Certificaar fout

[Briolet]

Niet zo veilig, maar wel veiliger... Bij een officiële wordt....

Met wat nu bekend geworden is over de AIVD en het Amerikaanse PRISM project kun je je gaan afvragen wat veiliger is.  Veel officiële private sleutels zijn in bezit van de AIVD zodat ze https verkeer kunnen monitoren en de zelf gemaakte sleutels hebben ze niet. Die moeten ze eerst gaan kraken. En daar zijn wij waarschijnlijk niet belangrijk genoeg voor om er tijd in te stoppen.

[r00n]

Zal niet weten waarom de Nederlandse AIVD alle sleutels heeft van alle CA's, en dus ook de buitenlandse. Er is duidelijk aangegeven wat PRISM in de gaten houdt. Maar volgens mij heb jij ergens een bron die ik nog niet gevonden hebt. Kan je aangeven waar jij je kennis vandaan hebt?

[Briolet]

Het was een interview met een beveiliging kenner, gisteren op tv, waar verteld werd dat sommige partijen meewerken door sleutels af te staan. Volgens mij bedoelde hij encryptie sleutels. Anders kunnen ze ook geen Gmail berichten onderscheppen, zonder dat Google de mails zelf overhandigt. Dus, i.d.d. niet alle certificaten, maar die belangrijk geacht worden.
En in de media is vaker medegedeeld dat firmas als Google en facebook onder druk gezet worden door de Amerikanen om inzicht te geven in hun berichten verkeer. Niet door achteraf inzicht te geven, maar het mogelijk maken dat de NSA direct meeleest. Ook dat gaat alleen als ze de sleutels overhandigen. (Kraken van een goede sleutel kost tijd)

Maar ik moet toegeven dat het een beetje speculatief reageren was op berichten van gisteren.

[r00n]

Als dat het geval zal zijn, en Google en een Microsoft daar niets vanaf weet dan denk ik dat Microsoft vandaag nog zelf iets ontwikkeld had en dat er morgen een Windows update klaar zal staan. Bij wijs van spreken dan

Er worden door deze bedrijven garanties afgegeven en hebben een bepaalde status wat betreft vertrouwen. Wanneer er aan het licht komt dat een bedrijf sleutels deelt dan hebben ze heel snel geen klanten meer.

Daarbij kan ik nog steeds een Synology benaderen waar ik de juiste sleutel niet van heb, net zoals jij niet handmatig de key hebt geïnstalleerd van je bank bij het telebankieren. Het is alleen dat er een melding verschijnt wanneer het niet in orde is. Met een geldig SSL heb je in ieder geval zekerheid dat de gegevens die je intypt in ieder geval terecht komen op de server waar jij wilt dat ze terecht komen.

Ach ja... Misschien maar goed dat we niet alles weten... Maken we ons alleeb maar druk om dingen waar we mogelijk toch nooit wat mee te maken krijgen. )