Firefox vertrouwt certificaat DigiD niet meer

[FreakyFries]

De eerste zin in het artikel:

"Mozilla heeft het ssl-certificaat van Firefox ingetrokken"

Moet dat niet zijn:
"Mozilla heeft het ssl-certificaat van DigiD ingetrokken"

?

[ralfbosz]

Nee alleen DiginNotar CA 2005 is ingetrokken, de rest niet.

[Joost]

Moest DigiD zijn inderdaad. @ralfbosz: lees het stuk en zie wat we bedoelen

[FreakyFries]

Nouja, het klopt(e) in ieder geval niet

[ralfbosz]

fout. inderdaad DigiD, handig...

[ Voor 73% gewijzigd door ralfbosz op 30-08-2011 11:58 ]

[tMb]

De openingszin "Mozilla heeft het ssl-certificaat van DigiD ingetrokken" is feitelijk onjuist.

Mozilla kan geen certificaten van DigID intrekken. Een certificaat intrekken betekent eigenlijk dat het certificaat op een lijst van 'niet meer te vertrouwen certificaten' komt te staan, de CRL. De CA (in dit geval Diginotor) publiceert deze lijst. Een certificaat op deze lijst zetten kan alleen de CA die het certificaat heeft uitgegeven, op verzoek van de certificaateigenaar of uit eigen beweging (conform hun beleid).

Om te voorkomen dat iedereen handmatig alle CA's en hun uitgegeven certificaten moet vertrouwen, handteren browsers lijsten met (root) certificaten van CA's die automatisch vertrouwd worden. Over die lijst gaat het nu.

Enkele (root) certificaten van Diginotar worden van die lijst gehaald.

Wat Mozilla dan eigenlijk doet is niet meer vertrouwen op certificaten uitgegeven door Diginotar.

[Joost]

tMb schreef op dinsdag 30 augustus 2011 @ 13:49:
De openingszin "Mozilla heeft het ssl-certificaat van DigiD ingetrokken" is feitelijk onjuist.

Mozilla kan geen certificaten van DigID intrekken. Een certificaat intrekken betekent eigenlijk dat het certificaat op een lijst van 'niet meer te vertrouwen certificaten' komt te staan, de CRL. De CA (in dit geval Diginotor) publiceert deze lijst. Een certificaat op deze lijst zetten kan alleen de CA die het certificaat heeft uitgegeven, op verzoek van de certificaateigenaar of uit eigen beweging (conform hun beleid).

Om te voorkomen dat iedereen handmatig alle CA's en hun uitgegeven certificaten moet vertrouwen, handteren browsers lijsten met (root) certificaten van CA's die automatisch vertrouwd worden. Over die lijst gaat het nu.

Enkele (root) certificaten van Diginotar worden van die lijst gehaald.

Wat Mozilla dan eigenlijk doet is niet meer vertrouwen op certificaten uitgegeven door Diginotar.

Scherp, fixed

[dennizzz]

Mozilla gaat een andere patch uitgeven die DigId niet distrust. Zie de nieuwe comment in de bug.

[Sphere-]

Op verzoek van de Nederlandse overheid heeft Mozilla besloten om bepaalde certificaten die door de gehackte ssl-leverancier DigiNotar zijn uitgegeven, toch te vertrouwen. Daardoor kan de identiteit van DigiD toch worden gegarandeerd.

Ik vind de laatste zin nogal vreemd.