• trollercoaster
    link
    Deutsch
    12 months ago

    TLS, wie es hauptsächlich praktiziert wird, ist eh nur Sicherheitstheater. Musst Dir nur mal anschauen, welchen Zertifizierern Dein Betriebssystem und Dein Browser standardmäßig so vertraut.

    • @[email protected]
      link
      fedilink
      Deutsch
      22 months ago

      Also das sehe ich schon sehr anders, allein, wenn ich an SSH denke. Und ungesichertes HTTP möchte ich - Zertifikatsstelle hin oder her - ganz sicher nicht. Es liegt doch am Nutzer selbst, man kann in den meisten Browsern und Systemen auch die CAs entfernen, die man selbst nicht will.

      • trollercoaster
        link
        Deutsch
        32 months ago

        SSH macht es halt richtig, aber SSH ist keine wirkliche Mainstream-Anwendung.

        Der durchschnittliche Nutzer ist bestenfalls gerade mal in der Lage, sein Gerät ohne fremde Hilfe einzuschalten. Irgendwelche CAs zu beurteilen und zu entfernen dürfte deren Fähigkeiten leicht übersteigen.

        • @[email protected]
          link
          fedilink
          Deutsch
          22 months ago

          Das ist korrekt, aber dann zeichnest du für meinen Geschmack das Problem am falschen Ort. TLS kann ja nichts dafür, wenn CAs zu freizügig vertraut wird.

          Davon abgesehen, das würde mich wirklich interessieren: welche fragwürdigen CAs meinst du denn, denen vertraut wird?

          • trollercoaster
            link
            Deutsch
            12 months ago

            welche fragwürdigen CAs meinst du denn, denen vertraut wird?

            Alle staatlichen zum Beispiel.

            • @[email protected]
              link
              fedilink
              Deutsch
              2
              edit-2
              2 months ago

              Welche sind das? Will dich nicht mit der Frage hinters Licht führen, aber ich brauche mal nen Anhaltspunkt, damit ich mir das gleich mal ansehen kann anstatt zu arbeiten.

              update: also bund.de nutzt z.B. D-Trust, was der Bundesdruckerei gehört. Das halte ich schon für vertrauenswürdig. Ich dachte jetzt eigentlich eher, dass du zwielichtige Privatunternehmen meinst.

              • trollercoaster
                link
                Deutsch
                2
                edit-2
                2 months ago

                Hab da gerade mal in nen Firefox reingeschaut, bin aber nicht mehr zu 100% sicher, ob ich den nicht schon mal ausgemistet hatte, denn da waren nur noch wenige eindeutig staatlichen Zertifizierer drin:

                • TunTrust Root CA ausgestellt von der Agence Nationale de Certification Electronique in Tunesien
                • Staat der Nederlanden Root CA - G3 ausgestellt vom Niederländischen Staat

                Leider haben auch die kommerziellen Zertifizierer gerne Namen, die irgendwie “offiziell” klingen, ist also teilweise schwierig zu unterscheiden.

                Außerdem gibt es ja auch noch staatsnahe gewerbliche Dienstleister, z.B. T-Systems in Deutschland. Bei denen würde es mich sehr wundern, wenn sie nicht auf Zuruf Fake-Zertifikate für diverse Dienste und Polizeien austellen würden.

                Update:

                Das halte ich schon für vertrauenswürdig

                Staatliche Zertifizierer sind insofern vertrauenswürdig, dass sie Zertifikate für staatliche Stellen ausstellen. Ob das jetzt für irgendein normales staatliches Angebot ist, oder für irgendeinen Geheimdienst oder sonstige Ermittlungsbehörden,ist aber eine ganz andere Frage.

    • @[email protected]
      link
      fedilink
      Deutsch
      1
      edit-2
      2 months ago

      Naja es gibt ja schon einen Unterschied zwischen der Verschlüsselung und der Authentifizierung bei TLS.

      Die Zertifikate sind für die Prüfung der Authentizität notwendig (also dass der Server tatsächlich der ist, der er behauptet zu sein) und da kann man durchaus berechtigt diskutieren, dass nicht alle Organisationen, die solche Zertifikate ausstellen, auch vertrauenswürdig sind.

      Die Verschlüsselung, um die es hier geht, ist aber trotzdem eine gute Sache und hat nichts mit Sicherheitstheater zu tun. Die sorgt nämlich dafür, dass niemand mitlesen kann, was zwischen dir und dem Server am anderen Ende hin und her geschickt wird. Ist zwar nur begrenzt sinnvoll, wenn man besagtem Server ohne o.g. Authentifizierung nicht immer trauen kann, aber das tut der Nützlichkeit der Verschlüsselung selbst keinen Abbruch.

      • trollercoaster
        link
        Deutsch
        32 months ago

        Die Verschlüsselung ist aber nur sicher, wenn die Authentifizierung vertrauenswürdig ist, denn sonst kann jeder, der an ein “vertrauenswürdiges” Zertifikat kommt, Dir einfach sein eigenes unterschieben und den verschlüsselten Traffic mitlesen. Eine Verschlüsselung, bei der keine vertrauenswürdige Authentifizierung stattfindet, ist damit selbst nicht vertrauenswürdig und nur sehr begrenzt nützlich.