[Algemeen] Beveiligde verbindingen niet langer veilig voor overheidsbemoeizucht

[Dennis Hagens]

Not sure of hier al op geantwoord was.

Het probleem zit hem bij de CA, de partij die je vertrouwd in het
beantwoorden van de vraag "is pietje wel echt pietje?".
Zodra ze gaan zeggen, ja dat is pietje, terwijl het stiekem Dhr O. Verheid
is, misbruiken ze het vertrouwen en zie daar de zwakke schakel van PKI.

VPN wordt op heel veel (in mijn ervaring nog op practisch iedere) plaatsen
op basis van pre-shared keys gedaan, en als het al op basis van
certificaten (ja dat kan namelijk ook) gaat, heb ik het nog niet via een
PKI structuur toegepast gezien.

VPN is dus niet per definitie vulnerable, maar wat ik er zo over weet is
dat het wel mogelijk is om VPNs te maken op basis van certificaten en op
basis van PKI te controleren of het certificaat valide is. Het probleem
hierbij is hetzelfde als bij SSL, je gaat een instantie vertrouwen in het
beantwoorden van je vraag "is pietje wel echt pietje ?".
Wat je echter op een VPN Gateway iets beter kan regelen dan aan de
client's browser kant is welke CA's je trust. Zodoende kan je iets
selectiever zijn in welke partijen je vertrouwd.


<knip>

> Is VPN hier ook gevoelig voor? Dat werkt voor zover ik weet niet met/via
> SSL,
> maar ik zou het niet gek vinden als de overheid ook dáárin mee kon
> kijken...
>