Considering online generation of certificate requests

Recently I’ve been researching what other Certificate Authorities do within the domain of online generation of certificate requests (and related private keys).

It is tricky territory: JavaScript and Crypto. Or more generic, webapplications and crypto. But with the advance of the WebCryptoAPI some issues that were raised (e.g. insufficient random number generation) by security experts have been addressed, but still: the WebCryptoAPI entry on MDN starts with a fair warning: “If you're not sure you know what you are doing, you probably shouldn't be using this API.”

Why think about a web implementation at all to create a certificate request? Typically tools to generate certificates are hard to use. Just look at the list of options a user has to generate certificates, which are typically all of…

Het groene slotje en Symantec

Veilige verbindingen zijn gebaseerd op een keten van vertrouwen. Browsers en computers vertrouwen standaard een beperkt aantal zogenaamde ‘root’-certificaten. Deze root certificaten kunnen gebruikt worden om een groen slotje te geven aan een site. Meestal gebeurd dat met een tussenliggend certificaat: De site betrouwbaar omdat deze Certificaat A heeft welke vertrouwd is omdat het ondertekend is door Certificaat B en Certificaat B wordt vertrouwd omdat het ondertekend is door een root certificaat (de keten kan complexer en langer zijn); een certificaat dat vastgelegd is in de browser of het besturingssysteem. Het is dus belangrijk dat een beheerder van een root certificaat er alles aan doet dat diens vertrouwen niet wordt geschonden. Dat is vorig jaar bij Symantec (het bedrijf dat bekend is geworden met Norton Utilities en later AntiVirus) gebeurd.

Certificaten mogen alleen worden uitgegeven aan eigenaren van een domeinnaam; certificat…

Let’s encrypt! It’s easy!

There important reasons to use HTTPS. It makes your systems more secure, helps to protect your users privacy, and will prevent others to hijack your account to deface your site.

If you’ve ever tried to secure your site you may have found how hard it is. You have to generate a private key, a certificate signing request, upload that request somewhere, pay, process the e-mail, upload the certificate, configure your server and set a reminder that in 1, 2, 3 or 5 years you’ve got to go through most of that same process again (which I described before in more detail in an earlier "how I do it"-article. Well, no longer! Enter: Let’s encrypt.

> Actually, Let’s encrypt is so easy that I had doubts whether I should even write this post. But maybe it wins an extra soul or two over.

The recommended way to get sta…

Vertrouwen in internet communicatie

Soms vinden er transacties plaats op het internet waar niet iedereen de inhoud van mag weten. Om dat te kunnen garanderen moet de inhoud versleuteld zijn. En dat niet alleen: jij moet zeker weten dat je het stuurt naar de juiste ontvanger, en de ontvanger moet zeker weten dat jij het bent zodra deze iets terugstuurt. Hiervoor is TLS/SSL uitgevonden waar bij de ontvanger zich identificeert met een certificaat. Certificaten worden over het algemeen uitgegeven door een bedrijf dat vertrouwd wordt door de makers van een browser. Het is enigszins vergelijkbaar met hoe werkgevers een diploma vertrouwen dat is uitgegeven door een Nederlandse school omdat deze wordt gecontroleerd door de overheid. Vertrouwd een browser het niet dan krijg je een waarschuwing te zien. Vertrouwd de browser het wel dan staat er een slotje in beeld en/of is de adresbalk veelal groen.

Als iedereen zich aan de regels houdt en het vertrouwen niet schaadt werk…