Windows installeert Root Certificates van NL'se Staat ?

Bij certificaten gaat het bij "vertrouwen" om: zijn wij echt wie we zeggen dat we zijn? Dus een site met een certificaat van de Nederlandse staat is ook echt van de Nederlandse staat, en communicatie tussen jou en die site is alleen door jou en de staat te lezen. Meer zegt het niet. Het zegt helemaal niks over de staat zelf en of die betrouwbaar is.

quote:

Op dinsdag 21 maart 2017 21:13 schreef Farenji het volgende:
Bij certificaten gaat het bij "vertrouwen" om: zijn wij echt wie we zeggen dat we zijn? Dus een site met een certificaat van de Nederlandse staat is ook echt van de Nederlandse staat, en communicatie tussen jou en die site is alleen door jou en de staat te lezen. Meer zegt het niet. Het zegt helemaal niks over de staat zelf en of die betrouwbaar is.

Precies, het zegt letterlijk alleen dat je praat met diegene waarmee dat ook denkt te doen. Of je diegene met wie je praat verder betrouwbaar vindt, dat is je eigen keuze.

quote:

Op dinsdag 21 maart 2017 22:19 schreef Dubbeldrank het volgende:

[..]

Precies, het zegt letterlijk alleen dat je praat met diegene waarmee dat ook denkt te doen. Of je diegene met wie je praat verder betrouwbaar vindt, dat is je eigen keuze.

Nee, want groen is veilig. 3 keer kloppen was het toch? fok! is toch ook onveilig zonder SSL? Daar kreeg je computer toch de pokkels van?

quote:

Op dinsdag 21 maart 2017 20:58 schreef Tamabralski het volgende:
Ik las gisteravond ergens op internet (jaja) dat Root certificaten 'man in the middle attacks' kunnen uitvoeren op een device van een gebruiker. Redirects maken en communicatie kunnen onderscheppen. En voortaan een hele rits aan andere certificaten kan installeren op betreffende Device. Alleen omdat de Root Cert. wordt vertrouwd. Mijn vertrouwen daarin is nul.

Tja, niemand die je verplicht om die certificaten op je computer te installeren.
Moet je alleen wel voor alles wat je met je gemeente wil regelen naar het stadhuis en moet je je belastingaangifte op papier invullen.

De MtM attack waar over gesproken wordt, is tussen jou en de website die het certificate uitgeeft. In dit geval tussen jou en de overheid, zodat iemand anders de informatie kan zien die jij met de overheid uitwisselt. De overheid kan dus niet informatie uitlezen tussen jou en andere websites.

quote:

Op dinsdag 21 maart 2017 13:18 schreef Aaargh! het volgende:
Het idee is dus dat je een kleine groep partijen hebt

Nou ja, "klein"... Ik kan me aantallen van rond de 200 herinneren. Inclusief Symantec en CNNIC, die gewoon fake Google certificaten hebben laten rondzwerven.

quote:

Op dinsdag 21 maart 2017 20:58 schreef Tamabralski het volgende:

Helaas vertrouw ik de Nederlandse overheid niet. En zeker als Root certificcatie niet.

Je vertrouwt de Nederlandse overheid niet? Wat is dat nu weer voor onzin. Denk je nu echt dat de overheid het speciaal op jou gemunt heeft of zo?

quote:

Thaliand wat wordt gezien als militaire regime. Heeft ook zo'n certificaat uigegeven. Wordt gewoon gepusht door Microsoft via haar Windows. En Thailand krijgt door mensenrechten organisaties daarvoor echt felle kritiek. Waarom is Nederland (paradijs voor proefbalonnen, partner in crime van VS inlichtingen) beter te vertrouwen?

Niet relevante verklaring. (Sterker nog, een drogreden, want wat de fuck heeft Thailand opeens met Nederland te maken?) Elk land heeft zijn eigen certificaten en neemt daarvoor een bedrijf in de arm om dat te regelen.

Je eigen communicatie met andere systemen hoeft niet via die certificaten te lopen overigens. Ik heb een LetsEncrypt certificaat op mijn eigen OpenVPN. Zolang niemand de private key van mijn gebruikte certificaten weet, wordt het redelijk moeilijk mijn vpn verbinding te kraken.

quote:

Ik las gisteravond ergens op internet (jaja) dat Root certificaten 'man in the middle attacks' kunnen uitvoeren op een device van een gebruiker.

Als public en private key bekend zijn kun je met ieder certificaat zo'n aanval uitvoeren.



[ Bericht 4% gewijzigd door Mr_Belvedere op 22-03-2017 09:00:04 ]

quote:

Op dinsdag 21 maart 2017 22:22 schreef vaduz het volgende:

[..]

Nee, want groen is veilig. 3 keer kloppen was het toch? fok! is toch ook onveilig zonder SSL? Daar kreeg je computer toch de pokkels van?

Fok is inderdaad onveilig zonder SSL, dat zouden ze inderdaad moeten aanpakken. Tegenwoordig is er geen enkele reden meer waarom je je site niet met SSL zou beveiligen.

quote:

Op dinsdag 21 maart 2017 22:40 schreef FredvZ het volgende:
De MtM attack waar over gesproken wordt, is tussen jou en de website die het certificate uitgeeft. In dit geval tussen jou en de overheid, zodat iemand anders de informatie kan zien die jij met de overheid uitwisselt. De overheid kan dus niet informatie uitlezen tussen jou en andere websites.

Als de overheid een root certificaat in je browser heeft kunnen ze dat wel degelijk.

Punt is wel dat als ze dat doen en het wordt ontdekt, dat elke OS en browser fabrikant onmiddellijk dat root certificaat verwijderd.

quote:

Op woensdag 22 maart 2017 09:39 schreef Aaargh! het volgende:

[..]

Fok is inderdaad onveilig zonder SSL, dat zouden ze inderdaad moeten aanpakken. Tegenwoordig is er geen enkele reden meer waarom je je site niet met SSL zou beveiligen.

Stroomverbruik. Denk aan het milieu jongen. Onnodig versleutelen.

quote:

Op dinsdag 28 maart 2017 04:30 schreef DevFreak het volgende:

[..]

Het afgelopen jaar heb ik hier twee keer over geklaagd bij de admins.

Ik denk dat het feit dat er tot op de dag van vandaag nog steeds persoonlijke gegevens onversleuteld over en weer gaan vooral te wijden is aan luiheid.

Ik heb Danny overigens ooit horen spreken over stroomverbruik als ik het mij goed herinner dus een gebrek aan kennis sluit ik ook niet helemaal uit.

Ik denk dat het clubje die de site beheert zich dood moet schamen.

Gebrek aan kennis sluit ik bij jou ook niet helemaal uit.

FB / No More Passwords over HTTP, Please!

quote:

Op dinsdag 28 maart 2017 06:48 schreef DevFreak het volgende:

[..]

Oh mooi, dank.

Ik had een iets te grote bek denk ik, maar het was nog vroeg

Veel te vroeg! Waar is mijn bed...