Er zijn bedrijfstakken die een bijzonder talent hebben voor het oplossen van problemen die ze eerst zelf wat groter hebben gemaakt. De verkoop van SSL-certificaten begint daar aardig bedreven in te raken.
Ooit was een SSL-certificaat iets bijzonders. Je herkende een beveiligde website aan een slotje in de browser en dacht: hier zijn mensen serieus met beveiliging bezig. Inmiddels is dat slotje ongeveer even onderscheidend als een voordeur met een klink. Vrijwel iedere website heeft HTTPS en dat is een goede ontwikkeling. Maar voor de handel is zoiets natuurlijk vervelend.
Als iedereen inmiddels een certificaat heeft, wordt het lastig om nog nieuwe klanten te vinden. De markt raakt verzadigd. Je kunt moeilijk twee slotjes op een website zetten omdat dat veiliger oogt.
Gelukkig is er voor zo’n economisch ongemak een oplossing. Je zorgt er gewoon voor dat het certificaat minder lang meegaat.
Van jaren naar maanden
SSL-certificaten hadden ooit een behoorlijk lange geldigheidsduur. Daarna werden het twee jaar, vervolgens ongeveer één jaar en inmiddels beweegt de industrie richting certificaten die nog maar enkele weken geldig zijn. Daar zijn goede beveiligingsargumenten voor te bedenken.
Een certificaat bevat sleutelmateriaal en bevestigt dat degene die het gebruikt zeggenschap heeft over een domein. Hoe korter zo’n certificaat geldig is, hoe kleiner de periode waarin een gestolen of verkeerd uitgegeven certificaat misbruikt kan worden. Ook worden organisaties gedwongen hun certificaatbeheer te automatiseren. Dat verkleint weer de kans dat ergens een vergeten certificaat jarenlang ligt te verstoffen.
Technisch gezien is dat allemaal prima uit te leggen. Alleen blijft er een ongemakkelijke vraag over. Welk probleem zijn we precies aan het oplossen?
Niet iedere website bewaart de kroonjuwelen
SSL, of beter gezegd TLS, zorgt ervoor dat het verkeer tussen mijn browser en een website versleuteld wordt. Dat is belangrijk als ik mijn bankzaken regel, mijn medisch dossier bekijk, een betaling doe of persoonlijke gegevens verstuur. Maar het internet bestaat niet uitsluitend uit banken, ziekenhuizen en staatsgeheimen.
Er zijn ook websites van toneelverenigingen waarop staat dat de voorstelling zaterdag om acht uur begint. Websites van kerken met de aanvangstijden van diensten. Sites van sportverenigingen waarop staat dat training op dinsdagavond is. Bedrijven publiceren openingstijden, vacatures, routebeschrijvingen en jaarverslagen die ze juist graag door zo veel mogelijk mensen gelezen willen hebben. Dat verkeer moet tegenwoordig allemaal versleuteld worden.
Daar valt overigens best iets voor te zeggen. Versleuteling beschermt namelijk niet alleen geheime informatie, maar ook de integriteit van de verbinding. Een tussenpartij kan niet ongemerkt de inhoud aanpassen. Bovendien voorkomt HTTPS dat eenvoudig kan worden meegelezen welke specifieke pagina iemand bezoekt. Prima.
Maar als we vervolgens doen alsof het beveiligingsrisico van de website van de plaatselijke badmintonvereniging vergelijkbaar is met dat van een internetbank, raken we iets kwijt wat bij beveiliging nogal belangrijk is: proportionaliteit.
Niet alles wat technisch veiliger kan, hoeft met dezelfde zwaarte beveiligd te worden.
Veiligheid heeft geen bovengrens, budgetten wel
Het aardige van beveiliging is dat je er vrijwel nooit klaar mee bent. Een slot op de voordeur is verstandig. Twee sloten zijn wellicht veiliger. Drie sloten vermoedelijk ook. We kunnen daarna een camera ophangen, een alarmsysteem installeren, een bewaker inhuren en de straat afsluiten met een slagboom. Op enig moment vraagt iemand toch voorzichtig wat er eigenlijk in het huis ligt.
Dat is geen pleidooi tegen beveiliging. Integendeel. Goede beveiliging begint volgens mij juist bij nadenken over wat je beschermt, tegen welk risico en tegen welke prijs. En precies daar begint het te schuren bij steeds korter geldige certificaten.
Als certificaten korter geldig worden, moeten ze vaker worden vernieuwd. Dat betekent meer processen, meer afhankelijkheid van automatisering, meer controles en meer mogelijkheden dat er iets misgaat. Grote organisaties kunnen dat automatiseren. Sterker nog, die hadden dat waarschijnlijk jaren geleden al moeten doen.
Maar niet iedere website wordt beheerd door een organisatie met een volwassen IT-afdeling. Soms is Henk van de ledenadministratie ook de webmaster. Henk heeft daar niet om gevraagd.
Automatisering als antwoord op alles
De gebruikelijke reactie is dat het vernieuwen van certificaten volledig geautomatiseerd kan worden.
Dat klopt. En als automatisering goed is ingericht, kan een certificaat iedere paar weken worden vernieuwd zonder dat iemand daar wakker van ligt. Maar daarmee verandert de discussie ongemerkt.
Eerst wordt besloten dat certificaten veel korter geldig moeten zijn. Vervolgens ontstaat daardoor een beheerprobleem. Daarna wordt automatisering verplicht om het nieuwe beheerprobleem op te lossen. We hebben dan technisch gezien vooruitgang geboekt, al hebben we daar eerst een probleem voor moeten creëren.
Dat doet een beetje denken aan een fabrikant die besluit dat autobanden voortaan iedere maand vervangen moeten worden en vervolgens trots een automatische bandenwisselmachine introduceert. De machine is werkelijk uitstekend. Maar je blijft toch nieuwsgierig naar die banden.
En dan is er nog de handel
Beveiliging is allang niet meer alleen een technisch vakgebied. Het is ook een markt. Een grote markt. Daar is op zichzelf niets mis mee. Mensen bouwen producten, leveren diensten en mogen daar geld mee verdienen. Goede beveiliging kost kennis, tijd en geld.
Maar zodra commerciële partijen invloed hebben op standaarden en standaarden vervolgens leiden tot vaker afnemen, vernieuwen of beheren van producten en diensten, mag daar kritisch naar gekeken worden. Sterker nog, dat moet. Want een markt waarin vrijwel iedere website inmiddels een certificaat heeft, kent een vervelend economisch probleem: verzadiging.
Als bijna iedereen klant is, kun je nog maar op een paar manieren groeien. Je kunt de prijs verhogen, aanvullende diensten verkopen of ervoor zorgen dat klanten vaker iets nodig hebben.
Dat laatste is interessant. Een certificaat dat drie jaar geldig is, levert nu eenmaal minder transactiemomenten op dan een certificaat dat enkele maanden geldig is. En een certificaat dat enkele weken geldig is, maakt geautomatiseerd certificaatbeheer vrijwel onvermijdelijk.
Rond dat beheer kunnen vervolgens weer diensten worden gebouwd. Dat betekent niet automatisch dat het inkorten van de geldigheidsduur uitsluitend om geld draait. Zo eenvoudig zit de wereld zelden in elkaar. Er bestaan reële beveiligingsargumenten voor kortere certificaten.
Maar belangen verdwijnen niet doordat we er het woord veiligheid overheen schrijven. Juist wanneer commerciële belangen en veiligheidsargumenten dezelfde kant op wijzen, is kritisch denken verstandig.
Het slotje heeft ook een andere betekenis gekregen
Er zit nog een merkwaardige ontwikkeling in. Vroeger suggereerde het slotje in de browser dat je een betrouwbare website bezocht. Dat was eigenlijk altijd al een te ruime interpretatie.
Een SSL-certificaat vertelt vooral dat je verbinding versleuteld is en dat het certificaat bij het betreffende domein hoort. Het vertelt niet dat de eigenaar vriendelijk is, zijn belasting betaalt of daadwerkelijk van plan is die sneakers te leveren waarvoor jij zojuist 89 euro hebt betaald.
Ook een oplichter kan een uitstekend beveiligde verbinding aanbieden. Dat is misschien wel een van de mooiste paradoxen van moderne internetbeveiliging.
Je kunt tegenwoordig buitengewoon veilig communiceren met iemand die je belazert. Daarom moeten we voorzichtig zijn met het steeds verder opvoeren van technische maatregelen alsof daarmee automatisch het internet veiliger wordt.
Beveiliging is meer dan certificaten. Het gaat over software, beheer, mensen, processen, transparantie en verantwoordelijkheid. Vooral dat laatste is belangrijk. Techniek kan risico’s verkleinen. Ze kan het nadenken erover niet vervangen.
Wie profiteert en wie betaalt?
Bij iedere nieuwe beveiligingsmaatregel zouden een paar eenvoudige vragen gesteld moeten worden. Welk concreet risico verminderen we? Hoe groot is dat risico? Voor wie verminderen we het? Welke nieuwe complexiteit introduceren we? En wie betaalt uiteindelijk de rekening?
Niet alleen in euro’s. Ook in tijd, afhankelijkheid en energie. Want iedere extra technische verplichting vraagt infrastructuur. Servers draaien niet op goede bedoelingen. Automatisering moet worden gebouwd, onderhouden en gecontroleerd. Systemen moeten worden aangepast. Mensen moeten kennis opdoen. Dat heeft allemaal een prijs. Ook voor onze leefomgeving.
Een veiliger internet is waardevol, maar duurzaamheid betekent ook dat we niet iedere technisch mogelijke maatregel automatisch tot universele norm verheffen. Soms is goed gewoon goed genoeg. Dat klinkt in de IT bijna revolutionair.
Vertrouwen vraagt ook transparantie
Wat mij vooral stoort aan de discussie over steeds kortere certificaattermijnen, is niet dat beveiliging wordt verbeterd. Daar kun je moeilijk bezwaar tegen hebben.
Het is de vanzelfsprekendheid waarmee één technische oplossing voor vrijwel het hele internet wordt voorgeschreven, terwijl de belangen achter die ontwikkeling zelden onderdeel zijn van het gesprek. Als een maatregel noodzakelijk is, leg dan uit waarom.
Als het risico groot genoeg is om miljoenen websites hun processen te laten aanpassen, laat dan zien welk risico we daarmee verkleinen. En als commerciële partijen voordeel hebben bij die verandering, benoem dat dan gewoon. Transparantie maakt een argument niet zwakker. Integendeel. Wie goede redenen heeft, hoeft belangen niet te verstoppen.
Misschien moet beveiliging weer een beetje saai worden
Goede beveiliging hoeft niet spectaculair te zijn. Ze moet betrouwbaar zijn, begrijpelijk en in verhouding staan tot wat we proberen te beschermen.
HTTPS als standaard is een geweldige stap geweest. Het internet is er aantoonbaar beter van geworden. Automatische certificaatvernieuwing is eveneens een verstandige ontwikkeling. En korter geldige certificaten kunnen in specifieke situaties werkelijk risico’s verkleinen. Maar ergens tussen verstandig beveiligen en voortdurend aanscherpen ligt een grens.
Die grens wordt niet uitsluitend bepaald door wat technisch mogelijk is. Ze wordt bepaald door proportionaliteit, verantwoordelijkheid en de bereidheid om kritisch te kijken naar degene die zegt dat iets absoluut noodzakelijk is. Zeker als diegene toevallig ook de factuur stuurt. Want misschien is dat uiteindelijk het opmerkelijkste aan de handel in SSL-certificaten.
We hebben eerst met succes vrijwel het hele internet voorzien van een certificaat. Een enorme prestatie. En nu die klus zo’n beetje klaar is, ontdekken we dat die certificaten eigenlijk veel te lang meegaan. Wat een geluk. Voor de veiligheid, uiteraard.
