Google wil dat alle websites aan Certificate Transparency standaard gaan voldoen
Google kondigt aan vanaf oktober 2017 een Certificate Transparency beleid te gaan hanteren in de webbrowser Chrome. Deze nieuwe standaard maakt het mogelijk websites met een onjuist SSL-certificaat automatisch te detecteren en labelen.
SSL-certificaten geven gebruikers de mogelijkheid de legitimiteit van een website te controleren en zeker te stellen dat zij niet met bijvoorbeeld een phishingwebsite te maken hebben. Cybercriminelen gebruiken steeds vaker gestolen of foute SSL-certificaten om het malafide karakter van hun websites te verbergen. Dit probleem wordt onder andere veroorzaakt door Certificate Authorities (CA’s) die onzorgvuldig omspringen met SSL-certificaten. Zo kreeg de Britse programmeur Gervase Markham in augustus nog door de CA WoSign een SSL-certificaat van GitHub toegewezen.
Door een Certificate Transparency beleid te introduceren in de webbrowser Chrome wil Google dit tegengaan. De webbrowser gaat websites die niet aan de standaard voldoen automatisch als onbetrouwbaar beoordelen. In de praktijk betekent dit dat Google Certificate Authorities (CA’s) dwingt te voldoen aan de Certificate Transparency standaard om te voorkomen dat websites van hun klanten als onbetrouwbaar worden beoordeeld.
Lees ook
TrackerSSL brengt onveilig gedrag van trackers in kaart
Trackers zijn tools die resultaten van advertentiecampagnes doorgeven aan adverteerders. De data wordt in veel gevallen onbeveiligd verstuurd, waardoor bijvoorbeeld inlichtingendienst de data eenvoudig kunnen onderscheppen om informatie te verzamelen over gebruikers. Open Effect trekt aan de noodklok over de situatie en lanceert een tool die helpt1
Studenten ontdekken gaten in beveiliging websites UvA en HvA
De Universiteit van Amsterdam en Hogeschool van Amsterdam lekken beide inloggegevens van studenten. De inlogpagina’s van beide onderwijsinstellingen zouden gebruik maken van verouderde SSL-certificaten om de verbinding waarover inloggegevens worden verzonden te beveiligen. Dit verouderde certificaat bevat een beveiligingslek, waardoor aanvallers i1
IBM: 'Per dag worden 7.000 aanvallen uitgevoerd via de Heartbleed-bug'
Het is alweer even geleden dat de Heartbleed-bug aan het licht kwam. In april werd het gat in OpenSSL ontdekt, waarna patches beschikbaar werden gesteld om het probleem op te lossen. Veel servers blijken vandaag de dag echter nog steeds kwetsbaar te zijn. IBM meldt in het X-Force Threat Intelligence Quarterly report maar liefst 7.000 Heartbleed-aa1