De Chrome-klok tikt voor https-certificaten

Google zet zijn plannen door om certificaten afgegeven door Symantec uit te faseren wat betreft het standaardvertrouwen door zijn Chrome-browser. Dit raakt ook de door securityleverancier Symantec overgenomen en gevoerde merken Thawte, VeriSign, Equifax, GeoTrust en RapidSSL. Met ingang van versie 66 weigert Chrome bepaalde SSL/TLS-certificaten die afkomstig zijn van de Symantec CA (certificate authority).

In april, en dan oktober

Chrome 66 komt op 17 april uit voor alle gebruikers van die Google-browsers. Een vroege testrelease (in het zogeheten canary-ontwikkelkanaal) is eind vorige maand uitgekomen en een breder beschikbare bèta komt volgende week uit. De initiële weigering van Symantec-afkomstige certificaten geldt voor beveiligingscertificaten die zijn uitgegeven vóór 1 juni 2016.

Vier versies later gaat Google alle resterende Symantec SSL/TLS-certificaten in de ban doen. Chrome 70 staat gepland om op 16 oktober dit jaar uit te komen. Google doet al geruime tijd aan automatisch updaten van zijn browser, waardoor eindgebruikers altijd ge-update zijn. De bèta van Chrome 70 komt op 13 september uit, en de alpha-release is op 20 juli.

Waarschuwing

De reden voor de ban is een hoog opgelopen conflict tussen Google en Symantec. Eerstgenoemde heeft de afgelopen jaren flinke schendingen ontdekt van de regels voor securityceritificaten. Zo bleek leverancier Symantec in 2015 zo'n 2600 certificaten te hebben uitgegeven door websitedomeinen zonder dat de eigenaren daar weet van hadden. Hieronder bevond zich ook Google.com. Versleutelde verbindingen met zulke sites zouden dan veilig lijken, maar toch gecompromitteerd kunnen zijn door derden met de valselijk afgegeven certificaten.

Google waarschuwt websitebeheerders nu dat ze hun certificaten moeten nalopen. Indien deze van Symantec - of één van diens sub-CA's - zijn, moeten ze vervangen worden. Anders lopen sites het risico dat hun bezoekers geen beveiligde verbindingen kunnen leggen en dat die eindgebruikers waarschuwingen krijgen dat de bezochte sites onbetrouwbaar zijn.