Zoals u waarschijnlijk al weet, heeft internet geen gebrek aan cybercriminelen die uw geld en / of identiteit willen stelen. Misschien heb je zelf al geproefd - iets meer dan een jaar geleden kreeg ik te maken met een rekening van meer dan $ 700 voor een smartphone die op mijn naam was besteld! Wat je zou kunnen niet weten is hoe eenvoudig het is om een realistische, nepwebsite te maken om wachtwoorden, creditcardnummers en andere gevoelige informatie van nietsvermoedende slachtoffers te verzamelen. Dergelijke websites worden vaak opgezet als onderdeel van Phishing schema's - als u op een link in een scam-e-mail klikt die beweert afkomstig te zijn van een legitieme organisatie zoals een bedrijf of school, wordt u naar een nep-inlogpagina geleid waar de oplichters hopen dat u de sappige details zult opgeven.
En hier is het enge deel: Ongeveer driekwart van alle phishingwebsites heeft nu een SSL /TLS certificaat! Volgens de Anti-Phishing Working Group Rapport over trends in phishing-activiteiten voor het 4e kwartaal van 2019, 74% van de phishingwebsites gebruikt HTTPS. Het is voor aanvallers gratis en gemakkelijk om een DV-certificaat op een zwendelwebsite in te stellen, en uw webbrowser laat u graag weten dat het "veilig" is. Google Chrome zal zelfs suggereren dat het perfect in orde om uw wachtwoord of creditcardnummer in te voeren:
Natuurlijk, je verbinding is 'privé', zolang je het niet erg vindt dat het allemaal tussen jou en een of andere oplichter aan de andere kant is. Misbruik van gratis DV HTTPS is zo erg geworden dat de FBI een aankondiging van de openbare dienst op 10 juni 2019 stelt dat, "Vertrouw een website niet alleen omdat deze een vergrendelingspictogram of 'https' in de adresbalk van de browser heeft." A gedetailleerde studie uit 2019 van HTTPS phishing-websites, door Vincent Drury en Ulrike Meyer van RWTH Aachen University, weerspiegelt deze conclusie: "Het simpele gebruikersadvies om te controleren of een website HTTPS-beveiligd is, is niet langer effectief tegen phishing."
Ondanks deze ernstige problemen zijn de meeste grote webbrowsers onlangs verhuisd weg van het weergeven van gevalideerde informatie over website-eigenaren in de adresbalk van de browser voor sites die zijn beveiligd met Extended Validation (EV) -certificaten. De meeste browsers hebben ook de gebruikersinterface met de "groene balk" die voorheen een EV-beveiligde website aanduidde, verwijderd. Als gevolg hiervan zijn sommige bedrijven en andere organisaties afgestapt van EV-certificaten en beschermen ze hun websites met goedkope (of gratis) Domain Validated (DV) certificaten.
Een DV-websitecertificaat biedt gebruikers een zekere mate van bescherming door ervoor te zorgen dat de communicatie versleuteld is en dat de entiteit die de site beheert de domeinnaam beheerste toen ze het certificaat aanvraagde, maar het biedt geen zekerheid over wie de website daadwerkelijk bezit en exploiteert. Alleen een CA-gevalideerd EV- of OV-certificaat (Organization Validation) biedt deze informatie.
Hier leest u hoe u in deze populaire browsers kunt controleren of een website-eigenaar de extra moeite heeft gedaan om sitebezoekers te beschermen en te informeren door middel van EV- of OV-certificaten:
Om de onderstaande informatie samen te vatten, internet Explorer doet momenteel het beste werk om EV-informatie aan gebruikers te communiceren. Safari gebruikt nog steeds de gebruikersinterface van de "groene balk" om de EV-status aan gebruikers door te geven, maar er is nog steeds een klik voor nodig om de eigenaar van de site te identificeren. Chrome, Firefox en rand toon geen EV-indicatoren in de adresbalk en laat gebruikers zoeken naar gevalideerde informatie over de eigenaar van een website. Chrome voor macOS is bijzonder slecht en vereist drie klikken om deze informatie te bekijken (of zelfs te bepalen of deze bestaat).
Google Chrome
Deze screenshots zijn gemaakt in Chrome 80.0.3987.149 op Windows 10 Enterprise versie 1809.
1. Google Chrome geeft links van de URL een gesloten, donkergrijs slot weer voor alle SSL /TLS certificaten (DV, OV en EV):
2. Klik op het slotje voor meer informatie over het certificaat van een website.
3. Chrome laat zien dat de verbinding veilig is (versleuteld) en we kunnen zien dat het certificaat is afgegeven aan SSL Corp. U kunt meer gedetailleerde informatie krijgen door op te klikken Certificaat.
4. In het geopende venster kunt u details over de website-eigenaar bekijken door de te selecteren Onderwerp lijn op de Details tab. (Opmerking: In macOS wordt deze informatie weergegeven in een ander formaat dat vergelijkbaar is met Safari.)
Mozilla Firefox
Deze screenshots zijn gemaakt in Firefox 73.0.1 op macOS 10.14.6 (Mojave).
1. Firefox toont een donkergrijs slotje links van de URL voor alle SSL /TLS certificaten (DV, OV en EV).
2. Klik op het slotje voor meer informatie over het certificaat van een website.
3. Nu kunnen we zien dat het certificaat van de website is uitgegeven aan SSL Corp:
4. U kunt graven voor meer informatie door op te klikken > symbool aan de rechterkant van het dialoogvenster.
5. Nu kunnen we zien dat SSL Corp zich in Houston, Texas bevindt.
6. Als u meer gedetailleerde informatie wilt zien, klikt u op Meer informatie.
7. Er wordt een pagina geopend met volledige informatie over het certificaat en de vertrouwensketen. Informatie over de website-eigenaar wordt weergegeven onder de Onderwerp rubriek.
Microsoft Edge
Deze screenshots zijn gemaakt in Edge 80.0.361.66 (Chromium) op Windows 10 Enterprise versie 1809.
1. Edge geeft de omtrek weer van een gesloten slot links van de URL voor alle SSL /TLS certificaten (DV, OV en EV):
2. Klik op het slotje voor meer informatie over het certificaat van een website.
3. Edge laat zien dat de verbinding veilig is (versleuteld) en we kunnen zien dat het certificaat is afgegeven aan SSL Corp. U kunt meer gedetailleerde informatie krijgen door op te klikken Certificaat.
4. In het geopende venster kunt u details over de website-eigenaar bekijken door de te selecteren Onderwerp lijn op de Details Tab.
internet Explorer
Deze screenshots zijn gemaakt in Internet Explorer 11.11098.11763.0 op Windows 10 Enterprise versie 1809.
1. Voor EV-websites geeft Internet Explorer de adresbalk weer met een groene achtergrond. Rechts wordt een gesloten slot en de naam van de site-eigenaar weergegeven.
2. Voor DV- en OV-websites toont IE een slot, maar niet de bedrijfsnaam en groene achtergrond:
3. Klik op het slot om informatie over het website-certificaat te bekijken.
4. Hier kunnen we zien dat de site wordt beheerd door SSL Corp, uit Houston, Texas.
5. Klik op om meer informatie over het websitecertificaat te bekijken Bekijk certificaten.
4. In het geopende venster kunt u details over de website-eigenaar bekijken door de te selecteren Onderwerp lijn op de Details Tab.
Apple Safari
Deze screenshots zijn gemaakt in Safari 13.0.5 op macOS 10.14.6 (Mojave).
1. Voor EV-websites geeft Safari een groen slot en een domeinnaam weer:
2. Voor DV- en OV-websites geeft Safari een grijs slot en zwarte tekst weer:
3. Klik op het slot om informatie over het website-certificaat te bekijken:
4. Voor EV-websites wordt informatie over de website-eigenaar weergegeven:
5. U kunt meer informatie krijgen door op te klikken Certificaat weergeven knop:
6. Hier kunt u gedetailleerde informatie krijgen over het websitecertificaat en de hele vertrouwensketen die naar de root-CA leidt (in dit geval SSL.com).
7. U kunt details over het certificaat bekijken door op de driehoek links van te klikken Details.
8. U kunt gedetailleerde informatie over de website-eigenaar zien onder de Onderwerp rubriek.
