2min

Mozilla heeft een stevige brief gestuurd naar alle certificaatuitgevers oftewel certificaat autoriteiten, waarin het harde eisen stelt. Zo eist het bedrijf betere beveiliging, extra veiligheidscontroles en een automatische blokkade voor bekende domeinnamen.

Door de ophef rond Comodo, DigiNotar en mogelijk ook GlobalSign staat de hele techniek van beveiligde internetverbindingen onder druk. Hierdoor voelt Mozilla zich waarschijnlijk genoodzaakt om actie te ondernemen.

Het bedrijf laat in de brief ook weten alles in het werk te stellen om de Firefox-gebruikers te beschermen. Het laat daarmee doorschemeren dat als een bepaalde certificaat-autoriteit zijn beveiliging niet op orde heeft deze zeer snel van de lijst zal worden verwijderd.

Om de beveiliging van de andere autoriteiten te garanderen wil Mozilla wat meer informatie hebben van deze bedrijven en verwacht het ook wat acties van deze bedrijven. Zo verwacht Mozilla dat alle certificaat autoriteiten hun systemen gaan controleren op mogelijke inbraken, ook de systemen van derde partijen die in staat zijn om certificaten aan te maken.

Ook wil het bedrijf een complete lijst ontvangen van alle certificaten, wederom ook die van derden partijen. Deze lijst dient aangeleverd te worden voor 16 september. Om de beveiliging te verbeteren verwacht Mozilla dat alle autoriteiten gebruik gaan maken van multi-factor authenticatie.

Tot slot wil Mozilla dat alle bekende zogenaamde ‘high-profile’ domeinnamen automatisch worden geblokkeerd door de autoriteiten zodat hier geen certificaten meer voor uitgegeven worden. Om te beginnen worden de domeinnamen die zijn misbruikt bij de hack DigiNotar en Comodo genoemd. Het gaat dus om de domeinnamen van grote websites, e-mail diensten, inlichtingendiensten, etc.

Mozilla hoopt met deze actie ervoor te kunnen zorgen dat de veiligheid van de beveiligde internetverbindingen gewaarborgd blijft. Of de andere browser-ontwikkelaars Microsoft, Google, Apple en Opera dezelfde eisen gaan stellen en het voorbeeld van Mozilla gaan volgen is niet duidelijk. Er zal echter ongetwijfeld worden nagedacht hoe de beveiliging van de certificaat autoriteiten nog beter kan.