40
Lets Encrypt tut mit Absicht nichts gegen Phising
Hi,
ich schreibe das hier mal ganz klar, falls es auch jemand anders nicht wusste, wie schlimm es ist: Let's Encrypt tut mit Absicht nichts gegen Zertifikate, die für Angriffe wie Phishing benutzt werden (offizielle Aussage).
Ich hatte gerade einen Fall bei einem Kunden, der mit Glück noch heil rausgekommen ist. Das ist Wochen her und die Phishing-Seite funktioniert immer noch - daran wird sich wohl leider auch nichts ändern und weitere können drauf reinfallen. Die Presse berichtete schon häufig und vor Jahren, dass zig-Tausende Phising-Zertifikate ausgestellt werden.
Technisch verstehe ich die Argumente von Let's Encrypt, aber ich finde sie kontraproduktiv. Wir schulen die Benutzer auf Schlosssymbole zu achten, und dann gibt eine CA, die leider von den Browsern ohne Warnung akzeptiert wird, allein 2016/2017 15.000 "Paypal" Zertifikate aus (link)! Der Browser zeigt an "Verbindung ist sicher" (so Chrome wörtlich!).
Ich bringe seit Jahren das Beispiel, dass Let's Encrypt nur die Existenz eines (möglichweise gefälschten) Hostnames "zertifiziert" (und man "sicher mit dem Bösewicht" kommuniziert und der gewünschte Empfänger die Nachrichten nicht mitlesen kann), aber das es so schlimm ist, hätte ich nicht gedachte.
Es bleibt uns wohl nur, Let's Encrypt CA Zertifikate zu deaktivieren, denn wie soll ein Nutzer zwischen "sicher zertifiziert" und "R3 Junk Certification" unterscheiden können? Wir sind ja froh, wenn sie überhaupt auf ein Schloss achten.
ich schreibe das hier mal ganz klar, falls es auch jemand anders nicht wusste, wie schlimm es ist: Let's Encrypt tut mit Absicht nichts gegen Zertifikate, die für Angriffe wie Phishing benutzt werden (offizielle Aussage).
Ich hatte gerade einen Fall bei einem Kunden, der mit Glück noch heil rausgekommen ist. Das ist Wochen her und die Phishing-Seite funktioniert immer noch - daran wird sich wohl leider auch nichts ändern und weitere können drauf reinfallen. Die Presse berichtete schon häufig und vor Jahren, dass zig-Tausende Phising-Zertifikate ausgestellt werden.
Technisch verstehe ich die Argumente von Let's Encrypt, aber ich finde sie kontraproduktiv. Wir schulen die Benutzer auf Schlosssymbole zu achten, und dann gibt eine CA, die leider von den Browsern ohne Warnung akzeptiert wird, allein 2016/2017 15.000 "Paypal" Zertifikate aus (link)! Der Browser zeigt an "Verbindung ist sicher" (so Chrome wörtlich!).
Ich bringe seit Jahren das Beispiel, dass Let's Encrypt nur die Existenz eines (möglichweise gefälschten) Hostnames "zertifiziert" (und man "sicher mit dem Bösewicht" kommuniziert und der gewünschte Empfänger die Nachrichten nicht mitlesen kann), aber das es so schlimm ist, hätte ich nicht gedachte.
Es bleibt uns wohl nur, Let's Encrypt CA Zertifikate zu deaktivieren, denn wie soll ein Nutzer zwischen "sicher zertifiziert" und "R3 Junk Certification" unterscheiden können? Wir sind ja froh, wenn sie überhaupt auf ein Schloss achten.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 2668148417
Url: https://administrator.de/contentid/2668148417
Printed on: June 2, 2024 at 13:06 o'clock
40 Comments
Latest comment
Zitat von @drahtbruecke:
Technisch verstehe ich die Argumente von Let's Encrypt, aber ich finde sie kontraproduktiv. Wir schulen die Benutzer auf Schlosssymbole zu achten,
Technisch verstehe ich die Argumente von Let's Encrypt, aber ich finde sie kontraproduktiv. Wir schulen die Benutzer auf Schlosssymbole zu achten,
Dann schult ihr falsch. Man schult nicht darauf, auf Schlösser zu achten, sondern darauf das Zertifikat zu prüfen, ob das ein "echter Ausweis" sein kann. Das ist genauso, wie wenn man einen Personalausweis, der echt aussieht akzeptiert, auch wenn da Dagobert Duck draufsteht und der Aussteller die Vom8ccon ist.
... und dann gibt eine CA, die leider von den Browsern ohne Warnung akzeptiert wird, allein 2016/2017 15.000 "Paypal" Zertifikate aus (link)! Der Browser zeigt an "Verbindung ist sicher" (so Chrome wörtlich!).
Der Browser hat Recht. Die Verbindung selbst ist sicher. Du hat aber nicht überprüft, ob Dein Gegenüber echt ist.
Du scheinst dem Mißverstandnis zu unterliegen, daß wenn Dein Browser Dir sagt etwas sei sicher Du automatisch davon ausgeht, daß das auch so sein muß.
Also: Schule Deine Mitarbeiter und Kunden darauf, daß sie das Zertifikat überprüfen, ob es plausibel ist, daß z.B. eine Bank ein letsencrypt-Zertifikat benutzt und nicht nur darauf einfach bei grün (= Vorhängeschloss geschlossen) über die Straße zu gehen im Vertrauen darauf daß er grün hat. Es gibt genug Idioten die sich nicht an Regeln nicht halten. İnsbesondere Verbrecher sind bekannt dafür das nicht zu tun.
İm Falle von. Letsencryot sehe ich auch keine Handhabe außer durch Gerichtsbeschluss, die Zertifikate widerrufen zu lassen. Das wird aber kaum einen Phisger stören, denn neue Zertifikate sind schnell ausgestellt.
Wenn man weiß, das elbonische Ausweise jedem ausgestellt werden und daher auch Gauner diese oft benutzen, sollte man sich imner die Ausweise genau anschauen oder diese ganz sperren.
lks
PS: Zertifikate sperren - so geht's. Ist zwar schon etwas älter, aber das wäre imho die wirksamere Methode statt auf ein Einsehen von lets-Encrypt zu hoffen. (You get what you pay for würde jetzt der Angelsaxe sagen.)
2
Das, was der Lochkartenstanzer sagt, Plus:
Die Browser zeigen, meist über die Detailansichten auf dem Schloss-Symbol, ob man die Seite zuvor schonmal aufgerufen hat.
Bei der echten Bankseite ist das der Fall, bei der Phishing-Seite nicht.
Und davon abgesehen sind die Wege, wie man auf die Phishing-Seiten kommt, oft dubios genug, dass die Nutzer von selbst merken könnten, dass da was faul ist.
Schlechte Rechtschreibung, merkwürdiger Satzbau, komische Absender-Adressen in E-Mails...
Die Browser zeigen, meist über die Detailansichten auf dem Schloss-Symbol, ob man die Seite zuvor schonmal aufgerufen hat.
Bei der echten Bankseite ist das der Fall, bei der Phishing-Seite nicht.
Und davon abgesehen sind die Wege, wie man auf die Phishing-Seiten kommt, oft dubios genug, dass die Nutzer von selbst merken könnten, dass da was faul ist.
Schlechte Rechtschreibung, merkwürdiger Satzbau, komische Absender-Adressen in E-Mails...
Schade, dass ihr in eurer (fachlich sicher begründeten) Überheblichkeit nicht seht, wie "die Verbindung ist sicher" auf Benutzer wirkt. Zwar können jetzt Geheimdienste nicht mehr so einfach mitlesen, dafür russische Hacker. Danke, let's encrypt, das hat sich ja voll gelohnt! Aber natürlich findet sich immer noch jemand, der solche "nichts-Zertifikate" verteidigt, obwohl im Studium Kryptographie 1 schon gelehrt wird, dass Verschlüsselung ohne Authentizität im Normalfall nichts bringt.
Heute ist es Detailansicht, morgen OU prüfen und CA kennen ("man muss doch wissen, was let's encrypt tut") und was kommt dann? Fingerprints auswendig lernen?
Nein, die Erwartungshaltung von "die Verbindung ist sicher" kann man den Benutzern nicht anlasten, das Tool ist kaputt. Bei jeder blöden App wird alles auf "intuitiv bedienbar" getrimmt und ausgerechnet dann, wenn es wichtig ist, wird die zu prüfende Information hinter drei Mausklicks versteckte sein? Spoiler: macht keiner.
Heute ist es Detailansicht, morgen OU prüfen und CA kennen ("man muss doch wissen, was let's encrypt tut") und was kommt dann? Fingerprints auswendig lernen?
Nein, die Erwartungshaltung von "die Verbindung ist sicher" kann man den Benutzern nicht anlasten, das Tool ist kaputt. Bei jeder blöden App wird alles auf "intuitiv bedienbar" getrimmt und ausgerechnet dann, wenn es wichtig ist, wird die zu prüfende Information hinter drei Mausklicks versteckte sein? Spoiler: macht keiner.
Hallo,
leider ist es bittere Realität, das bei diversen Gelegenheiten immer wieder das Schloss-Symbol als Symbol für eine Sichere Website hingestellt wird. Ich habe das selbst so bei einer Weiterbildung (für nicht-ITler) so erlebt: man soll auf das Schlossymbol achten, damit man sich keine Viren einfängt…
Der Ansatz von LetsEncrypt ist es ja nicht, Websites zu authentizifieren, sondern eine TSL-Verschlüsselung zu ermöglichen. Also - die User müssen geschult werden, das Schloss als das zu sehen, was es ist - ein Symbol für eine verschlüsselte Verbindung mit dem Server, der im Zertifikat steht. Lesen können muss der User schon selbst.
Grüße
lcer
leider ist es bittere Realität, das bei diversen Gelegenheiten immer wieder das Schloss-Symbol als Symbol für eine Sichere Website hingestellt wird. Ich habe das selbst so bei einer Weiterbildung (für nicht-ITler) so erlebt: man soll auf das Schlossymbol achten, damit man sich keine Viren einfängt…
Der Ansatz von LetsEncrypt ist es ja nicht, Websites zu authentizifieren, sondern eine TSL-Verschlüsselung zu ermöglichen. Also - die User müssen geschult werden, das Schloss als das zu sehen, was es ist - ein Symbol für eine verschlüsselte Verbindung mit dem Server, der im Zertifikat steht. Lesen können muss der User schon selbst.
Grüße
lcer
2
Hallo nochmal,
Grüße
lcer
Zitat von @drahtbruecke:
Schade, dass ihr in eurer (fachlich sicher begründeten) Überheblichkeit nicht seht, wie "die Verbindung ist sicher" auf Benutzer wirkt.
Dafür dass die Browser hier falsche Sicherheit suggerieren, kann hier keiner etwas. Auch LetsEncrypt nicht.Schade, dass ihr in eurer (fachlich sicher begründeten) Überheblichkeit nicht seht, wie "die Verbindung ist sicher" auf Benutzer wirkt.
Grüße
lcer
1Zitat von @drahtbruecke:
Schade, dass ihr in eurer (fachlich sicher begründeten) Überheblichkeit nicht seht, wie "die Verbindung ist sicher" auf Benutzer wirkt.
Schade, dass ihr in eurer (fachlich sicher begründeten) Überheblichkeit nicht seht, wie "die Verbindung ist sicher" auf Benutzer wirkt.
Das sehe ich durchaus. Ich muß nämlich dauernd meine Kunden darauf hinweisen, daß es eben "nicht sicher" ist eine sichere Verbindung zu haben, sondern man auch darauf schauen, daß am anderen Ende der verbindung der sitzt, der vorgibt der zu sein. Das kann man z.B. dadurch machen, indem man z.b. bei der Bank anruft und sich deren Fingerprint geben läßt und nciht einfach der CA vertraut, daß die sagt, daß er der richtige Inhaber sei. Den Grund sieht man ganz leicht bei letsencrypt. Und auch unter den "seriösen" CAs gab es schon welche, die an die falschen Personen Zertifikate ausgestellt haben. (https://blog.server-daten.de/de/2018-02-08/Wieviele-Symantec-Zertifikate ..) .
Zwar können jetzt Geheimdienste nicht mehr so einfach mitlesen, dafür russische Hacker. Danke, let's encrypt, das hat sich ja voll gelohnt! Aber natürlich findet sich immer noch jemand, der solche "nichts-Zertifikate" verteidigt, obwohl im Studium Kryptographie 1 schon gelehrt wird, dass Verschlüsselung ohne Authentizität im Normalfall nichts bringt.
Heute ist es Detailansicht, morgen OU prüfen und CA kennen ("man muss doch wissen, was let's encrypt tut") und was kommt dann? Fingerprints auswendig lernen?
Heute ist es Detailansicht, morgen OU prüfen und CA kennen ("man muss doch wissen, was let's encrypt tut") und was kommt dann? Fingerprints auswendig lernen?
Due hast doch bei den anderen CAs doch auch keine garantierte Authentizität. Es gab schon bei jeder ernstzunehmenden CA Fälle, in denen bekannt wurde, daß die Zertifikate falschen Leuten ausgestellt wurden. Daß die CAs in den Browsern als vertrauenswürdig eingetragen sind obwohl genaugenommen überhaupt keine von denen Vertrauenswürdig ist, ist der Knackpunkt. eigentlich müßte man alle CAs aus den Browsern werfen und manuell nur noch die Zertifikate einpflegen, die man als vertrauenswürdig einstuft.
Nein, die Erwartungshaltung von "die Verbindung ist sicher" kann man den Benutzern nicht anlasten, das Tool ist kaputt. Bei jeder blöden App wird alles auf "intuitiv bedienbar" getrimmt und ausgerechnet dann, wenn es wichtig ist, wird die zu prüfende Information hinter drei Mausklicks versteckte sein? Spoiler: macht keiner.
Doch. Die benutzer sind zu faul sich mit dem Thema zu beschöftigen und die Sicherheit ist ihnen egal. Was glaubst DU, was ich mir den Mund fusselig rede, den Leuten wenigstens die grundlegenden Sicherheitsmaßnahmen beizubringen.
Aber im wesentlich ist die ganze Sicherheitsarchitektur mit den in Browsern eingepflegten CAs marode, weil davon ausgegangen wird, daß jede CA gleich vertrauenswürding ist und Ihre Aufgaben ernstnimmt. letsencrypt ist nur ein Symptom davon.
lks
PS: ich mache mir tatsächlich den "Spaß", ab und Zu bei meinen Banken anzurufen, wenn die Zertifikate sich geändert haben und mir deren Fingerprint vom zertifikat durchgeben zu lassen. Es dauert dann zwar immer eine Weile, bis man an einen Mitarbeiter kommt, der das Problem versteht, aber es funktioniert wenigstens ab und zu.
1
Das Hauptproblem ist: Ja, natürlich kann LE Zertifikate sperren. Prüft nur leider fast kein Browser nach. Firewalls mit TLS-Inspection übrigens oft auch nicht.
Ergo wird auch ein gesperrtes Zertifikat so lange in den meisten Umgebungen als gültig betrachtet, wie es eben ausgestellt wurde.
Dann kann LE auch präventiv kaum sinnvoll etwas unternehmen. Einige CAs pflegen "Badword"-Listen, die eine manuelle Überprüfung vorsehen, wenn bestimmte Begriffe im Zertifikatsnamen auftauchen — z.B. "sparkasse".
Kann ich als Phisher dann leicht umgehen, indem ich "spakasse" oder "sprakase" verwende.
Das skaliert also auch nicht.
Diese Probleme hat nicht nur Let's Encrypt sondern prinzipbedingt jede CA, die Domainvalidated Zertifikate ausstellt.
Und realistisch betrachtet macht die CA nichts falsch: Ein DV-Zertifikat gibt nur an, dass verifiziert wurde, dass der Betreiber eines Servers tatsächlich über den im Zertifikat stehenden Hostname verfügen kann.
Es wird explizit nicht geprüft, wer der Inhaber der Domain ist, geschweige denn, ob die Inhalte der Webseite tatsächlich zum vorgeblichen Eigentümer gehören.
Dafür gibt es OV- oder EV-Zertifikate, bei denen dann auch die kompletten Daten des Eigentümers im Zertifikat stehen.
Aber selbst das schützt dich ja nicht 100%ig davor, dass da vielleicht jemand vorgibt, eine Bank zu sein.
Bei Wirecard soll es wohl zu Treffen in Kulissen einer Bank gekommen sein, die in Wirklichkeit nicht existierte.
Es bleibt dabei, dass die Nutzer auf größtmögliches Misstrauen geschult sein müssen. Dann fallen die Leute später auch nicht auf Enkeltrick-Anrufe oder Gewinnversprechen per Briefpost rein.
Ergo wird auch ein gesperrtes Zertifikat so lange in den meisten Umgebungen als gültig betrachtet, wie es eben ausgestellt wurde.
Dann kann LE auch präventiv kaum sinnvoll etwas unternehmen. Einige CAs pflegen "Badword"-Listen, die eine manuelle Überprüfung vorsehen, wenn bestimmte Begriffe im Zertifikatsnamen auftauchen — z.B. "sparkasse".
Kann ich als Phisher dann leicht umgehen, indem ich "spakasse" oder "sprakase" verwende.
Das skaliert also auch nicht.
Diese Probleme hat nicht nur Let's Encrypt sondern prinzipbedingt jede CA, die Domainvalidated Zertifikate ausstellt.
Und realistisch betrachtet macht die CA nichts falsch: Ein DV-Zertifikat gibt nur an, dass verifiziert wurde, dass der Betreiber eines Servers tatsächlich über den im Zertifikat stehenden Hostname verfügen kann.
Es wird explizit nicht geprüft, wer der Inhaber der Domain ist, geschweige denn, ob die Inhalte der Webseite tatsächlich zum vorgeblichen Eigentümer gehören.
Dafür gibt es OV- oder EV-Zertifikate, bei denen dann auch die kompletten Daten des Eigentümers im Zertifikat stehen.
Aber selbst das schützt dich ja nicht 100%ig davor, dass da vielleicht jemand vorgibt, eine Bank zu sein.
Bei Wirecard soll es wohl zu Treffen in Kulissen einer Bank gekommen sein, die in Wirklichkeit nicht existierte.
Es bleibt dabei, dass die Nutzer auf größtmögliches Misstrauen geschult sein müssen. Dann fallen die Leute später auch nicht auf Enkeltrick-Anrufe oder Gewinnversprechen per Briefpost rein.
Schade, dass du nicht verstehst, dass es einen wahnsinnigen Unterschied gibt zwischen "Die Verbindung ist sicher" und "der Partner ist der, für den er sich ausgibt".
Das ist deine Überheblichkeit, vielleicht ist das Thema "IT" zu vielschichtig für dich, womit du absolut nicht nachvollziehen kannst, was das Ziel von Let's Encrypt ist: Verschlüsselung! Nicht Verifikation.
Das ist deine Überheblichkeit, vielleicht ist das Thema "IT" zu vielschichtig für dich, womit du absolut nicht nachvollziehen kannst, was das Ziel von Let's Encrypt ist: Verschlüsselung! Nicht Verifikation.
1
Wie so oft hat meinen ersten Gedanken der weise Kollege lks 
schon längst geschrieben.
Der erste Schulungssatz für Oma ist immer: Exakt die Herkunft der Seite verstehen und wichtige Seiten wie Bankseiten u.ä. möglichst nur aus den Lesezeichen öffnen. Bei Unsicherheit: Aufs Schloss klicken und ganz genau lesen. Das Schloss selbst ist mittlerweile überall dran und ist weder ein Indiz für Seriösität noch für Sicherheit (von der Verschlüsselung mal abgesehen).
Und weil Du das nicht einsehen magst, sind die Gründe gleich
Die EFF hat mit Let’s Encrypt Großes geleistet - in dem gesteckten Rahmen. Das Internet ist dadurch sicherer geworden, nicht unsicherer. Wenn Du Verbesserungen willst, feel free to engage. Nen Filter bei der Zertifikatsvergabe einzusetzen wäre ja keine große Sache. Muss halt nur jemand pflegen. Weltweit.
wie
https://www.bmw.de
https://www.mercedes-benz.de
Viele Grüße, commodity
schon längst geschrieben.Dann schult ihr falsch
Was für ein Quatsch, das Schloss als Herkunftssicherheit betrachten zu wollen. Wer heute noch so simpel denkt, hat im Internet nichts verloren. Der ist mit der erstbesten Mail von "DHL" dann auch sowieso geliefert und sein Passwort lautet wahrscheinlich "qwertz54321".Der erste Schulungssatz für Oma ist immer: Exakt die Herkunft der Seite verstehen und wichtige Seiten wie Bankseiten u.ä. möglichst nur aus den Lesezeichen öffnen. Bei Unsicherheit: Aufs Schloss klicken und ganz genau lesen. Das Schloss selbst ist mittlerweile überall dran und ist weder ein Indiz für Seriösität noch für Sicherheit (von der Verschlüsselung mal abgesehen).
Und weil Du das nicht einsehen magst, sind die Gründe gleich
überheblich
, ja? Interessante Debattenführung. Kommt mir irgendwie bekannt vor...Die EFF hat mit Let’s Encrypt Großes geleistet - in dem gesteckten Rahmen. Das Internet ist dadurch sicherer geworden, nicht unsicherer. Wenn Du Verbesserungen willst, feel free to engage. Nen Filter bei der Zertifikatsvergabe einzusetzen wäre ja keine große Sache. Muss halt nur jemand pflegen. Weltweit.
Es bleibt uns wohl nur, Let's Encrypt CA Zertifikate zu deaktivieren,
Ja, bitte mach das. Deine Kunden werden begeistert sein! Sind ja nur die Kleinsten, die Let’s Encrypt verwenden:wie
https://www.bmw.de
https://www.mercedes-benz.de
Viele Grüße, commodity
1
Hallo,
also - ich habe noch nie jemanden „geschult“, auf „das Schlosssymbol zu achten“?!?
Zumal selbst signierte Zertifikate unter Umständen sogar mehr Integrität gewährleisten können.
Woher hast Du die Aussage, dass Zertifikate eine Sicherheit garantieren? Ernst gemeinte Frage…
Gruß,
Jörg
also - ich habe noch nie jemanden „geschult“, auf „das Schlosssymbol zu achten“?!?
Zumal selbst signierte Zertifikate unter Umständen sogar mehr Integrität gewährleisten können.
Woher hast Du die Aussage, dass Zertifikate eine Sicherheit garantieren? Ernst gemeinte Frage…
Gruß,
Jörg
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos. Bei TLS gibt es keine "anonyme" Verschlüsselung (also Verschlüsselung ohne Authentizitätsprüfung), weil das sinnlos ist. Wenn man nicht weiß, für wen man verschlüsselt, braucht man meistens gar nicht verschlüsseln, denn in beiden Fällen kann der Partner die Daten lesen. Man möchte ja nicht verschlüsseln um das verschlüsseln willen, sondern sicherstellen, dass niemand falsches die Daten lesen oder ändern kann. Das ist der Zweck von TLS, was dazu X.509 verwendet.
Nun hatte man gemerkt, dass Geheimdienste alles scannen und die Verbreitung von TLS gefördert. Eine Hürde war, dass Zertifikate prinzipbedingt Aufwand erzeugen - denn wenn man einen Kommunikationsparnter sinnvoll zertifiziert, muss man ihn logischerweise prüfen.
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt. Das macht nur eben keinen Sinn, denn der Zweck der Verschlüsselung ist ja nicht CO2 Erzeugung, sondern sicherzustellen, dass niemand falsches die Daten lesen oder ändern kann.
Wenn man jetzt noch weiß, dass man mit Unicode-Zeichen "rückwärts" schreiben kann und vielen weiteren "Unfug" anstellen kann, merkt man, dass man angezeigten Namen überhaupt nicht trauen kann. Daher verwendet man Zertifikate "An X.509 certificate binds an identity to a public key using a digital signature..
Der Zweck des Schlossymbols ist genau der, eine "sichere Verbindung" anzuzeigen. Der text lautet ja auch so. Da steht ja nicht "Sinnlose Verschlüsselung zu unbekanntem Empfänger aktiviert", sondern "Die Verbindung ist sicher". Sicher heißt für die Zielgruppe nicht, dass man sicher mit einen Angreifer kommuniziert. Lest doch mal die Doku von Firefox ("Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen." - vielleicht wurde die aber abgefangen und auf eine sehr ähnlich aussehende Domain umgeleitet; andernfalls "In solchen Fällen ist nicht sichergestellt, dass Sie auch wirklich mit der beabsichtigten Webseite kommunizieren und die Verbindung abhörsicher ist.", aber das ist es dann ja nie und man könnte sich das einfach mal sparen.
Das inzwischen Firmen mit Seiten wie mercedes-benz.de ein Zertifikat "Diese Website stellt keine Informationen über den Besitzer zur Verfügung.", also ein Personalausweis ohne Namen, verwenden und damit durchkommen, zeigt, wie kaputt das inzwischen ist.
(und wir reden hier nicht über einzelne Fälle von Mißbrauch, die es immer geben wird, sondern über das inzwischen bei Design kaputte System)
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos. Bei TLS gibt es keine "anonyme" Verschlüsselung (also Verschlüsselung ohne Authentizitätsprüfung), weil das sinnlos ist. Wenn man nicht weiß, für wen man verschlüsselt, braucht man meistens gar nicht verschlüsseln, denn in beiden Fällen kann der Partner die Daten lesen. Man möchte ja nicht verschlüsseln um das verschlüsseln willen, sondern sicherstellen, dass niemand falsches die Daten lesen oder ändern kann. Das ist der Zweck von TLS, was dazu X.509 verwendet.
Nun hatte man gemerkt, dass Geheimdienste alles scannen und die Verbreitung von TLS gefördert. Eine Hürde war, dass Zertifikate prinzipbedingt Aufwand erzeugen - denn wenn man einen Kommunikationsparnter sinnvoll zertifiziert, muss man ihn logischerweise prüfen.
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt. Das macht nur eben keinen Sinn, denn der Zweck der Verschlüsselung ist ja nicht CO2 Erzeugung, sondern sicherzustellen, dass niemand falsches die Daten lesen oder ändern kann.
Wenn man jetzt noch weiß, dass man mit Unicode-Zeichen "rückwärts" schreiben kann und vielen weiteren "Unfug" anstellen kann, merkt man, dass man angezeigten Namen überhaupt nicht trauen kann. Daher verwendet man Zertifikate "An X.509 certificate binds an identity to a public key using a digital signature..
Der Zweck des Schlossymbols ist genau der, eine "sichere Verbindung" anzuzeigen. Der text lautet ja auch so. Da steht ja nicht "Sinnlose Verschlüsselung zu unbekanntem Empfänger aktiviert", sondern "Die Verbindung ist sicher". Sicher heißt für die Zielgruppe nicht, dass man sicher mit einen Angreifer kommuniziert. Lest doch mal die Doku von Firefox ("Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen." - vielleicht wurde die aber abgefangen und auf eine sehr ähnlich aussehende Domain umgeleitet; andernfalls "In solchen Fällen ist nicht sichergestellt, dass Sie auch wirklich mit der beabsichtigten Webseite kommunizieren und die Verbindung abhörsicher ist.", aber das ist es dann ja nie und man könnte sich das einfach mal sparen.
Das inzwischen Firmen mit Seiten wie mercedes-benz.de ein Zertifikat "Diese Website stellt keine Informationen über den Besitzer zur Verfügung.", also ein Personalausweis ohne Namen, verwenden und damit durchkommen, zeigt, wie kaputt das inzwischen ist.
(und wir reden hier nicht über einzelne Fälle von Mißbrauch, die es immer geben wird, sondern über das inzwischen bei Design kaputte System)
Nein, Let's Encrypt ging es nur um die Verschlüsselung der Verbindung. Nicht mehr, nicht weniger und das haben Sie erreicht. Es gibt kaum noch Seiten, die http (e.g.) überhaupt anbieten.
[wikipedia]
Damit, Ziel erfüllt.
Das ist der Zweck von TLS, was dazu X.509 verwendet.
Transport Layer Security (TLS, englisch für Transportschichtsicherheit), auch bekannt unter der Vorgängerbezeichnung Secure Sockets Layer (SSL), ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet.
[wikipedia]
Damit, Ziel erfüllt.
Zitat von @drahtbruecke:
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos. Bei TLS gibt es keine "anonyme" Verschlüsselung (also Verschlüsselung ohne Authentizitätsprüfung), weil das sinnlos ist. Wenn man nicht weiß, für wen man verschlüsselt, braucht man meistens gar nicht verschlüsseln, denn in beiden Fällen kann der Partner die Daten lesen. Man möchte ja nicht verschlüsseln um das verschlüsseln willen, sondern sicherstellen, dass niemand falsches die Daten lesen oder ändern kann. Das ist der Zweck von TLS, was dazu X.509 verwendet.
Nun hatte man gemerkt, dass Geheimdienste alles scannen und die Verbreitung von TLS gefördert. Eine Hürde war, dass Zertifikate prinzipbedingt Aufwand erzeugen - denn wenn man einen Kommunikationsparnter sinnvoll zertifiziert, muss man ihn logischerweise prüfen.
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt. Das macht nur eben keinen Sinn, denn der Zweck der Verschlüsselung ist ja nicht CO2 Erzeugung, sondern sicherzustellen, dass niemand falsches die Daten lesen oder ändern kann.
Wenn man jetzt noch weiß, dass man mit Unicode-Zeichen "rückwärts" schreiben kann und vielen weiteren "Unfug" anstellen kann, merkt man, dass man angezeigten Namen überhaupt nicht trauen kann. Daher verwendet man Zertifikate "An X.509 certificate binds an identity to a public key using a digital signature..
Der Zweck des Schlossymbols ist genau der, eine "sichere Verbindung" anzuzeigen. Der text lautet ja auch so. Da steht ja nicht "Sinnlose Verschlüsselung zu unbekanntem Empfänger aktiviert", sondern "Die Verbindung ist sicher". Sicher heißt für die Zielgruppe nicht, dass man sicher mit einen Angreifer kommuniziert. Lest doch mal die Doku von Firefox ("Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen." - vielleicht wurde die aber abgefangen und auf eine sehr ähnlich aussehende Domain umgeleitet; andernfalls "In solchen Fällen ist nicht sichergestellt, dass Sie auch wirklich mit der beabsichtigten Webseite kommunizieren und die Verbindung abhörsicher ist.", aber das ist es dann ja nie und man könnte sich das einfach mal sparen.
Das inzwischen Firmen mit Seiten wie mercedes-benz.de ein Zertifikat "Diese Website stellt keine Informationen über den Besitzer zur Verfügung.", also ein Personalausweis ohne Namen, verwenden und damit durchkommen, zeigt, wie kaputt das inzwischen ist.
(und wir reden hier nicht über einzelne Fälle von Mißbrauch, die es immer geben wird, sondern über das inzwischen bei Design kaputte System)
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos. Bei TLS gibt es keine "anonyme" Verschlüsselung (also Verschlüsselung ohne Authentizitätsprüfung), weil das sinnlos ist. Wenn man nicht weiß, für wen man verschlüsselt, braucht man meistens gar nicht verschlüsseln, denn in beiden Fällen kann der Partner die Daten lesen. Man möchte ja nicht verschlüsseln um das verschlüsseln willen, sondern sicherstellen, dass niemand falsches die Daten lesen oder ändern kann. Das ist der Zweck von TLS, was dazu X.509 verwendet.
Nun hatte man gemerkt, dass Geheimdienste alles scannen und die Verbreitung von TLS gefördert. Eine Hürde war, dass Zertifikate prinzipbedingt Aufwand erzeugen - denn wenn man einen Kommunikationsparnter sinnvoll zertifiziert, muss man ihn logischerweise prüfen.
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt. Das macht nur eben keinen Sinn, denn der Zweck der Verschlüsselung ist ja nicht CO2 Erzeugung, sondern sicherzustellen, dass niemand falsches die Daten lesen oder ändern kann.
Wenn man jetzt noch weiß, dass man mit Unicode-Zeichen "rückwärts" schreiben kann und vielen weiteren "Unfug" anstellen kann, merkt man, dass man angezeigten Namen überhaupt nicht trauen kann. Daher verwendet man Zertifikate "An X.509 certificate binds an identity to a public key using a digital signature..
Der Zweck des Schlossymbols ist genau der, eine "sichere Verbindung" anzuzeigen. Der text lautet ja auch so. Da steht ja nicht "Sinnlose Verschlüsselung zu unbekanntem Empfänger aktiviert", sondern "Die Verbindung ist sicher". Sicher heißt für die Zielgruppe nicht, dass man sicher mit einen Angreifer kommuniziert. Lest doch mal die Doku von Firefox ("Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen." - vielleicht wurde die aber abgefangen und auf eine sehr ähnlich aussehende Domain umgeleitet; andernfalls "In solchen Fällen ist nicht sichergestellt, dass Sie auch wirklich mit der beabsichtigten Webseite kommunizieren und die Verbindung abhörsicher ist.", aber das ist es dann ja nie und man könnte sich das einfach mal sparen.
Das inzwischen Firmen mit Seiten wie mercedes-benz.de ein Zertifikat "Diese Website stellt keine Informationen über den Besitzer zur Verfügung.", also ein Personalausweis ohne Namen, verwenden und damit durchkommen, zeigt, wie kaputt das inzwischen ist.
(und wir reden hier nicht über einzelne Fälle von Mißbrauch, die es immer geben wird, sondern über das inzwischen bei Design kaputte System)
Wir alle hier verstehen den Unterschied zwischen Verschlüsselung und Authentifizierung.
Ich glaube Du bist hier im falschen Forum. Deine Bedenken zum Verbraucherschutz solltest Du vielleicht besser einer Verbraucherzentrale schildern.
Grüße
lcer
Zitat von @drahtbruecke:
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos.
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ein Zertifikat, was den Eigentümer nicht authentifiziert, ist nutzlos.
Du hast ein falsches Verständnis vom zertifikat. Wenn jemand Die einen Ausweis zeigt, mußt Du auch sicherstellen, daß Ausweis und derjenige, der ihn zeigt auch der ist, zu dem er gehört (Siehe auch das Thema [https://www.google.com/search?q=videoident Videoident). Solang nur auf den Ausweis guckst, weilder ja von einer deutschen Behörde ausgestellt ist und nicht darauf achtest, daß die Teenagerin die ihn vorzeigt um Sprit zu kaufen, überhaupt keine ähnlichkeit mit dem vollbärtigen Opa hat, der auf dem Ausweis abgebildet ist, so lange funktioniert auch die Authenmtifikation nicht.
Du mußt immer überprüfen, ob der, der Dir ein Zertifikat zeigt auch derjenige ist, auf den es ausgestellt wurde. Die CA bestätigt nur, daß sie ein Zertifikat ausgestellt hat. Ob diese CA die Identität des Antragstellers überprüft hat, steht auf einem anderen Blatt. Selbst bei hochpreisigen CAs ist das oft nicht der Fall. Die Problematik ist, daß das ganze CA und Authentifikationssystem von Browsern von Grund auf verkorkst ist.
Und bei letsencryt ist es nun mal so, daß die überhaupt keine Idendität überprüfen. Das weiß man auch (als Fachmann). Es hilft ncihts daß Du herumlamentierst, Bring einfach Goolge & Co. dazu, daß sie das verkorkste Zertifikatssystem einstampfen.
lks
das ist wiederrum falsch. Denn es wird geprüft, ob der Name zum Zertifikat passt, aber nicht, ob der Vorzeiger der passende ist. Besser ist: Opa Maier (vorgeblich) will an Peter Müller ein Haus überschreiben, aber Anstatt Opa Maier kommt Opa Müller (mit seinem Personalausweis) und überschreibt Opa Maiers Haus an Peter Müller.
Die Transferleistung ist das hier gegebene Problem.
Die Transferleistung ist das hier gegebene Problem.
Deuten wir vielleicht die Kritik in einen feature request um.
Einzig sind die Techniker hier im Forum die falschen Adressaten. Es gibt auch keine Instanz, die diese Kontrolle umsetzen könnte. Zertifizierungsstellen könnten das, wie oben schon geschildert, nur sehr unvollständig. Die Sicherheit wäre größer, aber das Risiko bliebe. Vielleicht versuchst Du Dein Glück mal bei der EU-Kommission?
Ansonsten gilt: Die Freiheit des Internets hat ihren Preis. Und der heißt Aufmerksamkeit und Selbstverantwortung.
Mozilla schreibt das doch ganz richtig:
Gedanken über mehr Schutz im Internet sind sicher berechtigt. Bleib dran
Viele Grüße, commodity
Einzig sind die Techniker hier im Forum die falschen Adressaten. Es gibt auch keine Instanz, die diese Kontrolle umsetzen könnte. Zertifizierungsstellen könnten das, wie oben schon geschildert, nur sehr unvollständig. Die Sicherheit wäre größer, aber das Risiko bliebe. Vielleicht versuchst Du Dein Glück mal bei der EU-Kommission?
Ansonsten gilt: Die Freiheit des Internets hat ihren Preis. Und der heißt Aufmerksamkeit und Selbstverantwortung.
Mozilla schreibt das doch ganz richtig:
Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen.
...nicht darauf achtest, daß die Teenagerin die ihn vorzeigt um Sprit zu kaufen, überhaupt keine ähnlichkeit mit dem vollbärtigen Opa hat, der auf dem Ausweis abgebildet ist...
herrlich, lks! Man muss dem TO aber zugute halten, dass in seinem Beispiel die Teenagerin dem Opa recht ähnlich sieht Gedanken über mehr Schutz im Internet sind sicher berechtigt. Bleib dran
Viele Grüße, commodity
Zitat von @commodity:
...nicht darauf achtest, daß die Teenagerin die ihn vorzeigt um Sprit zu kaufen, überhaupt keine ähnlichkeit mit dem vollbärtigen Opa hat, der auf dem Ausweis abgebildet ist...
herrlich, lks! Man muss dem TO aber zugute halten, dass in seinem Beispiel die Teenagerin dem Opa recht ähnlich sieht Wenn ich nur die Zwillinge Opa Müller und Opa Meier genommen hätte, die weil sie als Kinder von verschiedenen Familien adoptiert wurden, verschiedene Namen haben, aber gleich aussehen, wäre der Vergleich mit den Zertifikaten nicht so deutlich geworden. Man muß manchmal etwas übertreiben, damit das wesentliche heraussticht.
lks
Hallo,
was hat das Ganze denn überhaupt mit LetsEncrypt zu tun?
Ich kann mir auch ohne Probleme ein offizielles Zertifikat eines anderen Anbieters holen oder auch kaufen, ohne groß meine Identität nachweisen zu müssen. Da gibt es genug Wege. Das ist doch kein Alleinstellungsmerkmal von LetsEncrypt. Es geht hier nur einfacher.
Wie andere schon sagten: Das Zertifikat zeigt Dir nur, das Du Dich mit dem Server verbindest, für den er sich ausgibt. Ob das jetzt ein guter oder ein böser Server ist, kann Dir das Zertifikat und somit Dein Browser mit dem grünen Schloss nicht sagen.
Ich glaube, Du haust gerade auf dem Falschen rum.
cu,
ipzipzap
was hat das Ganze denn überhaupt mit LetsEncrypt zu tun?
Ich kann mir auch ohne Probleme ein offizielles Zertifikat eines anderen Anbieters holen oder auch kaufen, ohne groß meine Identität nachweisen zu müssen. Da gibt es genug Wege. Das ist doch kein Alleinstellungsmerkmal von LetsEncrypt. Es geht hier nur einfacher.
Wie andere schon sagten: Das Zertifikat zeigt Dir nur, das Du Dich mit dem Server verbindest, für den er sich ausgibt. Ob das jetzt ein guter oder ein böser Server ist, kann Dir das Zertifikat und somit Dein Browser mit dem grünen Schloss nicht sagen.
Ich glaube, Du haust gerade auf dem Falschen rum.
cu,
ipzipzap
Zitat von @drahtbruecke:
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt.
Dann kam Lets Encrypt und erhob Verschlüsselung zum Selbstzweck. Egal, ob man mit Bank oder Hacker redet, Hauptsche, verschlüsselt.
Nein, DV-Zertifikate, die auf gleiche Art und Weise wie bei Let's Encrypt validiert werden, haben schon seit Jahrzehnten andere angeboten. Eigentlich so ziemlich alle CAs.
Du konntest auch schon vor 10 Jahren zu Verisign, Thawte, Telekom gehen und ein DV-Zertifikat bestellen. Validierung per Datei über HTTP, über DNS-Eintrag oder auch per E-Mail an reservierte Namen wie "hostmaster@zertifikats-domain".
Das alles lief vollautomatisiert ab und war im wesentlichen eine riesengroße Gelddruckmaschine für die CAs, die so ziemlich keinen Aufwand mit der Zertifikatsausstellung hatten.
Genau so (mit Ausnahme der E-Mail) validiert LE auch seine DV-Zertifikate.
Let's Encrypt macht also nichts anders als alle anderen CAs schon vorher.
Schon alleine, weil es festgelegte Standards gibt.
Neu ist lediglich, dass das Zertifikat jetzt den Seitenbetreiber kein Geld mehr kostet und der Aufwand für die Einrichtung wegautomatisiert wurde.
Aber wie gesagt: Eine Identitätsprüfung bei DV-Zertifikaten haben alle anderen CAs auch lange, lange vor LE genau so vorgenommen: Nämlich überhaupt nicht.
Das ist auch das große Verkaufsargument für OV- oder EV-Zertifikate - nämlich, dass es seriöser wirkt, wenn wirklich der Firmenname im Zertifikat steht und nicht nur die Domain.
Das ist vergleichbar mit einem Personalausweis, in dem nur der Wohnort eingetragen ist, aber alle anderen Felder wie Name und Geburtsdatum leer sind.
Da hat das Einwohnermeldeamt nur einen Brief an meine Straße und Hausnummer geschickt, ich bin mit dem Brief zum Amt gegangen und daraufhin hat man sich dort gesagt: "Ja gut, jetzt wo wir wissen, dass Sie den Brief haben, wohnen Sie ja auch dort".
Und mehr wurde nicht geprüft und mehr steht deshalb nicht in meinem Ausweis.
Ich kann jetzt also meinen Ausweis herumzeigen und "beweisen", dass jemand geprüft hat, dass ich an der angegebenen Adresse wohne.
Aber ich kann gleichzeitig auch problemlos behaupten, dass ich eine riesengroße international tätige Bank bin.
Das ist etwas, was mein Ausweis weder beweisen noch dementieren kann.
Das, wirklich nur das und nichts anderes ist, was bei einem DV-Zertifikat passiert.
Und genau deshalb sagen sogar die Browserhersteller, dass du dich nicht auf das Schloss allein verlassen sollst. Ganz im Gegenteil:
Edge zeigt, wenn man auf das Schloss klickt, einen Link zu dieser Seite an, die sehr unmissverständlich sagt:
Selbst Websites mit gültigen Zertifikaten haben jedoch möglicherweise einen schlechten Ruf. Überprüfen Sie daher immer die URL in der Adressleiste, um sicherzustellen, dass Sie sich auf der vorgesehenen Website auf der vorgesehenen Website begnnen, bevor Sie Informationen eingeben.
Firefox zeigt bei DV-Zertifikaten, wenn man auf das Schloss klickt unter dem Punkt "Website-Identität" nur den Namen der Domain an, verbunden mit dem Hinweis:
Diese Website stellt keine Informationen über den Besitzer zur Verfügung.
Nur bei OV- oder EV-Zertifikaten werden beim Klick auf das Schloss auch die Inhaberdaten mit angezeigt.
Daher: Wenn du Leute schon auf das Schloss trainierst, trainiere sie auch darauf, sich wenigstens diese Info anzusehen.
Das macht nur eben keinen Sinn, denn der Zweck der Verschlüsselung ist ja nicht CO2 Erzeugung, sondern sicherzustellen, dass niemand falsches die Daten lesen oder ändern kann.
Auch hier gibt es Punktabzüge in der B-Note.
Die Verschlüsselung in Kombination mit einem vertrauenswürdigen Zertifikat stellt nur die Authentizität der übertragenen DATEN zwischen Server und Client sicher. Es wird KEINE implizite Gewähr für die Authentizität der ausgelieferten Informationen gegeben, nur darauf, dass sie nicht zwischen Server und Client verändert wurden.
Es bleibt uns wohl nur, Let's Encrypt CA Zertifikate zu deaktivieren, denn wie soll ein Nutzer zwischen "sicher zertifiziert" und "R3 Junk Certification"
Dann empfehle ich dir, die für DV-Zertifikate verwendeten Roots von Geotrust, Comodo, Sectigo, Google, Cloudflare, Akamai und allen anderen auch zu entfernen
Wenn man jetzt noch weiß, dass man mit Unicode-Zeichen "rückwärts" schreiben kann und vielen weiteren "Unfug" anstellen kann, merkt man, dass man angezeigten Namen überhaupt nicht trauen kann. Daher verwendet man Zertifikate "An X.509 certificate binds an identity to a public key using a digital signature..
Naja, das ist eigentlich kein Problem, was man mit Zertifikaten löst.
Denn um bei deiner Argumentation zu bleiben: Da könnte ich mit Unicode auch Unfug treiben und einfach "essakrapS" mit Right-To-Left-Unicode als Firmennamen angeben...
Das Problem wird primär mitigiert, indem die Browser eben nur Punycode anzeigen, wenn es einen Mix aus verschiedenen Zeichensätzen gibt.
Aber auch darauf müssen die Nutzer geschult werden, damit Ihnen Punycode in der Adresszeile verdächtig vorkommt.
1Zitat von @Lochkartenstanzer:
Wenn ich nur die Zwillinge Opa Müller und Opa Meier genommen hätte, die weil sie als Kinder von verschiedenen Familien adoptiert wurden, verschiedene Namen haben, aber gleich aussehen, wäre der Vergleich mit den Zertifikaten nicht so deutlich geworden. Man muß manchmal etwas übertreiben, damit das wesentliche heraussticht.
lks
Wenn ich nur die Zwillinge Opa Müller und Opa Meier genommen hätte, die weil sie als Kinder von verschiedenen Familien adoptiert wurden, verschiedene Namen haben, aber gleich aussehen, wäre der Vergleich mit den Zertifikaten nicht so deutlich geworden. Man muß manchmal etwas übertreiben, damit das wesentliche heraussticht.
lks
Stimmt, aber selbst in dem Fall darf Opa Müller nicht Opa Meier spielen. Ging darüberhinaus auch darum, dass der eine Opa nicht des anderen Opas Pass nimmt.
Hallo,
Ist das wirklich Ernst gemeint?
Du wirfst hier professionellen, hauptberuflichen Administratoren (die teilweise tausende Systeme erfolgreich betreuen) vor, sie wüssten nicht, wofür ein Browser da ist und berufst dich auf eigene "Beobachtungen".
Wohl gemerkt - Beobachtungen, die darauf schließen lassen, dass Du nicht einmal ansatzweise verstanden hast, wofür HTTPS gedacht ist.
Sorry, aber das ist so dermaßen anmaßend, dass man es eigentlich nur noch als krankhafte Selbstüberschätzung titulieren kann.
Ich empfehle dir dringendst, dich zumindest grundlegend mit der Materie vertraut zu machen bevor Du Kunden in derartigen Sicherheitsfragen berätst. Im Übrigen bist Du im Falle einer Falschberatung u.U. Schadensersatzpflichtig.
Gruß,
Jörg
Übrigens: Um mal deinem "Vergleich" mit dem Schloss zu folgen: Du hast eine verschlossene Truhe. Das Schloss ist dazu da, den Inhalt zu schützen - es sagt aber nichts über die Authenzität der Dokumente aus, die in der Truhe liegen. Im Gegenteil: Wenn Du darin gefälschte Dokumente vorfindest und anschließend dem Hersteller des Schlosses die Ohren diesbezüglich vollnölst, wirst Du dort das gleiche entsetzte Kopfschütteln ernten wie hier im Forum...
Zitat von @drahtbruecke:
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ich fürchte, einige Kommentare übersehen, dass ein Browser für die Benutzer gemacht ist.
Ist das wirklich Ernst gemeint?
Du wirfst hier professionellen, hauptberuflichen Administratoren (die teilweise tausende Systeme erfolgreich betreuen) vor, sie wüssten nicht, wofür ein Browser da ist und berufst dich auf eigene "Beobachtungen".
Wohl gemerkt - Beobachtungen, die darauf schließen lassen, dass Du nicht einmal ansatzweise verstanden hast, wofür HTTPS gedacht ist.
Sorry, aber das ist so dermaßen anmaßend, dass man es eigentlich nur noch als krankhafte Selbstüberschätzung titulieren kann.
Ich empfehle dir dringendst, dich zumindest grundlegend mit der Materie vertraut zu machen bevor Du Kunden in derartigen Sicherheitsfragen berätst. Im Übrigen bist Du im Falle einer Falschberatung u.U. Schadensersatzpflichtig.
Gruß,
Jörg
Übrigens: Um mal deinem "Vergleich" mit dem Schloss zu folgen: Du hast eine verschlossene Truhe. Das Schloss ist dazu da, den Inhalt zu schützen - es sagt aber nichts über die Authenzität der Dokumente aus, die in der Truhe liegen. Im Gegenteil: Wenn Du darin gefälschte Dokumente vorfindest und anschließend dem Hersteller des Schlosses die Ohren diesbezüglich vollnölst, wirst Du dort das gleiche entsetzte Kopfschütteln ernten wie hier im Forum...
Hallo,
Absolut nichts.
Er möchte einfach mal "in der Liga der Großen" mitspielen und tut so, als wenn er die Begriffe, Zuständigkeiten und Verantwortungen kennt...
Gruß,
Jörg
Absolut nichts.
Er möchte einfach mal "in der Liga der Großen" mitspielen und tut so, als wenn er die Begriffe, Zuständigkeiten und Verantwortungen kennt...
Gruß,
Jörg
Kennt er doch auch, er benutzt bzw bezieht Sie nur völlig falsch aufeinander. Quasi eine Drahtbrücke.
Lest doch mal die Doku von Firefox ("Sie sind mit Sicherheit mit jener Webseite verbunden, deren Webadresse (URL) in der Adressleiste angezeigt wird, und die Verbindung wurde nicht abgefangen." - vielleicht wurde die aber abgefangen und auf eine sehr ähnlich aussehende Domain umgeleitet.
Du irrst gewaltig.
Wir sind hier bspw. auf administrator.de unterwegs. Das Zertifikat ist genau auf diese Domain ausgestellt und gültig. Jeglicher Datenverkehr zwischen meinem Browser und dem Server ist verschlüsselt und kann nicht mitgelesen oder manipuliert werden.
Wenn ich jetzt gleich auf die Idee kommen sollte die Domain adminstrator.de auf mich zu registrieren und im Anschluss ein Zertifikat ausstellen lasse, dann ist der Datenverkehr zwischen meinem Browser und der Webseite unter adminstrator.de immer noch verschlüsselt. Niemand kann mitlesen oder manipulieren. Nur landen potentiell irgendwo eingegebene Kreditkartendaten halt nicht bei Frank sondern bei mir.
Für den Besucher der Seite ist beide Male alles identisch. Nur hat er auf der zweiten Seite nicht darauf geachtet auch tatsächlich auf der Seite zu sein zu der er eigentlich wollte. Und genau das nutzen die Phisher aus: Die Schludrigkeit der Leute.
Man sollte halt aufpassen, ob man auf sparkasse.de oder auf sparkase.de landet. Der Titel eines Links in einer eMail bspw. muss nicht zwangläufig identisch sein mit der URL die damit verknüpft ist und auf der man landet.
Nach dem Motto "Kein Vergleich der nicht ein bisschen hinkt":
Ich kann mich in meinem Auto auch nicht blind daruaf verlassen, dass es immer die korrekte Geschwindigkeitsbegrenzung erkennt sondern ich muss schon noch selbst mitdenken und aufpassen. Sinnigerweise zeigen alle mir bekannten Autos bei Fahrtbeginn einen entsprechenden "Disclaimer" im Display an.
Manuel
Hallo,
korrekt - die Verifikation des Zertifikatinhabers dient nicht darin, diesen auszuweisen.
Diese dient dazu um sicherzustellen, dass sich niemand Zertifikate für fremde Ressourcen verschafft.
Zumal es den CAs letztendlich eine Allmacht verleihen würde, wenn diese völlig losgelöst von jeglicher juristischer und politischer Betrachtung entscheiden müssten, wer seriös ist und wer nicht
Gruß,
Jörg
korrekt - die Verifikation des Zertifikatinhabers dient nicht darin, diesen auszuweisen.
Diese dient dazu um sicherzustellen, dass sich niemand Zertifikate für fremde Ressourcen verschafft.
Zumal es den CAs letztendlich eine Allmacht verleihen würde, wenn diese völlig losgelöst von jeglicher juristischer und politischer Betrachtung entscheiden müssten, wer seriös ist und wer nicht
Gruß,
Jörg
Wie Ich habe hier eine Info geschrieben:
Also, viele hier wissen das und/oder finden das toll. OK.
Dann ist die Info aber nicht für euch ¯\_(ツ)_/¯.
Wenn ihr nicht mit Benutzern zu tun habt, die aus verschiedensten Gründen Fehler machen, vielleicht einfach ihre Arbeit machen und sich nicht für überspezifischen Dementis oder den Sinn oder Unsinn von Zertifikaten die "keine Informationen über den Besitzer zur Verfügung" und dem Unterschied zum Wikipedia Zitat "An X.509 certificate binds an identity to a public key using a digital signature" auseinandersetzen, oder andere Stärken haben, als ein technisches Verständnis, prima. Bei näherer Betrachtung ist aber offensichtlich, dass man das seit Jahren genau und nur im Web umdefiniert (ich kenne keine Industrieanwendung, wo man "keine Informationen" zertifiziert - allerdings opportunistic encrpytion und pinning, und jetzt bitte mit mir keine Laiendiskussion, warum TLS mit X.509 ohne Namen irgendwie besser sei, ich fürchte, ich würde wieder etwas dazu schreiben).
Jede Wette: (so gut wie) keine Phishing-Opfer sind Admins - es sind (fast) immer die Benutzer.
Wie auch immer, wenn ihr das alles schon wisst und toll findet, dann schreibt doch eine News dazu oder einen Artikel "Wie man mit einem kostenlosen Personalausweis ohne Namen" was auch immer tut (mir fällt gerade nichts ein). Also, dass ist dann euer Thema.
Die allermeisten Leute, und damit wahrscheinlich die meisten eurer Benutzer, verstehen das jedenfalls so, wie in OP und in der Presse beschrieben. Die meisten (oder viele, mit denen ich sprach) finden Phishing doof und sind der Meinung, dass man dagegen was tut, wenn man kann. Und das das in der Praxis ein Problem ist, erkennt man ja schon an diesen Artikel in der Presse. Gleich der erste Google-Treffer bei mir war Des Weiteren signalisiert das Schloss-Symbol an der Seite, dass die Verbindung als sicher eingestuft wird. Die eingegebenen Daten werden also sicher übertragen. und viele weitere Artikel zeigen, dass das für viele Benutzer eine Gefahr darstellen kann. Wenn ihr keinen einzigen solchen habt, ist doch prima, freut euch, aber warum meckert ihr dann hier rum... Und dann kommen hier welche an, werden persönlich und empfehlen "zumindest grundlegend mit der Materie vertraut zu machen", *das* ist übrigens anmaßend, und auch "Die benutzer sind zu faul sich mit dem Thema zu beschöftigen".
Ich hab auch nicht gesagt, dass das bei anderen besser ist. In meiner Erfahrung hatten sich CAs, denen ich offensichtliches Phishing mit Screenshots und URLs gemeldet habe, bedankt und die revoked und Verlängerung verhindert (vermutlich haben die einfach black lists). *Für mich* war es neu, dass jemand sagt "nee, wir machen auch phishing Zertifikate, wir sind doch kein Zensor". Ich habe auch geschrieben, dass ich die Argumente technisch verstehe und dass es nichts neues ist. Da hat, wie gesagt, auch die Presse berichtet, also sehen andere offensichtlich sehr wohl das Problem. Wenn es euch nicht betrifft, prima, dann lest doch einen anderen Artikel.
Konstruktiv wären Hinweise gewesen wie:
- Achtung: Zertifikattrustlevel runterstellen geht bei Edge / Windows gar nicht, denn es gibt kein "Vertrauen, aber vor jedem neuen Zertifikat nachfragen"
- Achtung: Zertifikattrustlevel entfernen über ein Edge-Profil stellt das global um, geht also auch nicht
- Achtung: Viele CAs haben gegen Phishing aufgegeben, man darf für Banking nur A, B und C erlauben und das geht nur mit Firefox Profil-weise
aber die auch noch so hinkenden Vergleiche sind es nicht.
Natürlich machen Benutzer Fehler (gut, eure jetzt vielleicht nicht). Vielleicht wirkt einer "faul", weil er nicht jeden Security-Richtlinie auswendig weiß, weil er vielleicht mit wichtiger Projektarbeit das Geld reinholt, von dem die IT bezahlt wird oder vielleicht ist er Künstler und hat einfach nicht so viel technisches Verständnis. Natürlich sind sie "schluderig", vielleicht schiebt einer gerade Überstunden oder ist Mama geworden und kam kaum zum Schlafen oder was auch immer.
Aber so sind Menschen.
Und weil Menschen so sind, ist es nicht gut, wenn man nichts gegen Phishing macht oder sagt "die sind ja Internetteilnehmer wie jeder andere auch, warum sollen wir da zensieren! Nur weil die jetzt andere abzocken sind das doch keine schlechteren Menschen". Doch, für die meisten sind das schlechtere Menschen. Die meisten möchten nicht mit solchen zusammenarbeiten und würden denen nichts schenken. Es ist ein großer Unterschied, ob man sich bemüht, und es dann nicht verhindern kann, oder von vorneherein sagt "ach, lasst die doch illegale Sachen machen, wir helfen dabei". Ich weiß, dass das komplizierter ist, aber es geht um die Erwartungshaltung der Benutzer, nicht um eure persönliche.
Wie gesagt: Jede Wette: (so gut wie) keine Phishing-Opfer sind Admins - es sind (fast) immer die Benutzer. So ist das halt.
Der Vollständigkeit halber, damit das kein OT wird, Belege für die Menschlichkeit und warum es in anderen Netzen Risiken gibt (fall Dein Netz perfekt ist und Deine Benutzer keine Fehler machen, dann sei froh, aber das ist eben die Ausnahme):
https://www.datensicherheit.de/phishing-websites-koennen-gueltige-ssltls ...
https://www.it-daily.net/it-sicherheit/cybercrime/phishing-betrueger-mis ...
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber ... ("...in Deutschland pro Jahr mindestens auf einen zweistelligen Millionenbetrag geschätzt.")
https://www.globalsign.com/de-de/blog/daran-erkennen-sie-eine-phishing-w ...
https://www.itespresso.de/2015/01/16/kostenlose-ssl-zertifikate-werden-f ... ("Allerdings sei CloudFlare nicht der einzige Service, der Cyberkriminelle geradezu einlade. Auch die neue Zertifizierungsstelle Let’s encrypt und andere Anbieter, die Zertifikate ohne umfangreiche Prüfung der Daten des Domaininhabers herausgeben, machen es sein Ansicht nach Kriminellen zu leicht, die Nutzer zu täuschen.")
https://www.retarus.com/blog/de/neues-aus-dem-phisherei-unwesen/ ("Ergebnis sei in den vergangenen Jahren der finanzielle Schaden rapide angestiegen, den von Phishing betroffene Firmen erlitten.")
aber wie gesagt, wenn ihr keine entsprechenden Benutzer habt, freut euch einfach.
Technisch erspare ich mir mal hinkende Vergleiche und gebe lieber ein paar Links:
https://stackoverflow.com/questions/8619528/ssl-tls-without-certificates ("Last time I checked FOAF+SSL, the traditional PKI checks were still in place for the client to check the server certificate. Another option, similar to SSH, would be to accept the public key/certificate the first time you encounter it and warn the user when it changes. ")
https://medium.com/littlemanco/the-magic-of-tls-x509-and-mutual-authenti ... ("specifically, when Alice first indicates to Bob that she’d like to start talking over an encoded connection she not only asks for his public key but also for him to provide a certificate (in the form of X.509) proving who he is.")
https://security.stackexchange.com/questions/44150/dont-use-encryption-w ...
https://www.zscaler.de/blogs/security-research/ssl-encryption-without-au ...
https://medium.com/@BlackwaveLtd/end-to-end-encryption-is-not-secure-wit ...
https://neilmadden.blog/2018/11/14/public-key-authenticated-encryption-a ...
https://www.w3.org/2014/strint/papers/27.pdf ("Is Opportunistic Encryption the Answer?")
https://en.wikipedia.org/wiki/Transport_Layer_Security STRG-F authenti
https://security.stackexchange.com/questions/36932/what-is-the-differenc ... SCNR.
falls es auch jemand anders nicht wusste, wie schlimm es ist: Let's Encrypt tut mit Absicht nichts gegen Zertifikate, die für Angriffe wie Phishing benutzt werden
Also, viele hier wissen das und/oder finden das toll. OK.
Dann ist die Info aber nicht für euch ¯\_(ツ)_/¯.
Wenn ihr nicht mit Benutzern zu tun habt, die aus verschiedensten Gründen Fehler machen, vielleicht einfach ihre Arbeit machen und sich nicht für überspezifischen Dementis oder den Sinn oder Unsinn von Zertifikaten die "keine Informationen über den Besitzer zur Verfügung" und dem Unterschied zum Wikipedia Zitat "An X.509 certificate binds an identity to a public key using a digital signature" auseinandersetzen, oder andere Stärken haben, als ein technisches Verständnis, prima. Bei näherer Betrachtung ist aber offensichtlich, dass man das seit Jahren genau und nur im Web umdefiniert (ich kenne keine Industrieanwendung, wo man "keine Informationen" zertifiziert - allerdings opportunistic encrpytion und pinning, und jetzt bitte mit mir keine Laiendiskussion, warum TLS mit X.509 ohne Namen irgendwie besser sei, ich fürchte, ich würde wieder etwas dazu schreiben
).Jede Wette: (so gut wie) keine Phishing-Opfer sind Admins - es sind (fast) immer die Benutzer.
Wie auch immer, wenn ihr das alles schon wisst und toll findet, dann schreibt doch eine News dazu oder einen Artikel "Wie man mit einem kostenlosen Personalausweis ohne Namen" was auch immer tut (mir fällt gerade nichts ein). Also, dass ist dann euer Thema.
Die allermeisten Leute, und damit wahrscheinlich die meisten eurer Benutzer, verstehen das jedenfalls so, wie in OP und in der Presse beschrieben. Die meisten (oder viele, mit denen ich sprach) finden Phishing doof und sind der Meinung, dass man dagegen was tut, wenn man kann. Und das das in der Praxis ein Problem ist, erkennt man ja schon an diesen Artikel in der Presse. Gleich der erste Google-Treffer bei mir war Des Weiteren signalisiert das Schloss-Symbol an der Seite, dass die Verbindung als sicher eingestuft wird. Die eingegebenen Daten werden also sicher übertragen. und viele weitere Artikel zeigen, dass das für viele Benutzer eine Gefahr darstellen kann. Wenn ihr keinen einzigen solchen habt, ist doch prima, freut euch, aber warum meckert ihr dann hier rum... Und dann kommen hier welche an, werden persönlich und empfehlen "zumindest grundlegend mit der Materie vertraut zu machen", *das* ist übrigens anmaßend, und auch "Die benutzer sind zu faul sich mit dem Thema zu beschöftigen".
Ich hab auch nicht gesagt, dass das bei anderen besser ist. In meiner Erfahrung hatten sich CAs, denen ich offensichtliches Phishing mit Screenshots und URLs gemeldet habe, bedankt und die revoked und Verlängerung verhindert (vermutlich haben die einfach black lists). *Für mich* war es neu, dass jemand sagt "nee, wir machen auch phishing Zertifikate, wir sind doch kein Zensor". Ich habe auch geschrieben, dass ich die Argumente technisch verstehe und dass es nichts neues ist. Da hat, wie gesagt, auch die Presse berichtet, also sehen andere offensichtlich sehr wohl das Problem. Wenn es euch nicht betrifft, prima, dann lest doch einen anderen Artikel.
Konstruktiv wären Hinweise gewesen wie:
- Achtung: Zertifikattrustlevel runterstellen geht bei Edge / Windows gar nicht, denn es gibt kein "Vertrauen, aber vor jedem neuen Zertifikat nachfragen"
- Achtung: Zertifikattrustlevel entfernen über ein Edge-Profil stellt das global um, geht also auch nicht
- Achtung: Viele CAs haben gegen Phishing aufgegeben, man darf für Banking nur A, B und C erlauben und das geht nur mit Firefox Profil-weise
aber die auch noch so hinkenden Vergleiche sind es nicht.
Natürlich machen Benutzer Fehler (gut, eure jetzt vielleicht nicht). Vielleicht wirkt einer "faul", weil er nicht jeden Security-Richtlinie auswendig weiß, weil er vielleicht mit wichtiger Projektarbeit das Geld reinholt, von dem die IT bezahlt wird oder vielleicht ist er Künstler und hat einfach nicht so viel technisches Verständnis. Natürlich sind sie "schluderig", vielleicht schiebt einer gerade Überstunden oder ist Mama geworden und kam kaum zum Schlafen oder was auch immer.
Aber so sind Menschen.
Und weil Menschen so sind, ist es nicht gut, wenn man nichts gegen Phishing macht oder sagt "die sind ja Internetteilnehmer wie jeder andere auch, warum sollen wir da zensieren! Nur weil die jetzt andere abzocken sind das doch keine schlechteren Menschen". Doch, für die meisten sind das schlechtere Menschen. Die meisten möchten nicht mit solchen zusammenarbeiten und würden denen nichts schenken. Es ist ein großer Unterschied, ob man sich bemüht, und es dann nicht verhindern kann, oder von vorneherein sagt "ach, lasst die doch illegale Sachen machen, wir helfen dabei". Ich weiß, dass das komplizierter ist, aber es geht um die Erwartungshaltung der Benutzer, nicht um eure persönliche.
Wie gesagt: Jede Wette: (so gut wie) keine Phishing-Opfer sind Admins - es sind (fast) immer die Benutzer. So ist das halt.
Der Vollständigkeit halber, damit das kein OT wird, Belege für die Menschlichkeit und warum es in anderen Netzen Risiken gibt (fall Dein Netz perfekt ist und Deine Benutzer keine Fehler machen, dann sei froh, aber das ist eben die Ausnahme):
https://www.datensicherheit.de/phishing-websites-koennen-gueltige-ssltls ...
https://www.it-daily.net/it-sicherheit/cybercrime/phishing-betrueger-mis ...
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber ... ("...in Deutschland pro Jahr mindestens auf einen zweistelligen Millionenbetrag geschätzt.")
https://www.globalsign.com/de-de/blog/daran-erkennen-sie-eine-phishing-w ...
https://www.itespresso.de/2015/01/16/kostenlose-ssl-zertifikate-werden-f ... ("Allerdings sei CloudFlare nicht der einzige Service, der Cyberkriminelle geradezu einlade. Auch die neue Zertifizierungsstelle Let’s encrypt und andere Anbieter, die Zertifikate ohne umfangreiche Prüfung der Daten des Domaininhabers herausgeben, machen es sein Ansicht nach Kriminellen zu leicht, die Nutzer zu täuschen.")
https://www.retarus.com/blog/de/neues-aus-dem-phisherei-unwesen/ ("Ergebnis sei in den vergangenen Jahren der finanzielle Schaden rapide angestiegen, den von Phishing betroffene Firmen erlitten.")
aber wie gesagt, wenn ihr keine entsprechenden Benutzer habt, freut euch einfach.
Technisch erspare ich mir mal hinkende Vergleiche und gebe lieber ein paar Links:
https://stackoverflow.com/questions/8619528/ssl-tls-without-certificates ("Last time I checked FOAF+SSL, the traditional PKI checks were still in place for the client to check the server certificate. Another option, similar to SSH, would be to accept the public key/certificate the first time you encounter it and warn the user when it changes. ")
https://medium.com/littlemanco/the-magic-of-tls-x509-and-mutual-authenti ... ("specifically, when Alice first indicates to Bob that she’d like to start talking over an encoded connection she not only asks for his public key but also for him to provide a certificate (in the form of X.509) proving who he is.")
https://security.stackexchange.com/questions/44150/dont-use-encryption-w ...
https://www.zscaler.de/blogs/security-research/ssl-encryption-without-au ...
https://medium.com/@BlackwaveLtd/end-to-end-encryption-is-not-secure-wit ...
https://neilmadden.blog/2018/11/14/public-key-authenticated-encryption-a ...
https://www.w3.org/2014/strint/papers/27.pdf ("Is Opportunistic Encryption the Answer?")
https://en.wikipedia.org/wiki/Transport_Layer_Security STRG-F authenti
https://security.stackexchange.com/questions/36932/what-is-the-differenc ... SCNR.
Hallo,
na dann hast Du ja alle Informationen zusammen, um das mit den CAs, Browserherstellern, Webadminustratoren und Benutzern zu besprechen. Sobald Du dann das Internet nach Deinen Vorstellungen angepasst hast, sag uns Bescheid.
Grüße
lcer
na dann hast Du ja alle Informationen zusammen, um das mit den CAs, Browserherstellern, Webadminustratoren und Benutzern zu besprechen. Sobald Du dann das Internet nach Deinen Vorstellungen angepasst hast, sag uns Bescheid.
Grüße
lcer
2Zitat von @drahtbruecke:
Also, viele hier wissen das und/oder finden das toll. OK.
Dann ist die Info aber nicht für euch ¯\_(ツ)_/¯.
Also, viele hier wissen das und/oder finden das toll. OK.
Dann ist die Info aber nicht für euch ¯\_(ツ)_/¯.
Moin,
Das in ein Admin-Forum wir das w
Wissen haben sollte eigentlich klar sein.
Davon auszugehen, daß wir das toll finden, ist eine Unterstellung.
Was erwartest Du von uns? Daß wir mit Mistgabeln und Fackeln losziehen um letsencrypt und die Browserhersteller zu meucheln?
Wenn Du alle Infos hast, nerv die Browserhersteller und den Gesetzgeber, damit die das abstellen. Oder forke chromium, damit der keine Schlösser mehr zuklickt, solange der Benutzer dem Zertifikat nicht vertraut.
Wenn Du nur Deinen Frust bei uns abladen willst, ist das auch o.k. Aber dann erwarte nicht, das wir auch in Selbstmitleid zerfließen oder mit Dir mitheulen weil die Welt so ungerecht ist.
lks
PS: Die "Fachkenntnis" der Presse selbst der von Computerzeitschriften ist meist sehr dürftig. Die schreiben dann solchen Blödsinn mit sicheren Schlössern. Also nimm Deine Mistgabel und brenne sie nieder.
1
Hallo,
richtig, die *Verbindung* ist sicher. Das bedeutet aber nicht, dass der *Inhalt* sicher ist.
Im Übrigen wird Blödsinn (sry) nicht dadurch korrekt, dass man ihn in immer länger werdenden Beiträgen neu formuliert. Im Gegenteil - Du outest dich gerade als fachlich total inkompetenter Sturkopf.
Gruß,
Jörg
Übrigens - um noch einen draufzusetzen: "Meine" User verstehen das nicht so. Ganz einfach, weil ich es ihnen korrekt erklärt habe.
richtig, die *Verbindung* ist sicher. Das bedeutet aber nicht, dass der *Inhalt* sicher ist.
Im Übrigen wird Blödsinn (sry) nicht dadurch korrekt, dass man ihn in immer länger werdenden Beiträgen neu formuliert. Im Gegenteil - Du outest dich gerade als fachlich total inkompetenter Sturkopf.
Gruß,
Jörg
Übrigens - um noch einen draufzusetzen: "Meine" User verstehen das nicht so. Ganz einfach, weil ich es ihnen korrekt erklärt habe.
1
Moin,
Man kann mit Skripten Ratz-Fatz 1.000 Fake-Shops aufsetzen.
Domänen registrieren, Zertifikate einrichten, vordefinierte Inhalte kopieren, geklautes Impressum einbinden, Hosting.
Kostet alles nur wenige Euro.
Wer soll diese 1.000 Shops denn prüfen?
Der Domänen-Registrar? der Hosting-Anbieter? der SSL-Anbieter?
Der Aufwand ist enorm und Hosting ein Massengeschäfft.
Als meine Bank vor kurzem ihre Domäne von Sparkasse-Harburg-Buxtehude.de auf spkhb.de umgestellt hatte (ohne große Ankündigung, habe ich 3x alles durchgeschaut ob diese Domäne denn echt ist.
Echte Zertifikate machen diese 1.000 Fake-Shops "nur" 5.000 Euro teurer.
Fake-Shops von echten Shops zu unterscheiden ist für "normale Anwender" sehr schwer.
Es gibt dafür keine technischen Hilfen. Nur allgemeine Hinweise wie z.B. Impressum prüfen, zu billige Produkte, etc...
SSL Zertifikate, egal ob LE oder gekauft, helfen dabei überhaupt nicht.
Die Schule meiner Kinder hatte bis vor kurzem eine reine http-Seite ohne SSL. Dafür aber verschiedene Formulare...
SSL Zertifikate hatten früher geholfen als man dafür noch 1000 Euro das Stück bezahlen musste.
EV-Zertifkate helfen hier ein bischen. Hierbei hat man dann einen grünen Balken oder den Namen der Firma im Zertifikat. Aber die sind inzwischen auch schon günstig genug für Hacker und die Prüfungen sind ein Witz.
Stefan
Man kann mit Skripten Ratz-Fatz 1.000 Fake-Shops aufsetzen.
Domänen registrieren, Zertifikate einrichten, vordefinierte Inhalte kopieren, geklautes Impressum einbinden, Hosting.
Kostet alles nur wenige Euro.
Wer soll diese 1.000 Shops denn prüfen?
Der Domänen-Registrar? der Hosting-Anbieter? der SSL-Anbieter?
Der Aufwand ist enorm und Hosting ein Massengeschäfft.
Als meine Bank vor kurzem ihre Domäne von Sparkasse-Harburg-Buxtehude.de auf spkhb.de umgestellt hatte (ohne große Ankündigung, habe ich 3x alles durchgeschaut ob diese Domäne denn echt ist.
Echte Zertifikate machen diese 1.000 Fake-Shops "nur" 5.000 Euro teurer.
Fake-Shops von echten Shops zu unterscheiden ist für "normale Anwender" sehr schwer.
Es gibt dafür keine technischen Hilfen. Nur allgemeine Hinweise wie z.B. Impressum prüfen, zu billige Produkte, etc...
SSL Zertifikate, egal ob LE oder gekauft, helfen dabei überhaupt nicht.
Die Schule meiner Kinder hatte bis vor kurzem eine reine http-Seite ohne SSL. Dafür aber verschiedene Formulare...
SSL Zertifikate hatten früher geholfen als man dafür noch 1000 Euro das Stück bezahlen musste.
EV-Zertifkate helfen hier ein bischen. Hierbei hat man dann einen grünen Balken oder den Namen der Firma im Zertifikat. Aber die sind inzwischen auch schon günstig genug für Hacker und die Prüfungen sind ein Witz.
Stefan
Die allermeisten Leute, und damit wahrscheinlich die meisten eurer Benutzer, verstehen das jedenfalls so, wie in OP und in der Presse beschrieben.
Ich versuche es nochmal mit einer Analogie:
Wenn du mit deinem Auto alle Nase lang einen Unfall baust, wer hat da dann Schuld?
Carl Benz, weil er als Erfinder des Automobils gilt? Der Hersteller deines Autos? Der Verkäufer im Autohaus? Vielleicht sogar dein Fahrlehrer?
Nein, du ganz alleine bist schuld daran. So ist das auch mit gefährlichen Dingen im Internet.
Die meisten (oder viele, mit denen ich sprach) finden Phishing doof und sind der Meinung, dass man dagegen was tut, wenn man kann.
Sehr viele Leute überschätzen sich gerne mal. Man kann aber in der Tat was tun: Es gibt für Anwender an nahezu jeder VHS entsprechende Kurse für wenig Geld. Da kann man dann tatsächlich so Dingen lernen wie "Schloss heißt nur die Übertragung ist sicher".
Gleich der erste Google-Treffer bei mir war Des Weiteren signalisiert das Schloss-Symbol an der Seite, dass die Verbindung als sicher eingestuft wird. Die eingegebenen Daten werden also sicher übertragen.
Wo ist dein Problem? Was das steht ist absolut korrekt. Du hast jedoch ein Problem das gelesene zu verstehen.
Da steht nur - und so ist es auch korrekt - die Verbindung ist sicher und die Daten werden sicher übertragen. Kein Wort davon, dass der Betreiber auf der Gegenseite bzw. hinter einer Webseite vertrauenswürdig ist.
Pro-Tipp: Lies und verstehe was irgendwo geschrieben steht.
Manuel
PS:
Bahnfahren gilt allgemein als sicher. Das schließt jedoch nicht aus, dass du in den falschen Zug einsteigst.
Was meinst Du damit? LetsEncrypt-Zertifikate sind doch auch "echte". Oder meintest Du nur "gekaufte"?
cu,
ipzipzap
Hallo,
Naja, sagen wir mal so: Hinter LE stehen (auch) Firmen wie Google, Meta, Amazon usw. - und die Verschlüsselung ist nur gegenüber demjenigen sicher, der keinen privaten Schlüssel von der CA hat...
Gruß,
Jörg
Zitat von @ipzipzap:
Was meinst Du damit? LetsEncrypt-Zertifikate sind doch auch "echte". Oder meintest Du nur "gekaufte"?
Was meinst Du damit? LetsEncrypt-Zertifikate sind doch auch "echte". Oder meintest Du nur "gekaufte"?
Naja, sagen wir mal so: Hinter LE stehen (auch) Firmen wie Google, Meta, Amazon usw. - und die Verschlüsselung ist nur gegenüber demjenigen sicher, der keinen privaten Schlüssel von der CA hat...
Gruß,
Jörg
Zitat von @117471:
Hallo,
Naja, sagen wir mal so: Hinter LE stehen (auch) Firmen wie Google, Meta, Amazon usw. - und die Verschlüsselung ist nur gegenüber demjenigen sicher, der keinen privaten Schlüssel von der CA hat...
Hallo,
Zitat von @ipzipzap:
Was meinst Du damit? LetsEncrypt-Zertifikate sind doch auch "echte". Oder meintest Du nur "gekaufte"?
Was meinst Du damit? LetsEncrypt-Zertifikate sind doch auch "echte". Oder meintest Du nur "gekaufte"?
Naja, sagen wir mal so: Hinter LE stehen (auch) Firmen wie Google, Meta, Amazon usw. - und die Verschlüsselung ist nur gegenüber demjenigen sicher, der keinen privaten Schlüssel von der CA hat...
Falsch! Üblicherweise erzeugt man seinen Key selbst und die CA bekommt den eigenen private Key normalerweise nicht zu sehen. Von daher kann die CA nicht so ohne weiters den Datenverkehr entschlüsseln.
lks
1
Hallo,
Korrekt. Der Inhaber des privaten Schlüssels kann aber jederzeit einen zweiten Schlüssel erzeugen
Gruß,
Jörg
Zitat von @Lochkartenstanzer:
Falsch! Üblicherweise erzeugt man seinen Key selbst und die CA bekommt den eigenen private Key normalerweise nicht zu sehen.
Falsch! Üblicherweise erzeugt man seinen Key selbst und die CA bekommt den eigenen private Key normalerweise nicht zu sehen.
Korrekt. Der Inhaber des privaten Schlüssels kann aber jederzeit einen zweiten Schlüssel erzeugen
Gruß,
Jörg
Zitat von @117471:
Hallo,
Korrekt. Der Inhaber des privaten Schlüssels kann aber jederzeit einen zweiten Schlüssel erzeugen
Hallo,
Zitat von @Lochkartenstanzer:
Falsch! Üblicherweise erzeugt man seinen Key selbst und die CA bekommt den eigenen private Key normalerweise nicht zu sehen.
Falsch! Üblicherweise erzeugt man seinen Key selbst und die CA bekommt den eigenen private Key normalerweise nicht zu sehen.
Korrekt. Der Inhaber des privaten Schlüssels kann aber jederzeit einen zweiten Schlüssel erzeugen
Deswegen überprüft man oob den hash des Zertifikats bei wichtigen verbindungen. z.B. rufe ich immer bei meinen Banken an, um den hash von denen zu verifizieren, wenn mal sich wieder das zertifikat geändert hat, was bei denen zwar erstmal zu Unverständnis führt aber mit genug nachdruck kommt man irgendwann an die Person, die das Anliegen versteht.
lks
Ich denke, Du weißt auch so worauf ich hinaus möchte…
Hallo.
Es ist nicht die Aufgabe von Let's Encrypt den Inhalt auf Phishing oder sonstiges zu überprüfen. Die Mission von Let's Encrypt ist es die Verbindung zwischen Webbrowser und Server kryptografisch abzusichern, d.h. Schutz der Vertraulichkeit, Integrität, Authentizität während der Übertragung und nicht den Inhalt, der dort gehostet wird.
Let's Encrypt überprüft lediglich, ob du die Kontrolle über eine Domain hast und stellt dir daraufhin ein Zertifikat für den Domainnamen aus.
Wie LordGurke schon erwähnte: Bevor ich Let's Encrypt aus dem Trust Store werfe, fliegt eher Clownflare und Akamai usw. weil die für einen grossen Teil des gesamten Webtraffics MITM spielen. Let's Encrypt ist eine der letzten CAs, welche ich rauswerfen würde.
Ich würde das Problem wie folgt lösen:
Dennoch hast du nicht ganz unrecht und ich kann verstehen aus welcher Ecke du kommst.
Eine kleine Bemerkung zu Lochkartenstanzer: Als ob dort jemand arbeitet, der weiss was ein Fingerabdruck eines X.509-Zertifikats ist. Was macht der Mitarbeiter dann? Auf die Website gehen, auf das Schloss drücken und dir über das Telefon den selben gefälschten Fingerabdruck durchfunken?
Ich lach mich schlapp!
Gruss
Es ist nicht die Aufgabe von Let's Encrypt den Inhalt auf Phishing oder sonstiges zu überprüfen. Die Mission von Let's Encrypt ist es die Verbindung zwischen Webbrowser und Server kryptografisch abzusichern, d.h. Schutz der Vertraulichkeit, Integrität, Authentizität während der Übertragung und nicht den Inhalt, der dort gehostet wird.
Let's Encrypt überprüft lediglich, ob du die Kontrolle über eine Domain hast und stellt dir daraufhin ein Zertifikat für den Domainnamen aus.
Es bleibt uns wohl nur, Let's Encrypt CA Zertifikate zu deaktivieren, denn wie soll ein Nutzer zwischen "sicher zertifiziert" und "R3 Junk Certification"
Dann empfehle ich dir, die für DV-Zertifikate verwendeten Roots von Geotrust, Comodo, Sectigo, Google, Cloudflare, Akamai und allen anderen auch zu entfernen
Wie LordGurke schon erwähnte: Bevor ich Let's Encrypt aus dem Trust Store werfe, fliegt eher Clownflare und Akamai usw. weil die für einen grossen Teil des gesamten Webtraffics MITM spielen. Let's Encrypt ist eine der letzten CAs, welche ich rauswerfen würde.
Ich würde das Problem wie folgt lösen:
- Punycode-Domains deaktivieren:
network.IDN_show_punycode = false- Dann ein Adguard-Home als Firmeninterner Nameserver aufsetzen.
- Firewall: Interne Geräte TCP/UDP Port 53 auf Adguard erlauben.
- Mitarbeiter schulen, dass die erst auf dass Schloss achten sollen, wenn die Domain auch Buchstabe für Buchstabe mit der korrekten TLD stimmt. Da kann man sich gerne eine halbe Minute Zeit nehmen.
Dennoch hast du nicht ganz unrecht und ich kann verstehen aus welcher Ecke du kommst.
Eine kleine Bemerkung zu Lochkartenstanzer: Als ob dort jemand arbeitet, der weiss was ein Fingerabdruck eines X.509-Zertifikats ist. Was macht der Mitarbeiter dann? Auf die Website gehen, auf das Schloss drücken und dir über das Telefon den selben gefälschten Fingerabdruck durchfunken?
Ich lach mich schlapp!Gruss
Wenn deine User https://playplal.com öffnen und dort ihre PayPal Logindaten eintragen sehe ich weder dich (als Admin des Users), noch LetsEncrypt in der Schuld.
Vorschlag: Wir sollten unsere Kund*innen am Ende der IT-Nahrungskette auf Misstrauen und Datendisziplin schulen und sich niemals blind auf irgendwelche Worte (Schall und Rauch) oder Schlosssymbole zu verlassen. Sogar absolut kostenlos daherkommende Hardcore- oder Rotlichtseiten sind kein Garant für Zuverlässigkeit und Sicherheit ...
In Zeiten des Internet kann nur überleben, wer stets größtmögliches Misstrauen (bis hin zur Grenze an Paranoia) gegenüber allem und jedem praktiziert, dieses ständig trainiert und kultiviert.
Ja, die gekonnte Anwendung von tiefgehendem Misstrauen kostet immer auch (ein bisschen) Zeit. Aber Entschleunigung tut doch sowieso gut!
Mit Datendisziplin meine ich: Verzicht üben! Verzicht auf alles, was sich digital von außen an mich heranschleicht, mich umgarnt und mir irgendetwas schmackhaft machen will, das ich aus mir selbst heraus nie aufgesucht hätte - was ich also gar nicht brauche.
Die geile Lust, einfach mal zu gucken was passiert, wenn man auf diesen Link klickt oder jene Datei öffnet (in der Hoffnung, etwas mehr Spannung in sein inhaltsleeres, langweiliges Leben zu bringen) sollte ganz konsequent unterdrückt werden. Das Aufschieben der unmittelbaren Bedürfnisbefriedigung erzeugt zwar Unlustgefühle, aber die anschließende Belohnung (z. B. nicht gehackt zu werden, die Daten nicht gegen teures Geld wieder freikaufen zu müssen, die sensiblen Personendaten nicht im Netz wiederzufinden etc.) verschafft umso mehr Zufriedenheit.
Wenn man's erst einige Jahre lang praktiziert hat, stellt man oft fest, dass ausgefeiltes Misstrauen auch richtig Spaß machen kann! Dann will man gar nicht mehr ohne - und dann verlässt man sich weder auf Schlosssymbole, noch auf Kondome oder salbungsvolle Worte ...
Gruß FritzB
In Zeiten des Internet kann nur überleben, wer stets größtmögliches Misstrauen (bis hin zur Grenze an Paranoia) gegenüber allem und jedem praktiziert, dieses ständig trainiert und kultiviert.
Ja, die gekonnte Anwendung von tiefgehendem Misstrauen kostet immer auch (ein bisschen) Zeit. Aber Entschleunigung tut doch sowieso gut!
Mit Datendisziplin meine ich: Verzicht üben! Verzicht auf alles, was sich digital von außen an mich heranschleicht, mich umgarnt und mir irgendetwas schmackhaft machen will, das ich aus mir selbst heraus nie aufgesucht hätte - was ich also gar nicht brauche.
Die geile Lust, einfach mal zu gucken was passiert, wenn man auf diesen Link klickt oder jene Datei öffnet (in der Hoffnung, etwas mehr Spannung in sein inhaltsleeres, langweiliges Leben zu bringen) sollte ganz konsequent unterdrückt werden. Das Aufschieben der unmittelbaren Bedürfnisbefriedigung erzeugt zwar Unlustgefühle, aber die anschließende Belohnung (z. B. nicht gehackt zu werden, die Daten nicht gegen teures Geld wieder freikaufen zu müssen, die sensiblen Personendaten nicht im Netz wiederzufinden etc.) verschafft umso mehr Zufriedenheit.
Wenn man's erst einige Jahre lang praktiziert hat, stellt man oft fest, dass ausgefeiltes Misstrauen auch richtig Spaß machen kann! Dann will man gar nicht mehr ohne - und dann verlässt man sich weder auf Schlosssymbole, noch auf Kondome oder salbungsvolle Worte ...
Gruß FritzB