Ekspert til Google: Dårlig idé at droppe sikkerhedsstandard i Chrome
En amerikansk sikkerhedsekspert kritiserer nu Googles planer om at droppe en international standard for kontrol med SSL-certifikater.
Det sker, efter en udvikler fra holdet bag Google-browseren Chrome i et blogindlæg har kritiseret den nuværende standard for kontrol af tilbagekaldelse af certifikater.
Chrome-udvikleren klandrer metoden for at være usikker, fordi en fejl i online kontrol af tilbagekaldelse af certifikater ikke forhindrer brugerne i at gå ind på hjemmesiden, men fortsætter ind på siden på trods af fejl.
Browserne håndhæver simpelthen ikke kontrollen af frygt for, at det vil skabe stor frustration blandt brugerne, når de bliver nægtet adgang til mange sider med dårlig implementering af digitale certifikater.
Sikkerhedsekspert: Google ude på et sidespor
For at forhindre fejl, når Chrome skal kontrollere certifikaterne, vil en liste af tilbagekaldte certifikater fremover ligge lokalt, og blive opdateret af Google, skriver Chrome-udvikleren i indlægget.
Men den idé bryder sikkerhedseksperten Roger Grimes sig ikke om.
Han mener at Google er ude på et sidespor, når de dropper standarden, fordi det kan føre til, at andre også indfører sine egne standarder for, hvordan certifikater skal kontrolleres.
Sikkerhedseksperten påpeger også, at det vil lægge en stor byrde på dem, der udsteder certifikaterne, fordi de konstant skal holde Google opdateret.
Roger Grimes mener i stedet, at browserne skal håndhæve kontrollen og nægte brugerne adgang til sider med fejl i certifikatkontrollen.
Rettelse klokken 12.56: Det er ikke godkendte certifikater, som fremover skal lagres lokalt, men tilbagekaldte certifikater.
Kommentarer (3)
Version2-artiklen nævner det ikke, men der er også andre grunde til at skifte metode:
1) Den nuværende SSL-kontrol virker ikke hvis man ikke er på internettet (som fx hvis man er på en betaling-side før der åbnes adgang til internettet).
2) Det er ret langsomt at verificere certificatet på den nuværende måde, hvilket gør ssl uattraktivt for nogle sider.
3) Man efterlader et log-spor for certificat-udbyderen over hvilke sider man har besøgt, hvilket er et problem af privacy-hensyn.
Sikkerhedseksperten påpeger også, at det vil lægge en stor byrde på dem, der udsteder certifikaterne, fordi de konstant skal holde Google opdateret.
Den køber jeg ikke. Roger Grimes's argument er, at så skal CAerne lave en opdateringsmetode for hver browser-leverandør etc.. Men Google foreslår jo at det bare skal være en fil som hentes via en frit tilgængelig fil over HTTP - alle kan jo genbruge den fil.
Roger Grimes mener i stedet, at browserne skal håndhæve kontrollen og nægte brugerne adgang til sider med fejl i certifikatkontrollen.
Som han selv skriver i artiklen, så er det blevet prøvet, og kunne ikke tvinges igennem. Og der er stadig problemet med computer som ikke har fri adgang til Internettet. Det ville være en god feature hvis https også var sikkert selv om man ikke havde adgang til hele det globale Internet.
-
3 -
0
Jeg giver heller ikke meget for ham sikkerhedsgutten.
2) Det er ret langsomt at verificere certificatet på den nuværende måde, hvilket gør ssl uattraktivt for nogle sider.
Var jo at browsere allerede cacher svar...Jamen..så gør det jo nærmest allerede hvad google foreslår, de gør det bare kun for de certifikater de tidligere er blevet bedt om at tjekke. Han siger endda at browsere gør det i flere i dage, hivlket jo nærmest vil sige at alle browsere kan validere gyldige certifikater i lang tid?
-
2
-
0
Den fjerde kommentar på Roger Grimes blogsite siger simpelthen: God idé! Nu er der endnu en grund til at bruge Chrome. Men det var et godt stykke nede på siden.
-
0
-
0
Tilføj kommentar
