Het groene hangslotsymbool in de URL-balk is niet langer een symbool waarop u kunt vertrouwen

Jarenlang werd u constant verteld om uw privégegevens niet in te voeren op een website die geen groen hangslot in de adresbalk heeft. Sommigen van jullie hebben dit advies opgevolgd, en sommigen van jullie niet, maar heb je je ooit afgevraagd waar dit groene hangslot voor staat en hoe het werkt?

Hoewel browsers zoals Google Chrome dit nu langzaam uitfaseren (de redenen waarom dit zo meteen duidelijk wordt), wordt het groene hangslot nog steeds universeel herkend als een teken dat de website die u bekijkt een SSL-certificaat heeft en wordt geladen onder HTTPS. Dit betekent op zijn beurt dat alle informatie die van en naar de website komt gecodeerd is en veilig is voor Man-in-the-Middle-aanvallen.

Vroeger hadden experts nog een reden om u te waarschuwen om uw gegevens niet in te voeren op websites die niet via HTTPS zijn geladen. SSL-certificaten worden uitgegeven door certificaatautoriteiten (CA's) die hiervoor honderden dollars per jaar in rekening brachten. Voorspelbaar, oplichters waren niet bereid om dit soort geld uit te geven om hun phishing-pagina's meer op het echte werk te laten lijken, en zelfs als ze dat waren geweest, zouden ze niet zijn geslaagd voor sommige handmatige controles die in die dagen werden gedaan. Met andere woorden, echte Amazon-inlogformulieren hadden groene lokken, en valse die niet. Dit is helaas niet langer het geval.

De opkomst van gratis SSL-certificaten en de impact die ze hadden op internet

Helaas waren de boeven niet de enige die hun websites niet via HTTPS konden routeren. SSL-certificaten waren ook te duur voor veel legitieme website-eigenaren, wat betekende dat een flink aantal online winkels de gegevens van hun klanten blootstelden. Er moest iets worden gedaan.

In 2014 werd een nieuwe CA met de naam Let's Encrypt opgericht, die SSL-certificaten volledig gratis begon aan te bieden. Internet vond het een goed idee.

Let's Encrypt verliet Beta officieel in april 2016 toen het trots aankondigde dat het aantal certificaten dat het had uitgegeven rond de 1,7 miljoen schommelde. Slechts veertien maanden later waren er meer dan 100 miljoen Let's Encrypt-certificaten.

Gratis SSL-certificaten worden nu ook door andere CA's aangeboden en daarom wordt HTTPS de norm in plaats van de uitzondering. In augustus zei beveiligingsspecialist Scott Helme dat voor het eerst meer dan de helft van de Alexa Top 1 miljoen websites werd geladen onder HTTPS. Deze verschuiving heeft ertoe geleid dat verkopers van browsers het groene slotpictogram dumpen en vervangen door een groter "Niet-beveiligd" -teken wanneer een pagina niet onder HTTPS wordt geladen. Inderdaad, het hangslot is lang niet zo handig als vroeger.

Bijna 50% van alle phishing-pagina's worden nu via HTTPS geladen

De opkomst van gratis SSL-certificaten is een van de goede dingen die de wereld recentelijk is overkomen. Hoewel ze geen wondermiddel zijn, hebben ze kleinere online leveranciers niet alleen in staat gesteld te overleven maar ook te gedijen, en op dit moment hebben zelfs de meest eenvoudige HTML-websites geen excuus om onder HTTP te werken.

Helaas, als SSL-certificaten gratis en eenvoudig in te stellen zijn voor legitieme website-eigenaren, zijn ze ook gratis en eenvoudig in te stellen voor oplichters. In feite vertelde PhishLabs, een bedrijf voor informatie over bedreigingen en mitigatie, aan Brian Krebs dat bijna de helft (ongeveer 49%) van alle phishing-pagina's die het in het derde kwartaal van dit jaar ontdekte, onder HTTPS werden geladen. Dit, zei PhishLabs op Twitter, is gestegen van 35% tijdens Q2 en 33% tijdens Q1.

De boeven zetten actief SSL-certificaten op hun zwendelpagina's op, deels omdat het gemakkelijk te doen is en niets kost en deels vanwege de veranderingen die browserverkopers doorvoeren. Ze realiseren zich dat gebruikers veel minder geneigd zijn om hun persoonlijke informatie weg te geven aan een website die is geladen met een zichtbare "Niet-beveiligde" waarschuwing.

Wat kunnen we eraan doen?

Betekent dit dat de beslissing van browserverkopers om weg te gaan van het groene hangslot een enorme fout is? Nee, dat doet het niet. Het simpele feit is dat het slotpictogram nooit meer zo nuttig zal zijn als vroeger. Als het blijft, heeft het geen invloed op de huidige situatie, want als de oplichters besluiten dat ze het nodig hebben, krijgen ze gewoon een gratis SSL-certificaat.

Moeten we dan niet van gratis SSL-certificaten afkomen? Nee, dat zouden we niet moeten doen. Het weigeren van leveranciers om de gegevens van hun klanten gratis te beschermen, zal een enorme sprong voorwaarts betekenen en zal de persoonlijke informatie van miljoenen mensen ernstig bedreigen. Wat we in plaats daarvan moeten doen, is zoveel mogelijk gebruikers leren wat HTTPS is.

HTTPS is geen indicator voor betrouwbaarheid. Als deze niet aanwezig is, kunt u er vrij zeker van zijn dat de website die u bekijkt niet moet worden vertrouwd, maar zelfs als deze er is, kijkt u misschien nog steeds naar een zwendel. Er zijn andere factoren waar u beter op moet letten.