95% van de HTTPS servers zijn kwetsbaar voor MITM-aanvallen
HTTPS wordt op steeds grotere schaal gebruikt. Hierbij wordt de verbinding tussen een server en de machine van een eindgebruiker versleuteld om te voorkomen dat deze verbinding kan worden afgeluisterd. In de praktijk laten veel beheerders hierbij echter steken vallen. Maar liefst 95% van de HTTPS servers blijkt namelijk kwetsbaar voor eenvoudige man-in-the-middle (MITM) aanvallen.
Dit meldt beveiligingsbedrijf Netcraft op basis van eigen onderzoek. Veel servers die HTTPS hebben omarmd maken geen gebruik van HTTP Strict Transport Security (HSTS). HSTS zorgt ervoor dat servers uitsluitend via HTTPS worden bezocht. Indien een gebruiker in de adresbalk van zijn webbrowser het protocol HTTP gebruikt wordt toch het HTTPS protocol gebruikt.
Netcraft stelt dat iedere server die HTTPS gebruikt, maar geen HSTS eenvoudig aangevallen kan worden met een MITM aanval. Deze servers maken het namelijk mogelijk een onbeveiligde HTTP-verbinding op te zetten, die vervolgens gekaapt kan worden. Ondanks dit risico maakt slechts 5% van de servers die HTTPS toepassen gebruikt van HSTS. Netcraft stelt dat er geen reden is HTST niet te implementeren, aangezien dit geen praktische nadelen oplevert.
Meer over
Lees ook
Bescherming bedrijfsprocessen met encryptie wordt noodzakelijk
Het idee van een laptop die geconfigureerd is voor opslag van geheime informatie doet velen denken aan een apparaat voor spionnen. Maar de bescherming van gevoelige bedrijfs- en persoonlijke gegevens is nu belangrijker dan ooit.
Qualys voegt External Attack Surface Management (EASM) toe aan het Qualys Cloud Platform
Qualys, Inc. een pionier en marktleider op het gebied van cloudgebaseerde compliance-, beveiligings- en IT-oplossingen, kondigt vandaag aan dat het External Attack Surface Management (EASM)-mogelijkheden toevoegt aan het Qualys Cloud Platform. De nieuwe functionaliteit, die is geïntegreerd in CyberSecurity Asset Management 2.0, voegt een weergave1
Staatsgeheim - boek van Maarten Oberman
Intro: Veertig jaar geleden kreeg ik van mijn vader de documentatie van het eerste naoorlogse crypto-apparaat. Hij had dat systeem in de jaren 1947 – 1949 gemaakt. De documentatie van dat systeem heb ik jarenlang bewaard, omdat hij had aangegeven dat het later erg interessant zou zijn. Het was indertijd Staatsgeheim en daardoor was er nooit over g1