Considering online generation of certificate requests

Recently I’ve been researching what other Certificate Authorities do within the domain of online generation of certificate requests (and related private keys).

It is tricky territory: JavaScript and Crypto. Or more generic, webapplications and crypto. But with the advance of the WebCryptoAPI some issues that were raised (e.g. insufficient random number generation) by security experts have been addressed, but still: the WebCryptoAPI entry on MDN starts with a fair warning: “If you're not sure you know what you are doing, you probably shouldn't be using this API.”

Why think about a web implementation at all to create a certificate request? Typically tools to generate certificates are hard to use. Just look at the list of options a user has to generate certificates, which are typically all of…

Het groene slotje en Symantec

Veilige verbindingen zijn gebaseerd op een keten van vertrouwen. Browsers en computers vertrouwen standaard een beperkt aantal zogenaamde ‘root’-certificaten. Deze root certificaten kunnen gebruikt worden om een groen slotje te geven aan een site. Meestal gebeurd dat met een tussenliggend certificaat: De site betrouwbaar omdat deze Certificaat A heeft welke vertrouwd is omdat het ondertekend is door Certificaat B en Certificaat B wordt vertrouwd omdat het ondertekend is door een root certificaat (de keten kan complexer en langer zijn); een certificaat dat vastgelegd is in de browser of het besturingssysteem. Het is dus belangrijk dat een beheerder van een root certificaat er alles aan doet dat diens vertrouwen niet wordt geschonden. Dat is vorig jaar bij Symantec (het bedrijf dat bekend is geworden met Norton Utilities en later AntiVirus) gebeurd.

Certificaten mogen alleen worden uitgegeven aan eigenaren van een domeinnaam; certificat…

De eerste Symantec certicaten worden binnenkort niet langer meer vertrouwd

Vanaf 15 maart worden er meerdere zogenaamde root-certificaat van Symantec (het bedrijf dat bekend is geworden met Norton Utilities en later AntiVirus) niet officieel meer ondersteund, omdat Symantec haar taak niet serieus nam. Symantec heeft het uitgeven van certificaten uitbesteed aan andere partijen en door gebrekkig toezicht op deze partijen heeft het kunnen voorkomen dat er ten onrechte certificaten zijn verstrekt aan derden die geen eigenaren waren van de domeinnaam. Dit wordt beschouwd als een grove schending van vertrouwen, en daarom gaan browsers zoals Chrome en Firefox certificaten van Symantec niet langer meer vertrouwen. Dit heeft uiteindelijk als gevolg dat sites met certificaten van Symantec een melding krijgen dat de sites niet vertrouwd worden.

Het terugtrekken van vertrouwen gaat wel gefaseerd. In eerste instantie wordt er gestart met certificaten uitgegeven voor 1 juni 2016. Halverwege april heeft dit daadwerkelijk effec…

Let’s encrypt! It’s easy!

There important reasons to use HTTPS. It makes your systems more secure, helps to protect your users privacy, and will prevent others to hijack your account to deface your site.

If you’ve ever tried to secure your site you may have found how hard it is. You have to generate a private key, a certificate signing request, upload that request somewhere, pay, process the e-mail, upload the certificate, configure your server and set a reminder that in 1, 2, 3 or 5 years you’ve got to go through most of that same process again (which I described before in more detail in an earlier "how I do it"-article. Well, no longer! Enter: Let’s encrypt.

> Actually, Let’s encrypt is so easy that I had doubts whether I should even write this post. But maybe it wins an extra soul or two over.

The recommended way to get sta…

Setting up https/spdy communication for your website with nginx

In case you do something with user accounts on your website, you definitely want to make sure you're using https. In general it protects the user's privacy, also when just reading content on your website. The only thing that can be seen by a middleman is that the person is viewing something at your server, the rest is all encrypted. And since Google has started to rank https-websites higher it has even become a SEO technique :) ). This article explains you how to serve your pages over https.

Update: a better option exists nowadays for non-domain validated certificates: Let's encrypt!

While the path to your server from someones desktop could be considered relatively ok in the past (harder to tap, putting a lot of trust in everything from the ISP to the internet exchanges and everything else in between), things have changed now. Wit…

Vertrouwen in internet communicatie

Soms vinden er transacties plaats op het internet waar niet iedereen de inhoud van mag weten. Om dat te kunnen garanderen moet de inhoud versleuteld zijn. En dat niet alleen: jij moet zeker weten dat je het stuurt naar de juiste ontvanger, en de ontvanger moet zeker weten dat jij het bent zodra deze iets terugstuurt. Hiervoor is TLS/SSL uitgevonden waar bij de ontvanger zich identificeert met een certificaat. Certificaten worden over het algemeen uitgegeven door een bedrijf dat vertrouwd wordt door de makers van een browser. Het is enigszins vergelijkbaar met hoe werkgevers een diploma vertrouwen dat is uitgegeven door een Nederlandse school omdat deze wordt gecontroleerd door de overheid. Vertrouwd een browser het niet dan krijg je een waarschuwing te zien. Vertrouwd de browser het wel dan staat er een slotje in beeld en/of is de adresbalk veelal groen.

Als iedereen zich aan de regels houdt en het vertrouwen niet schaadt werk…