Onderzoek: Geen veilig versleuteld webverkeer mogelijk met meeste websites van archieforganisaties

Reacties

• • Verwijderde gebruiker
  • 1428928260

  Interessant Bob!

  Ter aanvulling over het belang versleuteld webverkeer (van http://openstate.pr.co/99689-onderzoek-geen-veilig-versleuteld-webverkeer-mogelijk-met-meeste-websites-van-de-overheid):

  "HTTPS staat voor HyperText Transfer Protocol Secure en is net als HTTP een protocol voor het afhandelen van aanvragen tussen een browser en server. Met behulp van een SSL-certificaat en het HTTPS protocol zijn browsers en servers in staat informatie die verstuurd moet worden te versleutelen en bij aankomst weer te ontsleutelen.

  [...]

  Op websites van de overheid vindt veel uitwisseling van gegevens plaats maar HTTPS beschermt niet alleen informatie die naar de overheid wordt gezonden maar beschermt ook de vertrouwelijkheid wat mensen lezen. Van websites van de overheid verwachten burgers dat ze veilig en betrouwbaar zijn en dat privacy wordt beschermd. Het lage aantal websites van de overheid die het HTTPS protocol gebruikt is opmerkelijk, omdat juist het Nationaal Cyber Security Centrum adviseert om alle websites die gevoelige gegevens verwerken te beschermen met HTTPS."

  
• • Christian van der Ven
  • 1429005900

  Kan me herinneren dat we als BHIC https op een aantal plekken moesten onderdrukken, aangezien er bijvoorbeeld gebruik werd gemaakt van widgets of formulieren die anders de mist in gingen. (Maar we staan toch nog netjes in het tweede lijstje, zie ik.)

  
• • Bob Coret
  • 1429009380

  Christian,

  Als een HTTPS-website inhoud (zoals bijv. plaatjes of iframe) weergeeft van een HTTP-website dan zie je vaak een foutmelding. Javascript van een HTTP-website wordt als beveiligingsmaatregel op een HTTPS-website niet uitgevoerd.

  Als je widgets (dus externe javascript) op je website hebt zul je eerst moeten achterhalen of deze ook via HTTPS beschikbaar is. Als deze beschikbaar is de HTTPS versie gebruiken (hetgeen zowiezo wijs is, ook op een HTTP-website). Als de widget niet via HTTPS beschikbaar is kun je natuurlijk ook besluiten om de widget als 'onveilig' te beschouwen en niet te gebruiken. Het is maar hoe principieel je op dit punt wilt zijn.

  Op Genealogie Online toon ik via een frame websites van archiefinstellingen (voor de Scans zoeken service), dit zijn veelal HTTP-websites. Specifiek voor deze "frame pagina's" heb ik een uitzonderingsregel gedefinieerd op de webserver, de rest van de  pagina's kan dan standaard (geforceerd) via HTTPS lopen. Maar door deze uitzondering kan ik geen HSTS gebruiken, dit is namelijk een oproep van de webserver aan de webbrowser om altijd alleen maar HTTPS te gebruiken.

  
• • Verwijderde gebruiker
  • 1429024080

  Bob, 

  dit klinkt heel verontrustend, maar wat is het risico van een niet HTTPS verbinding voor de bezoekers/gebruikers van een website? Heeft dat met het verzenden van formulieren te maken?

  Kun je daar wat meer over vertellen?

  Groet,

  Luud

  
• • Bob Coret
  • 1429033740

  Luud,

  HTTPS is de beveiligde tegenhanger van HTTP, het protocol dat gebruikt wordt om internetpagina’s op te vragen. HTTPS maakt gebruik van TLS/SSL en dat is weer een encryptie protocol om internet verkeer te versleutelen. HTTPS zorgt voor beveiliging door:

  1. versleuteling van de data die tussen de browser en de server wordt uitgewisseld (vertrouwelijkheid en authenticiteit), en,

  2. controle of de website waarmee je verbinding hebt wel de website is waarmee je verbinding denkt te hebben (vertrouwen)

  Afluisteren van netwerkverkeer is kinderspel. Door de versleuteling tussen browser en server kan niemand anders de inhoud bekijken (=vertrouwelijkheid). Versleuteld verkeer kun je wel afluisteren maar niet (tot zeer moeilijk) ontcijferen. Door de encryptie heb je daarnaast ook nog de zekerheid dat de inhoud niet is aangepast!

  Stel, ik ben bij in winkelcentrum Pieter Vreedeplein in Tilburg waar ik dankbaar gebruik maak van de gratis Wifi (*1). Ik surf naar http://www.stamboomnederland.nl/ en ik ga inloggen. Omdat deze website geen HTTPS biedt kan een ieder op hetzelfde netwerk (Wifi/kantoor/enz.) nu mijn e-mail adres en bijbehorende wachtwoord (*2) afluisteren (en misbruiken). Maar, het kan ook zijn, dat iemand een nep (niet van echt te onderscheiden) website heeft opgezet die (door het DNS aan te passen) wordt geserveerd in plaats van de echte website. Degene die de nepwebsite heeft opgezet krijgt zodoende mijn e-mail en wachtwoord.

  Wanneer StamboomNederland de website beveiligd middels HTTPS kan ik door controle van het SSL certificaat (het "slotje") controleren of het inderdaad de website van het Centraal Bureau Genealogie is. Als een tussenliggend netwerk component me een nepwebsite probeert voor te schotelen dan zal de browser waarschuwen dat het certificaat niet klopt. Alle communicatie die ik met de website heb kan niet worden afgeluisterd, niet door "wachtwoordgraaiers" en ook niet door inlichtingendiensten. De communicatie kan ook niet worden aangepast, niet de gegevens die een bezoeker aanlevert en niet de gegevens die een website biedt.

  Vanuit het oogpunt van de aanbieders (hier de archieforganisaties) is er enerzijds een wettelijke verplichting om het verzenden van persoonsgegevens (en dat zijn contact/inloggevens ook al) te beveiligen. Anderzijds is het een belangrijke service die je biedt: gebruikers weten zeker dat ze op de website van de archieforganisatie (of overkoepelend orgaan) zijn en dat informatie niet wordt afgeluisterd of aangepast door derden.

  De risico's bij patiënt en financiële gegevens zijn hoger dan openbare informatie bij archieven, en ook in landen waar je niet alles mag zien of zeggen is het risico hoger dan in Nederland, maar een archiefinstelling levert toch graag een veilige omgeving èn authentiek materiaal?

  Nog een klein voordeel voor de aanbieders: Google vind beveiliging belangrijk en gaat het als ranking factor gebruiken bij het indexeren van webpagina's.

  (*1) gebruik van openbare Wifi is niet veilig, gebruik daarom een VPN verbinding naar een vertrouwd punt, de VPN zorgt dan voor versleuteling (vertrouwelijkheid en authenticiteit) tussen client en VPN server. (*2) gebruik nooit hetzelfde wachtwoord voor verschillende diensten, als het wachtwoord bij één dienst is onderschept of op straat ligt kunnen hackers ermee niet op andere diensten inloggen.

  
• • Verwijderde gebruiker
  • 1429106040

  Bob,

  Dank voor je uitvoerige toelichting. Dat van die "(gratis) openbare wifi", dat wist ik al. 

  Wat nieuw voor me is: door https te gebruiken geef je een signaal af aan je klanten dat ze een goede website te pakken hebben die hen niet tot nadeel kan zijn. Dat vind ik wel een heel steekhoudend argument. Het verzenden van privacygevoelige informatie is bij onze website minder relevant. Als we weer formulieren gaan gebruiken, dan komt dat aspect ook nog om de hoek kijken.

  Nogmaals dank!

  
• • Verwijderde gebruiker
  • 1433241180

  Zet ons maar bij de lijst mét HTTPS :-) sinds vandaag!https://www.regionaalarchiefalkmaar.nl/Groeten Mark Regionaal Archief Alkmaar