News Sicherheit: Mozilla, Google und Apple misstrauen WoSign und StartCom

[Ozzy83]

Ist doch eh wieder nur die übliche Überreaktion eines beleidigten Amis.
Siehe den kürzlichen Fall, wo ein US Politiker China beledigt hat, sowie die Antwort Chinas.

Selber Bullshit wie mit Russland. 1 Jahr später heulen alle warum es mit der Welt bergab geht, kapieren aber nicht dass sie selbst das Problem sind.

 

[exoterrist]

Ok. Und warum hat man dieses Zertifikatsystem dann überhaupt eingeführt, wenns eigentlich keine Funktion hat? Oder "überprüft" eine Zertifizierungsstelle irgendetwas?

Bei diesen kostenlosen Zertifikaten wird überprüft, ob derjenige, der das Zertifikat beantragt, die dazugehörige Domain auch tatsächlich kontrolliert. WoSign hat in diesem Fall versagt. Bei kostenpflichtigen Zertifikaten wird dann teils noch überprüft, ob es sich bei der Person/Organisation tatsächlich um die handelt, für die sie sich ausgibt.

 

[M-X]

Ok. Und warum hat man dieses Zertifikatsystem dann überhaupt eingeführt, wenns eigentlich keine Funktion hat? Oder "überprüft" eine Zertifizierungsstelle irgendetwas?

Bei kostenlosen Zertifikaten wird überprüft ob der Requestor auch der Besitzer, oder zumindestens der Administrator der Domain ist für die er das Zertifikat haben will. Bei kostenpflichtigen wird dann noch die Person selber überprüft. Je nach Verifikationsstufe sogar persönlich.

Du weißt ja sicher wie es da zugeht. Kein Geld für Personal .........

Die einzige Aufgabe einer Zertifizierungsstelle ist das ausstellen von Zertifikaten und das zur verfügungstellen der dazugehörigen Infrastruktur. Ihr Geschäft basiert rein auf vertrauen. Sonst kann ich mir die Zertifikate auch selber ausstellen, das kann jeder selber machen. Wenn dies Vertrauen, warum auch immer, nicht mehr gegeben ist, hat die Zertifizierungsstelle keine Existenzgrundlage mehr. Ihr Kerngeschäft ist das Vertrauen!

Dann frag mal, wieviel "Computerfreaks" hier ebenfalls nicht wissen, was das mit dem Zertifikat sein soll. Kannst auch nicht sagen, blök, ihr DAUs, eure Rechner sind sicher zugemüllt und voller Adware blök blök.....

Den Satz verstehe ich nicht, liegt wohl daran das ich deutsch bin?

Im großen und ganzen ist das System mit Zertifikaten und das notwendige vertrauen in Zertifizierungsstellen kein gutes verfahren. Es ist aber nun mal jetzt vorhanden und SSL/TLS sind sehr verbreitet. Daher kann man das System auch nicht einfach abschaffen.

 

[Smartbomb]

@M-X: Aha. Bleibt mir noch die Frage, wann und aus welchem Grund man mit diesen Zertifikaten angefangen hat.

Mein zweites Zitat bezog sich auf den Informatikdienst der Uni.

Zum dritten Zitat: Ich habe das so verstanden, dass du von meinem Unwissen des Zertifikatsystems betreffend, auf eine für den DAU übliche Kompromittierung meines PCs schließt. Ich begegenete, dass wohl sehr viele computeraffine Menschen, die üblicherweise so viel Wissen besitzen um keine verseuchten PCs zu haben, ebenfalls sehr wenig bis keine Ahnung von diesem Zertifikatsystem haben.
Was ich auch verständlich finde, da es für den "normalen" User quasi unsichtbar ist.
Ohne die Einstellung im Firefox und die Meldung auf der Uniseite, hätte ich bisher auch überhaupt nichts davon mitbekommen.

 

[Der-Orden-Xar]

Zertifikate sollen einfach die Gegenstelle identifizieren.
durch systembedingte Schwächen ist das zwar nicht definitiv gewährleistet, aber anschließend (wenn das Zertifikat verifiziert wurde) kann der handsahke weitergeführt, kann die Verbindung verschlüsselt werden. Dadurch wird gewährleistet, dass
(a) das was ich über die Leitung schicke nicht einfach abgefischt werden kann (Man in the middle angriffe mal außen vor), wie relevant das z.B. beim schreiben dieses öffentlich zugänglichen Posts ist sei mal dahingestellt
(b) das was über die Leitung geht nicht Verändert wird. Wäre schließlich schädlich für computerbase, wenn mein Provider einfach die Werbung hier durch eigene ersetzt. Bei unverschlüsselten Verbindungen geht das und hat ein Mobilfunkbetreiber in den USA auch vor ein oder zwei Jahren mal gemacht.

Die genannten schwächen sind aber zum teil auch inzwischen Eindämmbar.

 

[Domi83]

Moin moin, ich musste das Thema erst einmal suchen und hatte nicht mehr auf dem Schirm wo es war Mal eine Frage an die Leute die Zertifikate von StartSSL verwendet haben... für SSL Domain Zertifikate könnte man Let's Encrypt verwenden. Aber was verwendet denn die Allgemeinheit bezüglich S/MIME Zertifikat, gibt es da auch einen guten Tipp?

Das Zertifikat darf auch ein Bisschen was kosten, sollte aber ein gutes Preis- / Leistungsverhältnis haben und ich möchte meine E-Mails auch digital Signieren können. Thunderbird sendet ja durch diese digitale Unterschrift den Public Key mit, so das mir die Leute verschlüsselt antworten könnten. Aufmerksam bin ich da eben nur durch Zufall da auf einem meiner Thunderbird Clients das S/MIME nicht hinterlegt ist und mir eine Versicherung geantwortet hat

Bei meiner Suche danach bin ich auf diese Seite aufmerksam geworden...

Gruß, Domi