Convergence - Et alternativ til traditionelle ca-certs

[NickyThomassen]

Inspireret af et oplæg som Moxie Marlinspike gav for nogle år siden på YouTube, tænkte jeg, at jeg ville dele essensen i hans oplæg.

Hans hovedfokus ligger på det nuværende ca-cert-system, som er den måde, en krypteret forbindelsen til en server bliver bekræftet på. Når jeg forbinder til min netbank, så er jeg nødt til at vide, at det er en Danske Bank server jeg forbinder til, for ellers forsvinder mine penge nok ret hurtigt.

Problemerne med det nuværende system er blandt andet, at en sælger af krypteringscertifikater, faktisk kan sælge Danske Bank certifikater til forbrydere, og det eneste som forhindrer dem i det, er at det ville ødelægge deres omdømme. Og så ikke alligevel, som vi så det med Comodo-skandalen, hvor et seriøst firma solgte certifikater til en forbryder, uden at det har fået konsekvenser for deres forretning. Folk i bred forstand, er åbenbart ligeglade. Og måske med god grund, jeg dømmer dem i hvert fald ikke.

Den forslået løsning, er at fjerne disse firmaer fra systemet, og et konkret eksempel er DANE, som gør det muligt, at bruge DNS-systemet til at verificere om en krypteret forbindelse er gyldig. Problemet her, er dog at fejl åbenbart er almindelige. Så med DANE går man fra at stole 100% på en ca-cert, til at stole 100% på de organisationer, som fx dk-hostmaster, som administrerer et lands domæner (for ikke at nævne USA, som stadig kontrollere DNS-systemet).

Moxie's forslag er, at man selv skal kunne vælge, hvem man stoler på, til at sikre om en krypteret forbindelse er gyldig. Til det formål, har han lavet Convergence, som er et to-part system, opbygget af en server- og klient-del. Klient-delen kontakter en Convergence-server, når der gerne vil laves en krypteret forbindelse, hvilket får Convergence-serveren til at kontakte den samme server som klienten gerne vil. Convergence-serveren giver herefter klienten de oplysninger den samlede ind, og er oplysningerne identiske med dem klienten selv samlede, så går klienten ud fra at forbindelsen er gyldig.

Det lyder måske indviklet, men faktisk er det simplere end det nuværende system, og da man selv kan køre en Convergence-server, som selvfølgelig er open-source software, kan man bedre stole på systemet, i forhold til hvordan det er nu. Det virker dog kun med Firefox, da det kræver en udvidelse til browseren.

Jeg har endnu ikke testet systemet i dybden, men hvis det kan holde hvad det lover, så regner jeg med at sætte en Convergence-server op. Hvis der blandt forummets brugere er et ønske om at bruge Convergence, så ville jeg ikke have noget imod at drive serveren offentligt, måske endda herfra, hvis der altså er stemning for det.