekers het vertrouwen geven dat het webverkeer correct wordt versleuteld. Daarbij wordt bij extended validation (EV) certificaten ook de identiteit van de uitgever van een site gecontroleerd.

Dat is niet waar. De identiteit van de uitgever wordt altijd geverifieerd. Kan de handtekening van een als vertrouwd aangemerkte CA niet worden geverifieerd, dan krijg je een waarschuwing dat je wellicht met een rogue website bent verbonden.

EV is een truukje van VeriSign om voor een praktisch even veilig x509-certificaat meer geld te vragen.

3 / 3

NULL op Zaterdag 17 Januari 2009 00:35

Tegenwoordig zijn er ook "goedkope" certificaten. Daarbij wordt alléén de juistheid van het domein gegarandeerd. Wie de eigenaar van dat domein dan is, dat blijft in het midden. Het enige dat je dan als gebruiker zeker weet is dat de pagina op je scherm van domein xyz.abc afkomstig is, en dat het verkeer niet afgeluisterd kan worden.

Ideaal voor phishing dus. Stel je hebt het domein rab0bank.nl, dan kun je gewoon een certificaat aanvragen voor dat domein. De bezoeker zit dan een mooi geel balkje en een slotje in zijn browser, als teken dat het beveiligd is, en denkt dat het in orde is...

Ik heb dan nog meer vertrouwen in bijv. CACert, die geven tenminste alleen certificaten aan geverifieerde natuurlijke personen.