De laatste tijd is er veel te doen rondom de veiligheid van SSL-certificaten. Zowel leveranciers Comodo, DigiNotar en GlobalSign zijn in het nieuws geweest dat er misbruik gemaakt is met hun certificaten.

Dat betekent niet dat certificaten uitgegeven door deze leveranciers per definitie onveilig zijn. Nuances zijn op zijn plaats.

Belangrijk is om te weten dat er grote verschillen zijn tussen de hack bij DigiNotar en de problemen die Comodo eerder dit jaar had. Allereerst is Comodo zelf als CA nooit gehacked, maar werd een Italiaanse partner van Comodo gehacked. Via deze partner werden de certificaten aangevraagd bij Comodo; de fout van Comodo was dat deze de partner dermate vertrouwde dat de certificaten direct werden aangemaakt en uitgegeven.

Comodo heeft vervolgens vrijwel direct geconstateerd dat er iets fout ging, wist exact welke certificaten onterecht waren uitgegeven en heeft deze vrijwel direct ingetrokken. Comodo heeft hierna op haar eigen initiatief en binnen enkele uren nadat de certificaten waren uitgegeven met Mozilla, Microsoft en andere browser fabrikanten contact opgenomen om samen met deze fabrikanten de certificaten in de browsers te blokkeren. Comodo heeft hierna uiteraard nog extra maatregelen genomen en het vertrouwen in haar partners sterk beperkt en procedures sterk aangescherpt. Zo is naar aanleiding hiervan automatisch domeinvalidatie voor alle bestellingen ingevoerd.

Bij DigiNotar was de situatie geheel anders; DigiNotar is zelf gehacked en heeft deze hack volledig verzwegen in een poging om hier mee weg te komen. Bij DigiNotar was de situatie verre van onder controle, zoals het rapport van Fox-IT ook laat zien. Het is helaas ook mogelijk dat er bij andere CA's certificaten verkeerd zijn uitgegeven, maar dat deze CA's met het verzwijgen hiervan wel succesvol zijn weggekomen.

Comodo heeft in onze ogen dus juist uitstekend gehandeld en het enige juiste gedaan. Wij zien Comodo hierdoor juist als een betrouwbare partner, het is een bedrijf dat bewezen heeft om eerlijk voor zijn fouten uit te komen. Helaas worden fouten nu eenmaal gemaakt, ook in de SSL industrie.

Mocht u twijfels hebben over de keuze van een SSL-certificaat leverancier, alterNET biedt de certificaten aan van Thawte, Comodo, Verisign en GeoTrust. Neem contact op met sales via sales(at)alternet.nl of via 078 635 1200 indien u vragen heeft.