Misvatting over SSL maakt internetgebruikers kwetsbaar - Computerworld
Home / Security / Misvatting over SSL maakt internetgebruikers kwetsbaar
Het https-protocol beschermt niet tegen het downloaden van besmette content.
SSL is een welbekend protocol voor encryptie. De afkorting staat voor Secure Sockets Layer, wat direct aangeeft wat SSL doet: het plaatsen van een beveiligde laag tussen een server en een internet browser. Dit kan een misplaatst gevoel van beveiliging opwekken.
Men spreekt doorgaans nog steeds van SSL, terwijl we tegenwoordig al gebruik maken van de moderne versie TLS (Transport Layer Security). SSL-certificaten gebruiken het https-protocol van de browser om een beveiligde verbinding tot stand te brengen. De websitebezoeker is in zo'n geval verzekerd dat de gevonden server is wie hij zegt te zijn (authenticatie) en dat gegevens die met de website worden uitgewisseld, zijn versleuteld (encryptie).
Nu SSL (of eigenlijk dus TLS) gegroeid is tot het standaard protocol, maken cybercriminelen in toenemende mate gebruik van versleuteling om aanvallen te verhullen. Dit is mogelijk doordat SSL-certificaten, die in het verleden moeilijk te verkrijgen waren, inmiddels gemakkelijk en kosteloos verkrijgbaar zijn.
De gevaren van SSL-certificaten
De browser toont de aanwezigheid van zo'n certificaat met de toevoeging van de S achter http (wat staat voor secured), plus een (groen) slotje. Maar hiermee geeft het https-protocol een onterecht gevoel van veiligheid. Wanneer het kleine slotje voor de adresbalk staat, geloven veel mensen namelijk dat de website die zij bezoeken volkomen veilig is. Dat komt mede doordat bij tips voor veilig internetten vaak wordt gewezen te letten op het slotje. Dat slotje geeft dus echter geen garantie dat alles veilig is. Het laat alleen zien dat het transmissie-mechanisme van de website veilig is, wat inhoudt dat de 'tunnel' tussen jou en de website versleuteld is.
SSL zorgt er wel voor dat niemand 'meeluistert', maar kan daardoor ook worden misbruikt. Endpoint-beveiligingssoftware ontsleutelt doorgaans namelijk geen SSL-verkeer. Die software controleert enkel of er sprake is van een versleutelde tunnel, en dus blijft malware onopgemerkt die via een https-verbinding wordt verspreid. Daardoor vormt dit een grote bedreiging voor gebruikers die veronderstellen dat websites met een groen slotje volledig veilig zijn. Want het https-protocol beschermt niet tegen het downloaden van besmette content of het openen van een malafide link over een beveiligde verbinding.
Organisatie of gebruiker beschermen
Als organisatie is het kortom niet voldoende om te vertrouwen op SSL(TLS)-certificaten om je omgeving vrij te houden van dreigingen. Bij het beschermen van een organisatie is het cruciaal dat je begint met het beschermen van de privacy en veiligheid van de medewerkers op het web. Zij zijn immers de grootste resource van een organisatie. Dat begint met het in kaart brengen van de gevaren waaraan gebruikers online worden blootgesteld - en de enige manier om dat te doen, is door het SSL-verkeer te ontsleutelen.
Het ontsleutelen van dit type verkeer is, zoals gezegd, geen onderdeel van de meeste standaard endpoint-beveiligingssoftware, dus moet dit op een andere manier worden opgelost. Vaak wordt hiervoor (dedicated) hardware ingezet die SSL-verkeer decrypt en vervolgens weer re-encrypt. Deze hardware staat dan in de IT-omgeving van je organisatie. Maar het decrypten van SSL-verkeer is een zeer intensief klusje, waardoor het ook op dit punt verstandig lijkt om de gang naar de cloud te maken. Daar kun je zoals bekend nagenoeg oneindig doorschalen, wat gezien de almaar groeiende aantallen bedreigingen best eens nodig zou kunnen zijn.
Stan Lowe is Chief Information Security Officer (CISO) bij Zscaler Inc.
silentBill op 19 april 2019 om 22:52 Meld misbruik
Wat een crap load of onzin zeg: SSL-certificaten gebruiken het https-protocol van de browser Certificates gebruiken geen protocol ze zijn een onderdeel van SSL/TLS.
De browser gebruikt het certificate om het ontvangen verkeer te decrypten.
De websitebezoeker is in zo'n geval verzekerd dat de gevonden server is wie hij zegt te zijn (authenticatie)
Dit is ook weer zo'n complete misvatting van vandaag de dag.
Dat is slechts de origineel bedachte bedoeling van het protocol. Echter het protocol is dusdanig achterhaald en dusdanig simpel te breken dat het geen enkele vorm van zekerheid biedt. Je moet van heel goede huize komen wil je kunnen ontdekken dat je voor de gek gehouden wordt. Er zijn simpelweg véél te veel CA's die als vertrouwd gelden die 100% zeker onbetrouwbaar zijn.
Olaf2000 op 18 april 2019 om 14:44 Meld misbruik
Ik was voor het internet al kwetsbaar, so who cares.
Reactie gewijzigd op 18 april 2019 om 14:52
Quote Olaf2000
Bassman op 18 april 2019 om 13:33 Meld misbruik
..is het cruciaal dat je begint met het beschermen van de privacy en veiligheid van de medewerkers op het web.
...en de enige manier om dat te doen, is door het SSL-verkeer te ontsleutelen.
U bent af, komt niet langs start.
Reactie gewijzigd op 18 april 2019 om 14:21
uberbofh op 18 april 2019 om 14:14 Meld misbruik
Om te kunnen inspecteren en vervolgens weer te encrypten. Dat lijkt nogal een privacy schending om de privacy te beschermen.
Bassman op 18 april 2019 om 15:18 Meld misbruik
Precies. Prima hoor, om malware etc. te inspecteren, maar om dan te beweren dat dit een maatregel is die de privacy bevordert.. neuh.. integendeel.
Ook wel grappig om te zien dat deze types menen dat je wel even wat apparatuur ergens tussen propt die zo'n versleutelde verbinding voor je ontsleutelt alsof het niks is. Dat geeft een totaal verkeerde indruk. Om dit überhaupt te kunnen, zul je toch echt het gedrag het endpoint moeten kunnen beïnvloeden.
uberbofh op 18 april 2019 om 17:29 Meld misbruik
Blijkbaar kunnen deze types een echte "man-in-the-middle" as a service aan de man brengen. Maar snel vergeten.
uberbofh op 18 april 2019 om 12:21 Meld misbruik
Dat is van dezelfde orde als "Misvatting over Windows maakt internetgebruikers kwetsbaar"
Bijna geen enkele gebruiker die dat boeit. Wie er aan het eind van de ssl tunnel meekoekeloert ook niet.
Reactie gewijzigd op 21 april 2019 om 11:20
Zorba. op 18 april 2019 om 16:56 Meld misbruik
Ja, het is weer gelukt!
Volkomen off topic even op Windows bashen :)
Bewezen is dat met gebruik van Uber de privacy in ieder geval geschonden wordt. En op het gebied van veiligheid scoort hij ook bijzonder laag.