Microsoft gaat onveilige Chinese certificaten verwijderen.

Gebruikersavatar
r2504
Deel van't meubilair
Deel van't meubilair
Berichten: 27069
Lid geworden op: 28 Okt 2003
Bedankt: 1806 keer
Recent bedankt: 16 keer
Uitgedeelde bedankjes: 309 keer

Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor r2504 » 08 Aug 2017, 15:53

Microsoft today announced that they will remove WoSign and StartCom certificates in Windows 10. WoSign and StartCom are Chinese Certificate Authorities (CAs) issuing digital certificates. According to Microsoft, these CAs have failed to maintain the standards set by Microsoft. They have been following unacceptable security practices include back-dating SHA-1 certificates, mis-issuances of certificates, accidental certificate revocation, duplicate certificate serial numbers, and multiple CAB Forum Baseline Requirements (BR) violations.

Bron: https://mspoweruser.com/microsoft-remov ... practices/

CCatalyst
Elite Poster
Elite Poster
Berichten: 956
Lid geworden op: 20 Jun 2016
Bedankt: 87 keer
Recent bedankt: 1 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor CCatalyst » 08 Aug 2017, 16:59

Dat gaat over dezelfde issuers als in de Tijd voor https topic.

Apple en Google hebben die al eerder verwijderd.

Wel nogal pochen van Microsoft "these CAs have failed to maintain the standards set by Microsoft", het zijn vooral vrijwilligers bij Mozilla die het detectivewerk uitgevoerd hebben, Microsoft neemt hun conclusies gewoon over.

FlashBlue
Moderator
Moderator
Berichten: 1784
Lid geworden op: 20 Jan 2006
Locatie: Gent
Bedankt: 265 keer
Recent bedankt: 22 keer
Uitgedeelde bedankjes: 1000 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor FlashBlue » 08 Aug 2017, 18:32

Goh, er zal wel het nodige doublechecking werk zijn aan voorafgegaan hoor.
Het is altijd beter om zelf je onderzoek te doen en conclusies te trekken, dan te werk te gaan op de observaties van vrijwilligers (Of ze nu van mozilla zijn of niet)

Dat gezegd zijnde ligt de bal nu natuurlijk volledig in het kamp van iedereen die nog die certs gebruikt, om asap de switch te maken naar certs die wel nog trusted zijn... K ben curieus.

Gebruikersavatar
MaT
Elite Poster
Elite Poster
Berichten: 1034
Lid geworden op: 18 Feb 2014
Locatie: Gent
Bedankt: 114 keer
Recent bedankt: 2 keer
Uitgedeelde bedankjes: 110 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor MaT » 08 Aug 2017, 18:38

De titel zou toch in het nederlands mogen vertaald worden, anders lijkt het knip en plakwerk van een spambot.

Je hebt een punt. Done!
-Met name de kosten in verband met de eindapparatuur (modem, settopbox, ...) zouden beperkt kunnen worden, als die toestellen hergebruikt zouden kunnen worden of vrij gekozen worden door de klant- Bron

CCatalyst
Elite Poster
Elite Poster
Berichten: 956
Lid geworden op: 20 Jun 2016
Bedankt: 87 keer
Recent bedankt: 1 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor CCatalyst » 08 Aug 2017, 20:27

FlashBlue schreef:Dat gezegd zijnde ligt de bal nu natuurlijk volledig in het kamp van iedereen die nog die certs gebruikt, om asap de switch te maken naar certs die wel nog trusted zijn... K ben curieus.


userbase.be :? :???:

Gebruikersavatar
meon
Administrator
Administrator
Berichten: 15581
Lid geworden op: 18 Feb 2003
Twitter: meon
Locatie: Bree
Bedankt: 506 keer
Recent bedankt: 10 keer
Uitgedeelde bedankjes: 442 keer
Contact:

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor meon » 08 Aug 2017, 20:47

Ik heb Subke gevraagd te kijken naar de foutmelding die OpenSSL mij presenteert zodat ik Let's Encrypt kan gebruiken... Daarnaast valt het me op dat SSL in het algemeen best wel duur is eigenlijk, zelfs zonder Organisation Validation of EV.

Verstuurd vanaf mijn SM-G930F met Tapatalk

ITnetadmin
Elite Poster
Elite Poster
Berichten: 5940
Lid geworden op: 28 Jan 2012
Bedankt: 447 keer
Recent bedankt: 5 keer
Uitgedeelde bedankjes: 82 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor ITnetadmin » 09 Aug 2017, 04:04

Tja; eigenlijk zou de beheerder van het TLD certs moeten aanbieden aan een aanvaardbare kost, of zelfs inbegrepen in de domain registration prijs; in het geval van .be zou dns.be dus eigenlijk de nodige certs moeten aanbieden, vind ik.

Gebruikersavatar
r2504
Deel van't meubilair
Deel van't meubilair
Berichten: 27069
Lid geworden op: 28 Okt 2003
Bedankt: 1806 keer
Recent bedankt: 16 keer
Uitgedeelde bedankjes: 309 keer

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor r2504 » 09 Aug 2017, 09:06

meon schreef:Daarnaast valt het me op dat SSL in het algemeen best wel duur is eigenlijk, zelfs zonder Organisation Validation of EV.


Wat is duur volgens jou... 3.99 dollar via https://cheapsslsecurity.com/promotion/ ... ffers.html

Daar kan je de moeite van een Let's Encrypt zelfs niet voor doen.

Gebruikersavatar
meon
Administrator
Administrator
Berichten: 15581
Lid geworden op: 18 Feb 2003
Twitter: meon
Locatie: Bree
Bedankt: 506 keer
Recent bedankt: 10 keer
Uitgedeelde bedankjes: 442 keer
Contact:

Re: Microsoft gaat onveilige Chinese certificaten verwijderen.

Berichtdoor meon » 2 uur 23 minuten 59 seconden geleden (17 Nov 2017, 21:50)

En het is gedaan met StartCom/StartSSL
https://groups.google.com/forum/m/#!msg ... T-B5lgAQAJ

Let ook op de eerste reply :eek: .


Terug naar “Netwerken en Security”

Wie is er online

Gebruikers op dit forum: custk9 en 2 gasten