Post by @ErikvanStraten@todon.nl

2026-06-10 11:21 UTC

@wiert@mastodon.social : Let's Encrypt en andere certificaten zijn geen "beveiligingscertificaten voor websites". Al jaren hebben website-certificaten nog slechts één doel: dat je weet met welke server jouw webbrowser een beveiligde verbinding opzet en heeft (sinds de invoering van "forward secrecy" spelen certificaten geen enkele rol meer bij de versleuteling van de verbinding). Bij gratis (Domain Validated) certificaten is die identificerende informatie beperkt tot de domeinnaam van de website. En daar heb je geen moer aan als je niet weet dat een gegeven domeinnaam *NIET* van de in de webpagina('s) gesuggereerde eigenaar is - die dus volstrekt anoniem kan blijven. Erger, bij "proxy-diensten" zoals Cloudflare en Fastly heeft jouw browser een versleutelde en geauthenticeerde verbinding met een Man-In-The-Middle-server van die proxy-dienst. Je hebt geen informatie over de feitelijke server; je weet diens IP-adres niet (waar je meestal het land uit kunt achterhalen) en je weet niet of en hoe de verbinding tussen de proxy-server en de uiteindelijke server beveiligd is. Terwijl op de proxy-servers alle uitgewisselde onversleutelde informatie ingezien en zelfs gewijzigd kan worden. Zie https://todon.nl/@ErikvanStraten/116611898320627731 (🧵) voor een voorbeeld. @wendyhk@mastodon.green @johan@social.codefor.nl @wlaatje@social.edu.nl #BigTechIsEvil #DVcerts #LetsEncryptIsEvil

Replies (1)

@ErikvanStraten@todon.nl 2026-06-10 12:24

Toelichting: je kunt een website-certificaat ruwweg vergelijken met een digitale kopie van een paspoort, een digitaal bestand echter voorzien van een digitale handtekening gezet door de certificaatuitgever. Die digitale handtekening zorgt ervoor dat elke wijziging (vervalsing) van het certificaat wordt opgemerkt. Tijdens het opzetten van een https-verbinding stuurt de server het certificaat naar de webbrowser. Het certificaat is dus *niet* geheim. De browser beschikt over een lijst met vertrouwde certificaatuitgevers en checkt of het certificaat geldig is (o.a. de geldigheidstermijn). Omdat een certificaat niet geheim is, zou elke server dit voor elke andere server kunnen versturen. Sterk vereenvoudigd moet de server echter, middels een wiskundige truc, bewijzen over het *originele* paspoort te beschikken voordat de webbrowser de https-verbinding (zonder certificaatfoutmelding) accepteert (hoe dit, nog steeds vereenvoudigd, werkt, leest u in https://security.nl/posting/884482). Domain Validated certificaten bevatten uitsluitend een domeinnaam als identificerende informatie, vergelijkbaar met een paspoort dat uitsluitend een (wereldwijd uniek) BSN als identificerend gegeven zou bevatten. Als u niet weet van wie dat BSN is, heeft u daar niets aan. @wiert@mastodon.social @wendyhk@mastodon.green @johan@social.codefor.nl @wlaatje@social.edu.nl #DVcertsSuck

Open ##5124274