1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Captchas: Cloudflare bezeichnet 94…

100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

Helft uns, die neuen Foren besser zu machen! Unsere kleine Umfrage dauert nur wenige Sekunden!
  1. Thema

Neues Thema Ansicht wechseln


  1. 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: Anonymer Nutzer 04.04.16 - 15:48

    nix

  2. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: TheUnichi 04.04.16 - 16:03

    Helites schrieb:
    --------------------------------------------------------------------------------
    > nix

    Kannst dir dein Load Balancing auch gerne zuhause im Keller einrichten, mal gucken, wie viele Hunderttausend Euro du in Infrastruktur gesteckt hast, bist du peilst, dass du dich als einzelne Person kaum vor DDoS schützen kannst :D

    Aber Cloud ist ja so böse. Hoster sind auch böse, allgemein. Wollen alle nur deine Daten.

  3. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: BlaM 4cheaters.de 04.04.16 - 16:26

    Darüber könnte man jetzt streiten, da CloudFlare immerhin von den Webseiten sein Geld bekommt (mal von kostenlosen "willst-du-uns-nicht-für-größere-pakete-bezahlen?" Angeboten abgesehen) und damit zur Infrastruktur der Webseite gehört.

    Wo ich viel kritischer hinschauen würde: Kann man Tor-Nodes (und "versehentlich?" offenen Proxies) wirklich vertrauen?

  4. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: Anonymer Nutzer 04.04.16 - 16:27

    Sobald ein "DDOS- Protector" dein SSL-Zert will ist er böse. Es gibt auch Anbieter die dein SSL-Zert nicht brauchen.

  5. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: deadeye 04.04.16 - 18:19

    Wie willst du das machen? Die ddos-protection wird sich auch die Requests ansehen wollen. Das geht nicht, wenn die Verbindung Ende-zu-Ende verschlüsselt ist. D.h. der Server zwischen Client und Webserver muss entweder sein eigenes Zertifikat ausliefern oder halt deins.

  6. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: HiddenX 04.04.16 - 18:25

    deadeye schrieb:
    --------------------------------------------------------------------------------
    > Wie willst du das machen? Die ddos-protection wird sich auch die Requests
    > ansehen wollen. Das geht nicht, wenn die Verbindung Ende-zu-Ende
    > verschlüsselt ist. D.h. der Server zwischen Client und Webserver muss
    > entweder sein eigenes Zertifikat ausliefern oder halt deins.
    Naja, kommt ganz auf den DDoS an. Alles auf TCP Level lässt sich problemlos aufhalten, ohne den HTTP Traffic zu kennen (dann wird höchstens Certificate Pinning zum Problem, wenn du versuchst ein Captcha einzuschleusen)

  7. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: MasterBlupperer 04.04.16 - 18:33

    HiddenX schrieb:
    --------------------------------------------------------------------------------
    > deadeye schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Wie willst du das machen? Die ddos-protection wird sich auch die
    > Requests
    > > ansehen wollen. Das geht nicht, wenn die Verbindung Ende-zu-Ende
    > > verschlüsselt ist. D.h. der Server zwischen Client und Webserver muss
    > > entweder sein eigenes Zertifikat ausliefern oder halt deins.
    > Naja, kommt ganz auf den DDoS an. Alles auf TCP Level lässt sich problemlos
    > aufhalten, ohne den HTTP Traffic zu kennen (dann wird höchstens Certificate
    > Pinning zum Problem, wenn du versuchst ein Captcha einzuschleusen)

    ... und da viele "script-kiddies"-Angriffe eben auch auf viele POST/GET-Requests über das Tor-Netzwerk basieren bleibt eben nur übrig, auch den HTTP-Traffic entsprechend zu filtern. Dazu braucht es eben wohl oder übel auch das Zertifikat.

    Wenn ich allerdings dem Dienstleister nicht vertraue als Betreiber einer Seite, dann darf ich ihn auch nicht verwenden für einen solchen Zweck. Vertraue ich dem Dienstleister, dann ist es eben auch wichtig, dass die Verbindung "hinter" CloudFlare verschlüsselt abläuft.

  8. Re: 100% des Traffics über CloudFlare ist Man in the Middle! (KWT)

    Autor: der_wahre_hannes 05.04.16 - 10:51

    BlaM 4cheaters.de schrieb:
    --------------------------------------------------------------------------------
    > Wo ich viel kritischer hinschauen würde: Kann man Tor-Nodes (und
    > "versehentlich?" offenen Proxies) wirklich vertrauen?

    Nein, kann man natürlich nicht. Zumal gerade Tor-Exit-Nodes auch sehr gerne belauscht werden.

  9. Lern erstmal die Bedeutung des Begriffs (kwt)

    Autor: trolling3r 05.04.16 - 10:53

    (kwt)

  10. Re: Lern erstmal die Bedeutung des Begriffs (kwt)

    Autor: chefin 05.04.16 - 14:29

    @Helites

    Was ein Blödsinn. Man in the Middle würde heisen das ein Dritter lauscht dem ich das nicht zugestehe. Cloudflare ist aber kein Dritter sondern der zweite. Cloudflare wird vom Webshop beauftragt das zu tun. Und ich muss dem Webshop auch vertrauen das er die Daten absichert. Den trotz HTTPS hat die Webseite alles von mir. IP, Fingerprint, Logindaten. Die brauchen nichtmal mein passwort um meinen Account zu hacken. Die sind automatisch dafür berechtigt reinzuschauen.

    Das als MitM zu bezeichnen ist Hirnrissig. Dann ist Microsoft auch MitM, weil die das OS kontrollieren, das deinen Traffic verschlüsselt und zwar bevor er verschlüsselt wird. Oder der Browser der ebenfalls alles unverschlüsselt sieht und auch noch die Zertifikate verwaltet, überprüft, neue aufnimmt oder alte ablehnt. Mozilla ist also auch MitM. Microsoft auch. Oder Redhat, Ubuntu, Debian usw.

    Und damit schliesse ich mich dem Vorposter an. Lerne mal was MitM heist, dann komme wieder und entschuldige dich, das du sovielen Menschen Kopfweh bereitet hast.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Advantest Europe GmbH, Böblingen
  2. Fraunhofer-Institut für Werkstoffmechanik IWM, Freiburg im Breisgau
  3. Allianz Deutschland AG, München-Unterföhring
  4. dSPACE GmbH, Paderborn

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 499,99€
  2. (reduzierte Überstände, Restposten & Co.)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Programm für IT-Jobeinstieg: Hoffen auf den Klebeeffekt
Programm für IT-Jobeinstieg
Hoffen auf den Klebeeffekt

Aktuell ist der Jobeinstieg für junge Ingenieure und Informatiker schwer. Um ihnen zu helfen, hat das Land Baden-Württemberg eine interessante Idee: Es macht sich selbst zur Zeitarbeitsfirma.
Ein Bericht von Peter Ilg

  1. Arbeitszeit Das Sechs-Stunden-Experiment bei Sipgate
  2. Neuorientierung im IT-Job Endlich mal machen!
  3. IT-Unternehmen Die richtige Software für ein Projekt finden

Weclapp-CTO Ertan Özdil: Wir dürfen nicht in Schönheit und Perfektion untergehen!
Weclapp-CTO Ertan Özdil
"Wir dürfen nicht in Schönheit und Perfektion untergehen!"

Der CTO von Weclapp träumt von smarter Software, die menschliches Eingreifen in der nächsten ERP-Generation reduziert. Deutschen Perfektionismus hält Ertan Özdil aber für gefährlich.
Ein Interview von Maja Hoock


    Fiat 500 als E-Auto im Test: Kleinstwagen mit großem Potenzial
    Fiat 500 als E-Auto im Test
    Kleinstwagen mit großem Potenzial

    Fiat hat einen neuen 500er entwickelt. Der Kleine fährt elektrisch - und zwar richtig gut.
    Ein Test von Peter Ilg

    1. Vierradlenkung Elektrischer GMC Hummer SUV fährt im Krabbengang seitwärts
    2. MG Cyberster MG B Roadster mit Lasergürtel und Union Jack
    3. Elektroauto E-Auto-Prämie übersteigt in 2021 schon Vorjahressumme