We zien steeds meer toename in het gebruik van SSL-certificaten, het grote publiek heeft er nu ook aandacht voor en verwacht zelfs dat websites er gebruik van maken (en wijzen erop als dat niet het geval is). Dit is uiteraard goed nieuws voor de veiligheid van het internet dat mensen gebruik willen maken van SSL en ik wil graag helpen hun kennis verder uit te breiden. Een SSL-certificaat activeert immers niet alleen het hangslot en de HTTPS in browsers, er is heel wat meer gaande. Laten we even een kijkje nemen naar de gegevens in een certificaat.
Wat kan je zoal leren van het snuisteren in de certificaatgegevens?
Een certificaat bevat veel informatie waaronder basiselementen zoals:
- Geldigheidsperiode
- Certificeringsautoriteit (CA)
- Onderwerp (het domein waarvoor het certificaat is afgegeven en afhankelijk van het type certificaat, gegevens over het bedrijf)
Certificaatinhoud betreft ook technische aspecten zoals:
- Gebruik van sleutels,
- CRL-gegevens (Certificate Revocation List: lijst van ingetrokken certificaten),
- De ondertekenings- en hashing-algoritmes die ten grondslag liggen aan de versleuteling
Dit is heel wat informatie die u allemaal kunt terugvinden in uw browser! Uiteraard is dit niet voor iedereen van belang en steeds ieder certificaat van iedere website gaat onderzoeken. Ik wil bereiken dat mensen weten dat deze informatie beschikbaar is en hoe deze gevonden kan worden. Dus laten we eens kijken hoe dat gaat.
SSL-certificaatgegevens bekijken
Browsers krijgen regelmatig updates en de SSL-presentatie in het bijzonder sterk is aan verandering onderhevig dus zal ik onderstaande rubrieken bij naarmate er nieuwe versies gelanceerd worden bijwerken.
Quick links:
Chrome - Desktop (v.63)
Ik ben heel blij dat Chrome de mogelijkheid om de certificaatgegevens meteen op de browserinterface te zien teruggebracht heeft! Deze functionaliteit is een tijdjes verdwenen (~v55-v60) en je moest enkele stappen doorlopen vooraleer je de informatie kon vinden, maar nu is het gemakkelijk terug te vinden!
1. Klik op het slotje in de URL-balk. Er zal een drop down menu openen, klik op "valid" (of "Geldig" indien uw browser ingesteld staat op Nederlands)
EV-certificaat in Chrome 63
2. Klik voor de certificaatgegevens op de knop “View Certificate” (Certificaat bekijken). Nu kunt u naar hartenlust gaan klikken op de verschillende onderdelen. Certificaatinhoud (bijv. onderwerp, geldigheidsperiode, algoritmen) vindt u op het tabblad “Details”.
Details van een certificaat in Chrome
Chrome - Mobile
Android (v.63)
Vergelijkbaar met de desktop-versie, maakt de Android Chrome app het best eenvoudig om snel de certificaatgegevens te bekijken.
1. Klik naast de URL op het icoontje met het hangslot. En klik vervolgens op "Details"
SSL-certificaat in de Android Chrome App
2. Vanaf hier kunt u meer informatie terugvinden over het certificaat of de versleutelde verbinding, inclusief de certificaat autoriteit die het certificaat uitgaf en meer informatie over de cipher, protocol en algoritmen die gebruikt werden. Om gedetailleerdere gegevens te bekijken zoals de geldigheidsperiode,klik dan op "Certificate Information".
Details van de SSL-verbinding in de Android Chrome App
3. U kunt de gegevens over de andere certificaten in de ketting zien door in het drop down menu even een kijkje te nemen ( zie voorbeeld hieronder).
Volledige certificaatgegevens in de Android Chrome App
iOS (v.63)
Jammer genoeg is op het moment dat we deze blogpost schrijven niet mogelijk om veel details van de certificaten te zien in de iOS-versies van Chrome. Wanneer je op het hangslotje gaat klikken zie je enkel de naam van de certificaat autoriteit. We hopen natuurlijk dat deze functionaliteit zich in de toekomst nog verder zal uitbreiden.
Firefox (v.57)
De nieuwste versie van Firefox biedt wat meer informatie over het certificaat in de interface van de hoofdbrowser en u hebt de mogelijkheid om met enkele klikken meer gegevens op te duiken.
1. Als u op het hangslot in de adresbalk klikt, verschijnt er een drop down die een beveiligde verbinding aangeeft indien SSL goed is geconfigureerd en geïnstalleerd.
EV-certificaat in Firefox 57
2. In het geval van extended validation (EV)-certificaten kunt u enkele gegevens zien over de organisatie die de site exploiteert. Voor niet-EV-certificaten (domain validated, waar het domein is gevalideerd en organization validated waar de organisatie is gevalideerd) ziet u alleen welke certificeringsautoriteit (CA) het certificaat heeft afgegeven - het gedeelte “Verified by:” (Geverifieerd door:) onderaan het venster. Klik op "More information" om meer details te zien.
EV-certificaat in Firefox
Niet-EV (OV)-certificaat in Firefox
3. Dit brengt u naar de beveiligingsgegevens van de pagina waar u meer informatie vindt over de identiteit van de website (voor EV-certificaten wordt de bedrijfsnaam vermeld als eigenaar) en de protocollen, codes en sleutels die ten grondslag liggen aan de versleuteling.
Informatie op de website over het gebruikte EV-certificaat in Firefox
4. Als u nog meer informatie over het certificaat wilt zien, klik dan op “View Certificate”. Op het tabblad “Details” vindt u de certificaathiërarchie en kunt u de certificaatvelden doorspitten. Veel plezier ermee!
Certificaatdetails in Firefox
Internet Explorer (v.11)
Net als Firefox biedt IE wat certificaatgegevens via de hoofdinterface.
1. Als u op het hangslot klikt, wordt de certificeringsautoriteit die het certificaat heeft afgegeven weergegeven (“GlobalSign heeft deze website geïdentificeerd als:”) plus een opmerking dat de verbinding met de server is versleuteld. Er is ook wat informatie over de identiteit, maar ook dit hangt af van het soort certificaat: EV vs. niet-EV (DV of OV). EV-certificaten bevatten de bedrijfsnamen en locatie, maar bij DV en OV wordt alleen het domein vermeld.
EV-certificaat in IE
Niet-EV (OV)-certificaat in IE
2. Als u op de koppeling “Certificaten weergeven” onderaan het venster klikt, wordt het certificaatgegevensvenster geopend. Net als bij Chrome vindt u de certificaatinhoud (bijv. onderwerp, geldigheidsperiode, algoritmen) op het tabblad “Details”.
Edge (v.16)
Slecht nieuws voor Edge-gebruikers - momenteel is er geen enkele manier om certificaatgegevens te zien in de browser. Bepaalde informatie is onmiddellijk zichtbaar in de browser wanneer je op het hangslotje klikt. De Root CA en de subject informatie is zichtbaar. Maar het is jammer genoeg niet mogelijk om meer details te zien zoals de volledige root ketting of details zoals de geldigheidsperiode, algoritmes en Subject Alternative Names (SAN's). We hopen natuurlijk dat Microsoft deze functionaliteit in de toekomst zal aanpassen. Maar tot dan kan je hieronder zien hoe de (beperkte) informatie momenteel zichtbaar is.
1. Klik op het hangslotje om de informatie van het certificaat te bekijken.
EV-certificaat in Edge
DV-certificaat in Edge
Zoals je kan zien uit de screenshots hierboven is de type en de hoeveelheid informatie afhankelijk van het type certificaat. EV en OV-certificaten laten de gevalideerde bedrijfsinformatie zien maar aangezien DV-certificaten enkel toegang tot het domein bewijzen, is enkel de domeinnaam beschikbaar.
Safari (v.11) - MacOSX
Opmerking: Momenteel is er geen enkele manier om de details van digitale certificaten in mobiele (iOS) safari te zien.
1. Klik op het hangslot (je moet er echt specifiek op klikken anders zal de URL gewoon verschijnen) om meer details te zien over uw verbinding tot de website. Indien de website gebruik maakt van een EV-certificaat zal de naam van de certificaat autoriteit, de naam van het bedrijf en de adres van het bedrijf verschijnen. Klik op "Show Certificate" om meer informatie te zien.
EV-certificaat in Safari
Non-EV (OV)-certificaat in Safari
2. Je kan de ketting van het certificaat, de vervaldatum en geldigheidsduur bekijken. Om bijkomende gegevens te zien zoals het algoritme klik je op "details".
Certificaatgegevens in Safari
Zo, dat was een hele boterham aan uitleg maar nu kan je steeds de gegevens het certificaat controleren, eender welke browser je gebruikt. Veel inspecteerplezier en veilig surfen!
Zoals ik hierboven reeds vermeldde, zal ik proberen deze blogpost zo goed mogelijk proberen te updaten wanneer de browsers de weergave veranderen.
