Gartner: ”Symantecin SSL-varmenteita käyttävä asiakas: tee pelisuunnitelma”

game_plan_700x400

Miten kirjoittaa tilanteesta, jossa kilpailija on ongelmissa? Myyjän perinteinen ohje on: ”Kerro omista vahvuuksista, älä kilpailijan heikkouksista”.

Kun ollaan kuitenkin tilanteessa, jossa tutkimuslaitos Gartnerkin on syyskuussa ehdottanut Symantecin SSL-varmenneasiakkaille varasuunnitelman tekemistä, lienee parasta kertoa avoimesti, miltä tilanne näyttää näin Entrust-edustajan silmin.

Alla olevan tarinan juoni pähkinänkuoressa on, että useat merkittävät koti- ja ulkomaiset organisaatiot ovat alkaneet käyttää Entrustin varmenteita Symantecin rinnalla. Kirjoituksen tarkoitus on osin kertoa, että tällainen varautuminen on Suomessakin helppoa eikä aiheuta isoja kustannuksia.

Jatka lukemista ”Gartner: ”Symantecin SSL-varmenteita käyttävä asiakas: tee pelisuunnitelma””

CA:t ehdottavat uutta yhtenäistä merkintätapaa SSL-varmenteille – tuoko tämä ratkaisun nykyiseen merkintöjen sekasortoon?

aurinko_pilvet_700x400

Aiemmin tilanne oli parempi

Kun SSL-varmenteet aikanaan otettiin käyttöön, sopivat selaintoimittajat yhteisestä merkintätavasta: Jos otsikkorivillä on lukon kuva, on liikenne salattua. Tilanne oli käyttäjän kannalta hyvä.

Tästä olemme joutuneet aikamoiselle suolle

Tämän jälkeen tilanne on muuttunut haastavammaksi. On DV-tasoista verifiointia, joka antaa vain salauksen ja jonka saa sivuilleen kuka tahansa sopivan sähköpostiosoitteen omistaja. OV-tasoisesssa verifioinnissa luotettava varmentaja on tarkastanut, että kyseinen organisaatio on olemassa ja on halunnut varmenteen. Ja EV-tasoisessa verifioinnissa tämä asia on tarkastettu johtoryhmätasolta.

Jatka lukemista ”CA:t ehdottavat uutta yhtenäistä merkintätapaa SSL-varmenteille – tuoko tämä ratkaisun nykyiseen merkintöjen sekasortoon?”

Tarvittavat toimet Symantec / VeriSign / Thawte / GeoTrust -varmenteille

muurahaiset_700x400Kun olemme seuranneet Googlen ja Symantecin välistä luottamuspulaa keväästä alkaen, lienee oikeus ja kohtuus että myös julkaisemme tässä blogissa ratkaisun, jonka Symantec on 7.10.2017 esittänyt artikkelissaan ”Information for Replacement of Symantec SSL/TLS Certificates”

Artikkeli kertoo, mitä toimenpiteitä Symantec/VeriSign/Thawte/GeoTrust -varmenteiden haltijoiden tulee tehdä, jotta välttävät Chromen puutteellisesta tietoturvasta kertovat varoitukset.

Alla on vielä linkit aiemmin julkaisemiimme blogiartikkeleihin tästä asiasta:

27.3. Google harkitsee Symantecin SSL-varmenteiden luottamuksen vähentämistä

12.6. Google ja Symantec lähenemässä sopua luottamusongelmassa?

9.8. Symantec myy SSL-varmenteiden liiketoiminnan DigiCertille!

Lisätietoja:  info(at)wesentra.com     tai      https://www.wesentra.com

Apua asiakkaille sopivan varmennustason valintaan (DV/OV/EV)

Alla oleva artikkeli on julkaistu Turvallisuus & Riskienhallinta -lehden numerossa 9/2017. Sen tavoitteena on antaa https-sivustoa kaipaavalle organisaatiolle yleistajuisesti tietoa siitä, minkä tasoinen varmenne sivuille kannattaa hankkia: DV, OV vai EV.

Tietoturvallisten verkkosivujen kolme tasoa -artikkeli löytyy tästä

K1

K3

K2

Lisää tietoa: info(at)wesentra.com    tai      https://www.wesentra.com

Case Kielikoulu Nuevo Mundo – sitkeys palkitaan (yhden EV-varmenteen saaminen kaikille kohteilleen voi näköjään joskus kestää viisi kuukautta)

do_you_speak_700x400Tämän artikkelin tavoitteena on näyttää millainen joskus voi olla varmenteen tilaus- ja toimitusprosessi, kun se on hieman haastavampi ja lopputulokseen ei päästäkään normaalissa parissa päivässä. Mutta maaliin päästään sitkeydellä.

Jatka lukemista ”Case Kielikoulu Nuevo Mundo – sitkeys palkitaan (yhden EV-varmenteen saaminen kaikille kohteilleen voi näköjään joskus kestää viisi kuukautta)”

CAA Record ja DNS Zone file: 8.9.2017 Alkaen varmentajien (CA) on tarkastettava tämä tieto voidakseen myöntää varmenteen.

Mistä tässä oikein on kyse?

CAA Record, eli ”Certificate Authority Authorization” on DNS tietueelle lisättävä tieto joka sanelee minkä CA:n eli varmennevalmistajan, eli CA:n (Esim. Entrust Datacard) varmenteita kyseiselle domainille on sallittua myöntää.  CAA Record mahdollistaa myös raportoinnin haluttuun sähköpostiosoitteeseen, mikäli domainille on myönnetty varmenne vastoin tätä määritystä. Tämä asetus astuu voimaan 8.9.2017 ja sen voi asettaa DNS (Domain Name Services) palveluiden ylläpitäjä. Tämä asetus pakottaa varmentajat tarkistamaan CAA Record tiedon, ennen kuin he voivat myöntää varmenteen. Tämä vähentää merkittävästi mahdollisuuksia virheellisten varmenteiden myöntämiselle.

Jatka lukemista ”CAA Record ja DNS Zone file: 8.9.2017 Alkaen varmentajien (CA) on tarkastettava tämä tieto voidakseen myöntää varmenteen.”

Vanhenevien varmenteiden raportointi Entrustin varmenneportaalissa

aging_eye_700x400

Varmenteiden hallintaprosessit kannattaa olla kunnossa, jottei joudu tilanteeseen, jossa varmenne ehtii vanhenemaan, ennen kuin se on korvattu uusitulla varmenteella. Varmenteen vanheneminen voi aiheuttaa katkoksen palvelun käyttöön ja palvelusta riippuen katkos voi aiheuttaa suuria toiminnallisia ja taloudellisia vaikutuksia. Hyvä keino estää varmenteiden vanheneminen, on niiden asianmukainen hallinta, valvonta ja raportointi.

Jatka lukemista ”Vanhenevien varmenteiden raportointi Entrustin varmenneportaalissa”

Google ja Symantec lähenemässä sopua luottamusongelmassa?

key_hands_700x400

Blogiartikkelissa 27.3.2017 kerroimme, että Google harkitsee mm. EV-statuksen poistamista Symantecin varmenteilta (mukaan lukien Thawte, GeoTrust ja RapidSSL -varmenteet). Google ja Symantec ovat tavanneet ja Google on tehnyt uuden ehdotuksen, jota Symantec on kommentoinut. Jos ehdotus menee läpi, alamme nähdä käytännön toimia 8.8.2017.

Jatka lukemista ”Google ja Symantec lähenemässä sopua luottamusongelmassa?”