mitm as usual

[_UPPERcase]

mitm bei ssl geht doch schon immer.
das ist doch genau das problem bei ssl das die verschlüsselung keinen mitm angriffen standhält und das ist schon lange bekannt.
das geht doch auch schon mit den bekannten kleine kinder tools.

wer sich auf ssl verlässt ist verlassen.

[Paeniteo]

> das ist doch genau das problem bei ssl das die verschlüsselung keinen mitm
> angriffen standhält und das ist schon lange bekannt.

Huh? Natürlich hält sie stand.
Die User klicken halt bloß die Zertifikatswarnungen weg. Das ist zwar durchaus ein Problem, aber schwerlich durch das SSL-Protokoll zu lösen.

cu, Paeniteo

[_UPPERcase]

die ssl certifikate (wenn überhaupt mal eines registriert ist) werden ja einfach durchgeroutet und ist meines wissens dasselbe. das opfer hat ja im prinzip nur 1 Hop mehr zum server.
die daten im sslpacket werden einfach decrypted weil ja die schlüsselaushandlung bei ssl mitgesnifft und somit bekannt ist.

zumindest ist das mein wissenstand.

[fast richtig]

Dann ist dein Wissenstand daneben. Der Witz an der Schlüsselaushandlung (bspw. nach Diffie-Hellman) ist gerade, dass man über einen öffentlichen unsicheren Kanal einen Schlüssel aushandeln kann _ohne_ dass ein Lauscher mithören kann. Um den gern genommenen Herrn Schneier mal (sinngemäß) zu zitieren: "Stell dir vor du sitzt in einem Café voller Leute und zwei davon rufen sich quer über den Raum Zahlen zu. Wenn sie damit fertig sind kennen sie ein gemeinsames Geheimnis ohne dass jemand im Raum eine Ahnung hat, welches".