Vage certificaten

[NTwoO]

Op een aantal nieuws sites krijg ik op mijn telefoon steeds vage certificaten te zien. Onderstaand certificaten zijn op Technobuffalo gespot, maar daar zijn ook anderen die langs komen.




Er zijn ook certificaten die van .ru sites komen ed. Volgens mij is dit een aanvalsvector. Als men eenmaal zo'n certificaat hebt geaccepteerd is het vervolgens in te zitten voor een andere doeleinden als bv een phishing aanval. Wat kan men aan deze doen anders dan mijn keuze nu om het nieuws links te laten liggen?

[Jester-NL]

Ik mis wat informatie. Op basis van de screenshots snap ik het probleem niet helemaal.
Screenshot 1: Er is een verkeerd certificaat gebruikt. Tja, dat kan gebeuren. Ik heb lang genoeg met certificaten gewerkt, om te weten dat dat af en toe gebeurd. *.zdbb.net is een valide certificaat. Je screenshot laat niet zien op welk domein je zat toen deze fout optrad. En dan nog is mijn eerste vraag: is dat domein van de zelfde houder?
Screenshot 2: De datum is verkeerd, staat er... maar tot welke datum dit certificaat geldig is, dat is niet duidelijk. Komt bij dat het domein in kwestie niet meer lijkt te bestaan. Het eerste waar ik aan denk op dat moment is (afgaande op de .io-extentie) dat ze klaar zijn met ontwikkelen en naar een andere extentie zijn overgestapt, maar dat er nog ergens een (verlopen) certificaat in de store staat, waar naar wordt verwezen.

Beide certificaten komen van GeoTrust, een Symantec-dochter. Ja, er is een dispuut tussen Symantec en Google, en dat gaat (op den duur) zijn impact hebben op de geldigheid van de certificaten van Symantec.
Op basis van de informatie die je nu geeft, ga ik echter niet onmiddellijk mee in de gedachtegang "aanvalsvector".
Ik persoonlijk accepteer niet automatisch verlopen of andersinds dodgy certificaten. Maar ik ga ook niet voetstoots uit van het feit dat het certificaat is gestolen. De opties die ik hierboven schets zijn (in mijn ervaring) logischer dan aannemen dat zowel het certificaat als de op de server aanwezige private key in handen van onbevoegden zijn gevallen. En dat die onbevoegden vervolgens een gekaapt certificaat gaat gebruiken om een verkeerde website te signen... Er is tegenwoordig Let's Encrypt. Die doen dat kloppend en gratis.

[Oogje]

Ik zie wel vaker dat wildcard certificaten een melding genereren terwijl het 100% valide is. Lijkt er dus op dat niet elke (mobiele) browser goed omgaat met wildcard certs.

[Heli0s]

Probleem is ook dat mobile browsers niet alle root certificaten hebben en je die dus op je webserver moet installeren

[Jester-NL]

Heli0s schreef op maandag 15 mei 2017 @ 12:38:
Probleem is ook dat mobile browsers niet alle root certificaten hebben en je die dus op je webserver moet installeren

Dan voeg ik toe dat ook intermediairs niet allemaal aanwezig zijn en, in tegenstelling tot op je pc, ook niet worden gecached. Ook die moeten dus op de server geïnstalleerd worden.