Mitä verifiointiasiantuntija tekee työkseen?

Aika usein ihmiset keskustelevat työelämästään ja työtilanteestaan. Näinä päivinä keskusteluun on varmasti tullut mukaan myös etätyökuvioista päivittely.

Toimin kolmatta vuotta Wesentralla verifiointiasiantuntijan tehtävissä ja olenkin usein kertonut työstäni lähipiirille ja siitä kiinnostuneille. Riippuen seurasta, olen saattanut todeta vain, että toimin it-alalla. Jos kerron, että olen verifiointiasiantuntija it-alalla, kertoo se joillekin alalla toimiville jo jotain, mutta suurimmalle osalle ei mitään. Jokainen tietää suunnilleen, mitä lääkäri tai putkimies tekee, mutta mitä verifiointiasiantuntija tekee työkseen?

Kun olen kansantajuisesti kertonut kanssaihmisille, mitä SSL/TLS-sertifikaatti tai varmenne tarkoittaa, on osa kuuntelijoista jo liuennut paikalta. Ne, ketkä ovat kiinnostuneita tietämään, miten minä kuulun jännittävään sertifikaatin hankintaprosessiin, jatkavat keskustelua kanssani työtehtävästäni.

Verifiointiasiantuntijan tulee ensimmäiseksi suorittaa Certificate Authorityn määrittelemä testi, jotta hän saa tehdä verifiointeja. Tämä testi uusitaan vuosittain. Verifiointiprosessissa noudatetaan CA/Browser Forumin ohjeita, jotta varmenne myönnetään tietoturvallisesti oikealle organisaatiolle. Tuossa taikasanat: oikealle organisaatiolle. Suomessa yrityksen perustaminen ja siitä ilmoittaminen on systemaattinen prosessi ja suomalaisten yritysten ja organisaatioiden tiedot pystytään helposti tarkistamaan Yritys- ja yhteisötietojärjestelmästä (www.ytj.fi). Suomessa pystymme luottamaan myös siihen, että tiedot virallisissa rekistereissä ovat oikein.

Emme voi olla täysin varmoja kuitenkaan kaikkien maailman yritysten oikeellisuudesta, joten meidän tulee noudattaa yhteisesti sovittuja sääntöjä, jotta varmenne myönnetään oikealle taholle. Verifioinnissa tarkistamme nuo yrityksen organisaatiotiedot ja varmistamme vielä verifiointipuhelulla, että nimetty henkilö on juuri se oikea henkilö, jolla on yhteys varmennetta hakevaan organisaatioon. Sen lisäksi Entrust lähettää organisaation yhteyshenkilölle linkin sopimuksen hyväksymissivulle. Entrust auditoi jokaisen Wesentran tekemän verifioinnin, joten voidaan olla varmoja, että tiedot ovat oikein. Organisaation verifioinnin jälkeen verifioidaan myös domain, jolle varmenne ollaan myöntämässä.

Verifiointiaiheesta on kirjoitettu blogissamme myös aiemmin, jossa on osuvasti kysytty, että kuka on yrityksen tärkein työntekijä?

Ei EV-varmenteen näkyvyys kadonnutkaan!

Tietoturvamediassa on ollut kuluvan syksyn mittaan paljon esillä Googlen ja Mozillan päätös ottaa Chrome- ja Firefox-selaimista pois EV-tason SSL-varmenteiden näkyvyys. Lopputulos kuitenkin on, että kaikissa selaimissa Extended Validation -varmenteen käyttö näkyy edelleen selvästi. Sivun tuottavan organisaation nimi näkyy joko suoraan osoiterivillä tai yhden klikkauksen päässä. Verkkosivustolla kävijä pääsee helposti varmistumaan siitä, että on haluamallaan sivustolla eikä kalastelun uhrina.

Jatka lukemista ”Ei EV-varmenteen näkyvyys kadonnutkaan!”

”Kerros nyt miksi teitä ja Entrustia kannattaa käyttää, kun sertejä saisi ilmaiseksi mm. Let’s Encrypt:ltä?”

Tietohallintopäällikkö Teppo Kartano Rauman kaupungilta lähetti 12.9.2019 viestin:
”Moro, tuli tuossa juttua sertifikaateista ja niiden hinnoista. Kerros nyt miksi teitä ja Entrustia kannattaa käyttää, kun sertejä saisi ilmaiseksi mm. Let’s Encrypt:ltä? t. tka ”

Jatka lukemista ””Kerros nyt miksi teitä ja Entrustia kannattaa käyttää, kun sertejä saisi ilmaiseksi mm. Let’s Encrypt:ltä?””

Uudet domainien verifiointitavat käyttöön

Vuonna 2018 poistettiin käytöstä Suomessa yleisesti käytetty verifiointimetodi, joka perustui whois-tietoihin kirjattuun domainin omistajaan. Samaan aikaan GDPR aiheutti sen, että whois-tietoihin kirjatut yhteystiedot eivät ole enää oletuksena julkista tietoa. Näin menetettiin kaksi yleisesti käytettyä verifiointimetodia. CA Browser Forum on nyt tehnyt päätöksen lisätä kaksi uutta metodia verifiointiin, Email to DNS TXT Contact ja
Email to DNS CAA Contact .

Jatka lukemista ”Uudet domainien verifiointitavat käyttöön”

Muutoksia Domainien verifioinnissa

verifiointi_adjust_700x400

Olemme tiedottaneet alkukevään aikana asiakkaitamme muutoksesta verifioinnissa. Tässä myös aiheeseen liittyvä kooste blogikirjoituksen muodossa.

Tausta – CA/Browser Forumin päätös

Kaikkia varmentajia säätelevä CA/Browser Forum on päättänyt, että 1.8.2018 alkaen kaikkien Certificate Authority (CA) -toimijoiden tulee verifioida domainit muuten, kuin WHOIS-tietoihin kirjatun omistajatiedon perusteella. Tämä muutos koskee kaikkia varmentajia.

Jatka lukemista ”Muutoksia Domainien verifioinnissa”

Apua asiakkaille sopivan varmennustason valintaan (DV/OV/EV)

Alla oleva artikkeli on julkaistu Turvallisuus & Riskienhallinta -lehden numerossa 9/2017. Sen tavoitteena on antaa https-sivustoa kaipaavalle organisaatiolle yleistajuisesti tietoa siitä, minkä tasoinen varmenne sivuille kannattaa hankkia: DV, OV vai EV.

Tietoturvallisten verkkosivujen kolme tasoa -artikkeli löytyy tästä

K1

K3

K2

Lisää tietoa: info(at)wesentra.com    tai      https://www.wesentra.com

Vieraskynä: Miksi halusimme EV-varmenteen?

olet_varmasti_saitilla_700x400

Tämä sami_suni_statementingressi on Wesentran kirjoittama – varsinainen vieraskynä-osuus alkaa alempaa.

Näemme lisääntyvää kiinnostusta EV-varmenteiden käyttöön. Tässä Sami Suni, Showellin perustaja ja CEO kertoo mitä hyötyä Showellille on EV-varmenteesta.

<** Samin oma teksti alkaa tämän jälkeen **>

 

Meille EV-varmenne oli tärkeä, koska halusimme, että uskottavuus niin Suomessa kuin KV-markkinassa on mahdollisimman hyvä.

EV-varmenteen avulla yrityksemme näyttää isommalta/uskottavammalta ja meille myös tietoturvanäkökulma on tosi tärkeä, eli haluamme kaikessa viestiä sitä, että olemme luotettava ja varma kumppani.

Ja näyttäähän tuo paremmalta osoiterivillä 🙂

Showell

Wesentralta saimme asiantuntevaa ja aktiivista palvelua. Asiat etenivät sovitusti ja saimme selkeää tietoa siitä mitä missäkin vaiheessa tapahtuu. Olemme tyytyväisiä.

Ystävällisesti,
Sami

Lisää tietoa: info(at)wesentra.com     tai      https://www.wesentra.com/

Yrityksen tärkein työntekijä?

keyhole_700x400Tämä kysymys taitaa liittyä yleensä enemmän pikkujoulujen loppuiltaan kuin arkiseen työkeskusteluun. Näin SSL-varmenteita toimittavassa yrityksessä tämä tuli kuitenkin mainiosti esille vastikään, joten tämä on hyvä jakaa.

Olemme Wesentrassa keskenämme useaan otteeseen todenneet, että palvelu on tärkein voimavaramme. Jos asiakkaat voivat ongelmatilanteessa – joka usein on kiireinen – saada meiltä apua, niin täytämme yrityksemme tehtävän. Miellämme tällöin tilanteen helposti jonkun teknisen ongelman ratkaisemiseksi. Jatka lukemista ”Yrityksen tärkein työntekijä?”

Lisäävätkö ilmaiset DV-varmenteet tietoturvaa vai kärsiikö SSL-lukko inflaation?

phishing_700x400

”LetsEncrypt oli myöntänyt 8.12.2016 mennessä 409 SSL-varmennetta domaineille, joiden nimessä oli sana ’Paypal’. Tähän aamuun mennessä tuo määrä oli 709.”

Eric Lawrence kirjoitti tämän Text/Plain -blogissaan 16.1.2017.

On selvää, että kun rikolliset tahot saavat DV-tason SSL-varmenteet ilman tietojen antamista tai luottokortin käyttöä, ovat myös kaiken maailman heppoiset kalastelusivut SSL-lukon suojaamia. Ja useat käyttäjät eivät ymmärrä eroa DV ja OV/EV -varmenteiden välillä.

Pitäisikö syyttää Let’s Encryptiä tämän mahdollisuuden luomisesta? Tuskin. Määrätietoiset rikolliset saisivat kyllä DV-varmenteensa usein muutenkin. Josh Aas (Executive Director, ISRG = LetsEcryptin taustavoima) kirjoitti 29.10.2015 hyvän näkemyksen LetsEncryptin tarkoitusperistä:

”Since we announced Let’s Encrypt we’ve often been asked how we’ll ensure that we don’t issue certificates for phishing and malware sites. The concern most commonly expressed is that having valid HTTPS certificates helps these sites look more legitimate, making people more likely to trust them.

Deciding what to do here has been tough. On the one hand, we don’t like these sites any more than anyone else does, and our mission is to help build a safer and more secure Web. On the other hand, we’re not sure that certificate issuance (at least for Domain Validation) is the right level on which to be policing phishing and malware sites in 2015. This post explains our thinking in order to encourage a conversation about the CA ecosystem’s role in fighting these malicious sites. …”

Miten loppukäyttäjä voi olla varma siitä, ettei anna tietojaan rikollisten käyttöön? Kenellä on vastuu sen tarkastamisesta, että web-sivuston tarkoitusperä on laillinen: selaimien toimittajille, sivustojen tekijöillä, varmenteiden toimittajilla, loppukäyttäjillä? Tämä keskustelu käy kuumana.

OV/EV -varmenteiden toimittajat haluaisivat, että käyttäjä näkisi selvästi eron OV ja DV -varmenteen välillä. Tavoitteena on sen tiedon levittäminen, että DV-tason SSL-lukko ei takaa sivuston toimittajasta tai tarkoitusperistä mitään. Ja että OV-tasoisen SSL-lukon julkaisijaorganisaation on tarkistanut luotettava kolmas taho (toki tällöinkään varmentaja ei osaa sanoa, minkä laatuista palvelua organisaatio tarjoaa). EV-lukkohan on jo eri näköinen ja iso osa käyttäjistä osaa vaatia sitä esimerkiksi web-kaupoissa.

Wesentran näkökulmasta tärkeintä tässä vaiheessa on tiedon jakaminen DV/OV/EV -eroista. Ja oman työmme tekeminen niin hyvin, että kaikki varmentamamme OV/EV -sivustot todella ovat niiden organisaatioiden julkaisemia, joiden nimi lukee varmenteessa.

Lisää tietoa:   info (at) wesentra.com       tai       https://www.wesentra.com

 

 

Vieraskynä Entrust Datacardilta: Verifiointiprosessi ulkomailla

swimming_computer

stephen_demone(Tämä artikkeli julkaistaan yhtä aikaa myös englanniksi)

Artikkelin kirjoittaja on Stephen Demone, joka työskentelee verifiointiasiantuntijana Entrust Datacardilla Ottawassa, Kanadassa. Verifiointiosaamisensa lisäksi Stephen on jo kannuksensa ansainnut kirjailija neljällä novellillaan sekä jääkiekkokirjoituksillaan foorumilla SBNation web site.

Tässä artikkelissa Stephen käsittelee verifiointiprosessia ja sen haasteita – erityisesti vieraissa kulttuureissa ja vierailla kielillä. Hän kertoo myös Entrust Datacardin ja Wesentran yhteistyöstä esimerkiksi seuraavaa:

”Paikallinen edustus kohdemaassa on tehokkain tapa palvella tiettyä kohdemarkkinaa mahdollisimman ketterästi. …  Paikallisesti alueisiinsa kytkeytyneet varmentajat ovat lisäksi paremmin selvillä tietojen saatavuudesta – …”

<** Stephenin oma teksti alkaa tämän jälkeen … Lue lisää **>

Jatka lukemista ”Vieraskynä Entrust Datacardilta: Verifiointiprosessi ulkomailla”