Het idee is dat je weet of een programma afkomstig is van een door Apple gecertificeerde bron. Door de uitgifte van het certificaat aan de ontwikkelaar garandeert Apple dat. Is het dan niet belachelijk dat het certificaat kan verlopen? Ofwel Apple zegt: Wij garanderen de betrouwbaarheid van deze ontwikkelaar maar slechts tot een bepaalde datum. De ontwikkelaar moet dan zelf stappen ondernemen om die garantie te verlengen. Daarbij vindt geen nieuwe audit plaats; de developer krijgt een nieuw certificaat omdat hij daarvoor al een certificaat had. Vanuit een veiligheids aspect is dit natuurlijk al volkomen onzin.
Dat je als instantie op zeker moment besluit om een certificaat in te trekken kan ik billijken. Een developer kan 'op het verkeerde pad' zijn terecht gekomen waarbij hij de voorwaarden voor het certificaat heeft geschonden. Wanneer het zo zou werken is dit goed voor de veiligheid van je software. Maar Apple screent dus niet opnieuw,
nee, alle uitgegeven certificaten vervallen simpelweg.
Daar waar geen nieuw certificaat is aangevraagt blijkt dat in sommige gevallen reeds aangeschafte software, niet meer werkt omdat de bron niet meer 'gecertificeerd' is. De developer heeft dus nagelaten om zijn certificatie te vernieuwen. Dat kan heel veel redenen hebben. Denk bijvoorbeeld aan situaties waarbij de developer niet meer in staat is om zijn certificaat te vernieuwen. Ik heb dan als legale gebruiker van die software ineens een groot probleem.
Het houdt dus in dat ik als potentiële koper eigenlijk inzicht moet hebben in de geestelijke en fysieke gezondheid van de ontwikkelaar en er rekening mee moet houden dat wanneer hij/zij een ski-ongeluk krijgt, mijn software onbruikbaar kan worden. Dit is gechargeerd, weet ik, maar dit is wel een mogelijk scenario waar ik als consument geen enkele vat op heb. Ik heb een stukje software gekocht dat zomaar ineens niet meer wil werken. Mag dat juridisch gezien eigenlijk wel?
Het heeft dus uiteindelijk helemaal niets met veiligheid te maken. Helaas denken veel mensen dat dit wel zo is. Een certificaat is toch zo'n ding dat garandeert dat je op de juiste website zit? Ja, klopt, maar hier gaat het niet om zulke (SSL) certificaten, maar om 'certificaten' die door Apple als certificerende instantie zijn uitgegeven aan developers die zich daartoe hebben aangemeld. De screening stelt niet echt veel voor, en je kunt als developer zelf je certificaat vernieuwen zonder opnieuw gescreend te worden.
Dus vergroot het verlopen van certificaten de veiligheid?
Gast
