#cabforum — Public Fediverse posts

@johan : je hebt een punt, maar de hele certificaten-industrie is ziek, webbrowsers zuigen en er bestaat veel te veel misleidende informatie (voorbeeld: zie plaatje met AI-bullshit - zie Alt voor info).

Er bestaan ook Europese certificaatuitgevers - wellicht minder voor DV-certificaten. Echter, met het CA/B-forum (de "toezichthouder" op certificaatuitgevers) bijna volledig in handen van US-organisaties zou Trump ook kunnen opdragen dat browsers alle certificaten van uitgevers in "vijandige" landen niet langer vertrouwen.

De supervisor van organisaties die domeinnamen verhuren is ook grotendeels Amerikaans.

Oftewel, autonomie wensen beperkt zich niet tot certificaten uitgegeven door Google en Let's Encrypt. Ons voorbereiden op worst-case scenario's lijkt mij zeer verstandig.

Overigens heb ik eerder een oplossing voorgesteld voor het phishing-probleem dat ik aankaartte, maar dat is kennelijk off-topic (ik sloeg aan op de kul dat certificaten iets met veilige websites te maken zouden hebben, een leugen die mensen al heel lang op het verkeerde been zet).

@wlaatje @wiert @wendyhk @publicspaces @FTM_nl

#GoogleIsEvil #BigTechIsEvil #USterroristCountry #DigitaleAutonomie #DVcertsAreEvil #CloudflareIsEvil #MitM #AitM #IETF #CABforum #WebBrowsers #Browsers #BeveiligdeWebSite

@johan : je hebt een punt, maar de hele certificaten-industrie is ziek, webbrowsers zuigen en er bestaat veel te veel misleidende informatie (voorbeeld: zie plaatje met AI-bullshit - zie Alt voor info).

Er bestaan ook Europese certificaatuitgevers - wellicht minder voor DV-certificaten. Echter, met het CA/B-forum (de "toezichthouder" op certificaatuitgevers) bijna volledig in handen van US-organisaties zou Trump ook kunnen opdragen dat browsers alle certificaten van uitgevers in "vijandige" landen niet langer vertrouwen.

De supervisor van organisaties die domeinnamen verhuren is ook grotendeels Amerikaans.

Oftewel, autonomie wensen beperkt zich niet tot certificaten uitgegeven door Google en Let's Encrypt. Ons voorbereiden op worst-case scenario's lijkt mij zeer verstandig.

Overigens heb ik eerder een oplossing voorgesteld voor het phishing-probleem dat ik aankaartte, maar dat is kennelijk off-topic (ik sloeg aan op de kul dat certificaten iets met veilige websites te maken zouden hebben, een leugen die mensen al heel lang op het verkeerde been zet).

@wlaatje @wiert @wendyhk @publicspaces @FTM_nl

#GoogleIsEvil #BigTechIsEvil #USterroristCountry #DigitaleAutonomie #DVcertsAreEvil #CloudflareIsEvil #MitM #AitM #IETF #CABforum #WebBrowsers #Browsers #BeveiligdeWebSite

@johan : je hebt een punt, maar de hele certificaten-industrie is ziek, webbrowsers zuigen en er bestaat veel te veel misleidende informatie (voorbeeld: zie plaatje met AI-bullshit - zie Alt voor info).

Er bestaan ook Europese certificaatuitgevers - wellicht minder voor DV-certificaten. Echter, met het CA/B-forum (de "toezichthouder" op certificaatuitgevers) bijna volledig in handen van US-organisaties zou Trump ook kunnen opdragen dat browsers alle certificaten van uitgevers in "vijandige" landen niet langer vertrouwen.

De supervisor van organisaties die domeinnamen verhuren is ook grotendeels Amerikaans.

Oftewel, autonomie wensen beperkt zich niet tot certificaten uitgegeven door Google en Let's Encrypt. Ons voorbereiden op worst-case scenario's lijkt mij zeer verstandig.

Overigens heb ik eerder een oplossing voorgesteld voor het phishing-probleem dat ik aankaartte, maar dat is kennelijk off-topic (ik sloeg aan op de kul dat certificaten iets met veilige websites te maken zouden hebben, een leugen die mensen al heel lang op het verkeerde been zet).

@wlaatje @wiert @wendyhk @publicspaces @FTM_nl

#GoogleIsEvil #BigTechIsEvil #USterroristCountry #DigitaleAutonomie #DVcertsAreEvil #CloudflareIsEvil #MitM #AitM #IETF #CABforum #WebBrowsers #Browsers #BeveiligdeWebSite

@johan : je hebt een punt, maar de hele certificaten-industrie is ziek, webbrowsers zuigen en er bestaat veel te veel misleidende informatie (voorbeeld: zie plaatje met AI-bullshit - zie Alt voor info).

Er bestaan ook Europese certificaatuitgevers - wellicht minder voor DV-certificaten. Echter, met het CA/B-forum (de "toezichthouder" op certificaatuitgevers) bijna volledig in handen van US-organisaties zou Trump ook kunnen opdragen dat browsers alle certificaten van uitgevers in "vijandige" landen niet langer vertrouwen.

De supervisor van organisaties die domeinnamen verhuren is ook grotendeels Amerikaans.

Oftewel, autonomie wensen beperkt zich niet tot certificaten uitgegeven door Google en Let's Encrypt. Ons voorbereiden op worst-case scenario's lijkt mij zeer verstandig.

Overigens heb ik eerder een oplossing voorgesteld voor het phishing-probleem dat ik aankaartte, maar dat is kennelijk off-topic (ik sloeg aan op de kul dat certificaten iets met veilige websites te maken zouden hebben, een leugen die mensen al heel lang op het verkeerde been zet).

@wlaatje @wiert @wendyhk @publicspaces @FTM_nl

#GoogleIsEvil #BigTechIsEvil #USterroristCountry #DigitaleAutonomie #DVcertsAreEvil #CloudflareIsEvil #MitM #AitM #IETF #CABforum #WebBrowsers #Browsers #BeveiligdeWebSite

Gibt’s eigentlich schon sinnvolle kommerzielle oder freie issuer für clientAuth Zertifikate? #webpki #cabforum #tls

I totally missed the memo that #letsencrypt disabled #OCSP:

https://letsencrypt.org/2024/12/05/ending-ocsp

And I see that there has been a #cabforum ballot making OCSP optional with only one issuer opposing:

https://cabforum.org/2023/07/14/ballot-sc063v4-make-ocsp-optional-require-crls-and-incentivize-automation/

A terrible Idea. And to make it worst, LE is distributing their #CRL over #cloudflare just as they did with their OCSP endpoints.

Does anyone know of the CA/Browser forum SC81 ballot to reduce certificate validity periods only applies to TLS Server and Client certificate usages or if it applies to all key usages?

This could create a huge pile of churn and toil if it also applies to certs used for SAML assertion signing, which have key usages set for: Digital Signature, Non Repudiation, Key and Data Encipherment.

ETA: paging @ScottHelme now that I've found him here.

#security #certificates #sc81 #cabforum

Does anyone know of the CA/Browser forum SC81 ballot to reduce certificate validity periods only applies to TLS Server and Client certificate usages or if it applies to all key usages?

This could create a huge pile of churn and toil if it also applies to certs used for SAML assertion signing, which have key usages set for: Digital Signature, Non Repudiation, Key and Data Encipherment.

ETA: paging @ScottHelme now that I've found him here.

#security #certificates #sc81 #cabforum

Apple Enrages IT — 45-Day Cert Expiration Fury – Source: securityboulevard.com https://ciso2ciso.com/apple-enrages-it-45-day-cert-expiration-fury-source-securityboulevard-com/ #SecurityChallengesandOpportunitiesofRemoteWork #DeepFakeandOtherSocialEngineeringTactics #CertificateandKeyLifecycleManagement #90-dayTLScertificatevalidity #CertificateandKeyManagement #IdentityandAccessManagement #SecurityBoulevard(Original) #rssfeedpostgeneratorecho #CertificateAutomation #ApplicationSecurity #CABForum

Apple Enrages IT — 45-Day Cert Expiration Fury – Source: securityboulevard.com https://ciso2ciso.com/apple-enrages-it-45-day-cert-expiration-fury-source-securityboulevard-com/ #SecurityChallengesandOpportunitiesofRemoteWork #DeepFakeandOtherSocialEngineeringTactics #CertificateandKeyLifecycleManagement #90-dayTLScertificatevalidity #CertificateandKeyManagement #IdentityandAccessManagement #SecurityBoulevard(Original) #rssfeedpostgeneratorecho #CertificateAutomation #ApplicationSecurity #CABForum

I see a lot of weeping, wailing, and gnashing of teeth over this proposal, but how do you think we get from "manually handle all of your certs in nightmare mode" to everything supporting ACME? You put a gun to the heads of the software vendors and equipment makers with a hard deadline. Not saying it won't suck for a while, especially with legacy systems, but that pain is decades of tech debt coming due. #cabforum #certificates https://github.com/cabforum/servercert/pull/553

I see a lot of weeping, wailing, and gnashing of teeth over this proposal, but how do you think we get from "manually handle all of your certs in nightmare mode" to everything supporting ACME? You put a gun to the heads of the software vendors and equipment makers with a hard deadline. Not saying it won't suck for a while, especially with legacy systems, but that pain is decades of tech debt coming due. #cabforum #certificates https://github.com/cabforum/servercert/pull/553

for those who refused to automate their TLS certificate deployment so far: prepare for increased workload:
"
- Overall reduction of non-SAN validation reuse from 825 to 366 days
- Overall reduction of SAN validation reuse from 398 days to 10 days
[..]
Overall reduction of maximum validity period from 398 days to 45 days
These reductions are proposed to occur starting in September 2025 through September 2027
"
https://github.com/cabforum/servercert/pull/553
#tls #cabforum

for those who refused to automate their TLS certificate deployment so far: prepare for increased workload:
"
- Overall reduction of non-SAN validation reuse from 825 to 366 days
- Overall reduction of SAN validation reuse from 398 days to 10 days
[..]
Overall reduction of maximum validity period from 398 days to 45 days
These reductions are proposed to occur starting in September 2025 through September 2027
"
https://github.com/cabforum/servercert/pull/553
#tls #cabforum

Not seen this mentioned here yet from any of my usuals.

Court issues TRO on digicert revoking certs as required by CA/BF.

https://www.courtlistener.com/docket/68995396/alegeus-technologies-llc-v-digicert/

Popcorn at the ready.

#digicert #CABforum