Inleiding op Extended Validation (EV) SSL / TLS

Transcriptie

1 Inleiding op Extended Validation (EV) SSL / TLS Het vertrouwen van bezoekers vergroten, merkidentiteit integreren en de legitimiteit van sites bewijzen Over GlobalSign VS: of sales@globalsign.com GlobalSign is de grootste aanbieder van vertrouwde identiteits- en beveiligingsoplossingen waarmee bedrijven, grote ondernemingen, cloudserviceproviders en IoT- UK: vernieuwers wereldwijd hun online communicatie kunnen beveiligen, miljoenen EU: geverifieerde digitale identiteiten beheren en authenticatie en encryptie automatiseren. Zijn grootschalige Public Key Infrastructure (PKI) en identiteitsoplossingen ondersteunen de miljarden services, apparaten, mensen en dingen die deel uitmaken van het internet der dingen. Copyright 2017 GlobalSign. Lit nummer 00/00

2 Inhoud Inleiding... 3 Beveiligd betekent niet noodzakelijk veilig... 3 Het belang van identiteit... 4 EV SSL-certificaten... 4 OV SSL-certificaten... 5 Besluit: voor wie is EV SSL bedoeld?

3 Inleiding SSL/TLS 1, het cryptografische protocol achter https, is niet langer een leuk extraatje voor websites. Sitebezoekers zijn op zoek naar, en verwachten, een hangslot in de adresbalk van uw site, en de belangrijkste browsers hebben plannen aangekondigd om alle HTTP-sites te markeren als 'niet veilig'. In de toekomst zal SSL waarschijnlijk een vereiste zijn voor iedereen die een website heeft. Soorten SSL SSL is beschikbaar in drie vertrouwensniveaus. Alle drie niveaus versleutelen de communicatie tussen server en client, maar vermelden andere identiteitsgegevens in het certificaat en worden op een andere manier weergegeven in browsers. Domain Validated (DV) enkel administratieve controle van het domein wordt gecontroleerd. Hackers kunnen vrij gemakkelijk een DV kopen en gebruiken op een phishingwebsite; u kunt niet controleren wie er achter de website zit. Organization Validation (OV) de identiteit van de organisatie wordt gevalideerd en vermeld in het certificaat, maar er wordt geen extra informatie in de browser weergegeven. Extended Validation (EV) de identiteit van de organisatie wordt streng gecontroleerd en browsers geven de naam van de organisatie in de URL weer. Beveiligd betekent niet noodzakelijk veilig Omdat het toegenomen gebruik van SSL over het algemeen een goede zaak is, betekent meer encryptie ook een betere beveiliging. Of toch niet? Phishingsites en andere schadelijke sites beginnen te profiteren van deze "hangslot=veilig" mentaliteit door eenvoudige SSL-certificaten te installeren die er legitiem en veilig uitzien. In realiteit garanderen certificaten van het laagste niveau alleen dat de eigenaar werkelijk verantwoordelijk is voor het domein (vandaar de naam Domain Validation [DV] SSLcertificaat). De entiteit achter de site wordt niet gecontroleerd. Iemand die bijvoorbeeld de phishingsite "paypall.com" runt, moet alleen bewijzen dat hij de eigenaar is van het domein; er wordt niet gecontroleerd of PayPal werkelijk achter de site zit. De meeste openbare certificeringsinstanties (CA's) die SSL-certificaten uitgeven, voorzien controles die dit ongewenste gedrag opsporen en voorkomen dat phishers SSL kopen, maar door de opkomst van gratis SSL-services, die vaak niet over de middelen beschikken om deze controles uit te voeren, blijven phishers vaak onopgemerkt. Hiermee willen we aantonen dat er meer komt kijken bij sitebeveiliging dan enkel encryptie. Uw merkidentiteit bewijzen dat uw site legitiem en geen phishingsite is wordt steeds belangrijker. In deze white paper bespreken we hoe belangrijk het is om uw bedrijfsidentiteit een belangrijke plaats te geven op uw website en hoe u dit kunt realiseren met behulp van Extended Validation (EV) SSL. 1 Hoewel SSL-protocollen worden stopgezet en worden vervangen door TLS-protocollen, zijn de meeste mensen vertrouwd met de term SSL, en daarom gebruiken we deze hier voor de duidelijkheid. Gebruik onze gratis SSL Configuration Checker om na te gaan of u de juiste protocollen gebruikt. 3

4 Het belang van identiteit Als een website wordt versleuteld met SSL betekent dat nog niet dat de website ook veilig is. Zoals hierboven besproken, kan het een phishingsite zijn die een goedkoop basiscertificaat gebruikt om er veilig en betrouwbaar uit te zien. Typisch validatieproces voor EV-SSL Wanneer u encryptie echter koppelt aan identiteit, wordt het veel moeilijker om een site te vervalsen. Naast DV zijn er nog twee andere soorten certificaten die identiteit koppelen aan het domein: Extended Validation (EV)- en Organization Validated (OV)-certificaten. Om EV- en OV-certificaten te kunnen kopen, controleert de verlenende CA of de aanvrager het recht heeft om een specifiek domein te gebruiken en wordt de organisatie gevalideerd om de identiteit van de eigenaar te bewijzen. EV SSL-certificaten EV-certificaten bieden het hoogst mogelijke encryptieniveau en zorgen ervoor dat de organisatie achter de website zijn eigen geverifieerde identiteit kan tonen aan de bezoeker van de website. EV-certificaten bieden een sterke garantie dat de eigenaar van de website een grondige en gestandaardiseerde identiteitscontrole heeft ondergaan, vastgelegd in de EV-richtlijnen (een reeks validatieprincipes en beleidsrichtlijnen goedgekeurd door het CA/Browser Forum). Bij de identiteitscontrole van EV-certificaten moet de aanvrager bewijzen dat hij het exclusieve recht heeft om een domein te gebruiken, zijn juridische, operationele en fysieke bestaan bevestigen en bewijzen dat de entiteit toestemming heeft gegeven voor de uitgifte van het certificaat. 4

5 OV SSL-certificaten Hoewel OV-certificaten een beperkt bewijs van identiteit vereisen, zijn ze minder betrouwbaar dan EV-certificaten omdat deze identiteitsgegevens niet direct in de adresbalk worden weergegeven en ze door de browser op dezelfde manier worden behandeld als een DV-certificaat (bv. standaardhangslot en https). Het verschil tussen een OVcertificaat en een DV-certificaat is dat de bezoeker de bijkomende, gevalideerde bedrijfsgegevens te zien krijgt wanneer hij op het certificaat klikt. Dat biedt meer inzicht over wie achter de website zit en dit vergroot het vertrouwen. Besluit: voor wie is EV SSL bedoeld? EV SSL-certificaten geven uw geverifieerde merkidentiteit een belangrijke plaats op uw website en moeten worden gebruikt in alle toepassingen waarvoor zekerheid over de identiteit, zichtbaar vertrouwen en een sterke encryptie vereist zijn. Populaire websites die vaak het doelwit van phishingaanvallen zijn, zoals belangrijke merken, banken of financiële instellingen, gebruiken best EV SSL-certificaten voor alle openbare websites, maar ook websites voor het verzamelen van gegevens, verwerken van logins of online betalingen kunnen hun voordeel halen uit het verhoogde vertrouwen dat deze hogere klasse van SSL/TLS biedt. Dankzij EV SSL-certificaten kunnen ook minder bekende merken een standaard vertrouwensniveau gebruiken om te concurreren met bekende merken die al een gevestigde waarde op internet zijn. Digitale handel is gebaseerd op vertrouwen en EV-certificaten bieden het hoogste vertrouwensniveau dat de site beveiligd en veilig is. Over GlobalSign GlobalSign is de grootste aanbieder van vertrouwde identiteits- en beveiligingsoplossingen waarmee bedrijven, grote ondernemingen, cloudserviceproviders en IoT-vernieuwers wereldwijd hun online communicatie kunnen beveiligen, miljoenen geverifieerde digitale identiteiten beheren en authenticatie en encryptie automatiseren. Zijn grootschalige Public Key Infrastructure (PKI) en identiteitsoplossingen ondersteunen de miljarden services, apparaten, mensen en dingen die deel uitmaken van het internet der dingen. BE: NL: UK: