Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Certificate Transparency: Betrug mit…

Wie genau werden "böse" Zertifikate jetzt von den Browsern erkannt ?

  1. Thema

Neues Thema Ansicht wechseln


  1. Wie genau werden "böse" Zertifikate jetzt von den Browsern erkannt ?

    Autor: pointX 25.10.16 - 18:46

    Nehmen wir einmal an, dass eine CA für die Geheimdienste ein Zertifikat für MITM-Zwecke hinter dem Transparency-System herum erstellt.

    Wie erkennt jetzt der Browser des Opfers, dass das Zertifikat böse ist ?

    Wird bei jedem Verbindungsaufbau geprüft, ob das Zertifikat auch in der Transparency-Liste drin ist ?
    Wenn ja, ist diese Transparency-Liste dann nicht ein "Super-Benutzer-Tracker" ?
    Kann ich mir irgendwie nicht vorstellen.

  2. Re: Wie genau werden "böse" Zertifikate jetzt von den Browsern erkannt ?

    Autor: ikhaya 25.10.16 - 19:00

    Wenn das Zertifikat keinen Stempel von 2 Logservern hat dass es registriert wurde verbindet der Browser nicht, insofern kommst du nicht "hinten rum" am Log vorbei.

  3. Re: Wie genau werden "böse" Zertifikate jetzt von den Browsern erkannt ?

    Autor: RipClaw 25.10.16 - 19:04

    pointX schrieb:
    --------------------------------------------------------------------------------
    > Nehmen wir einmal an, dass eine CA für die Geheimdienste ein Zertifikat für
    > MITM-Zwecke hinter dem Transparency-System herum erstellt.
    >
    > Wie erkennt jetzt der Browser des Opfers, dass das Zertifikat böse ist ?
    >
    > Wird bei jedem Verbindungsaufbau geprüft, ob das Zertifikat auch in der
    > Transparency-Liste drin ist ?

    Nur beim ersten Verbindungsaufbau. Der Browser merkt sich das dann das das Zertifikat existiert und fragt beim nächsten mal nicht mehr nach.

    > Wenn ja, ist diese Transparency-Liste dann nicht ein
    > "Super-Benutzer-Tracker" ?

    Nicht unbedingt. Es kommt drauf an was abgefragt wird. Normalerweise wird der Fingerprint abgefragt und nicht die Domain oder gar die URL.

    Klar kann man dann im Nachhinein nachgucken nach welchem Zertifikat gesucht wurde aber wenn es ein Multidomain Zertifikat oder aber ein Wildcard Zertifikat ist dann weiß man nicht für welche Domain die Abfrage war.

    Und wie schon zuvor gesagt erfolgt die Abfrage nur einmal und somit als Tracker kaum brauchbar.

    > Kann ich mir irgendwie nicht vorstellen.

    Im Grunde wird das gleiche aktuell mit OCSP gemacht. Da wird dann auch geprüft ob Zertifikat XY noch gültig ist.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. EDAG Engineering GmbH, Ingolstadt
  2. Stromnetz Hamburg GmbH, Hamburg
  3. Friedrich Schütt + Sohn Baugesellschaft mbH & Co. KG, Lübeck
  4. Allgeier Experts Pro GmbH, Essen

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 279,90€
  2. 529€
  3. mit Gutschein: NBBX570


Haben wir etwas übersehen?

E-Mail an news@golem.de


Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Medienkompetenz: Was, Ihr Kind kann nicht programmieren?
Medienkompetenz
Was, Ihr Kind kann nicht programmieren?

Lesen, schreiben, rechnen und coden: Müssen Kinder programmieren lernen? Vielleicht nicht. Aber sie sollen verstehen, wie Computer funktionieren. Wie das am besten geht.
Von Jakob von Lindern

  1. 5G Milliardenlücke beim Digitalpakt Schule droht
  2. Digitalpakt Schuldigitalisierung kann starten
  3. Whatsapp bei Lehrern Kultusministerkonferenz pocht auf Datenschutz

Inside Bill's Brain rezensiert: Nicht nur in Bill Gates' Kopf herrscht Chaos
Inside Bill's Brain rezensiert
Nicht nur in Bill Gates' Kopf herrscht Chaos

Einer der erfolgreichsten Menschen der Welt ist eben auch nur ein Mensch: Die Netflix-Doku Inside Bill's Brain - Decoding Bill Gates zeichnet das teils emotionale Porträt eines introvertierten und schlauen Nerds, schweift aber leider zu oft in die gemeinnützige Arbeit des Microsoft-Gründers ab.
Eine Rezension von Oliver Nickel

  1. Microsoft Netflix bringt dreiteilige Dokumentation über Bill Gates

  1. Supply-Chain-Angriff: Spionagechips können einfach und günstig eingelötet werden
    Supply-Chain-Angriff
    Spionagechips können einfach und günstig eingelötet werden

    Ein Sicherheitsforscher zeigt, wie er mit Equipment für unter 200 US-Dollar mit einem Mikrochip eine Hardware-Firewall übernehmen konnte. Damit beweist er, wie günstig und realistisch solche Angriffe sein können. Vor einem Jahr berichtete Bloomberg von vergleichbaren chinesischen Spionagechips.

  2. IT an Schulen: Intelligenter Stift zeichnet Handschrift von Schülern auf
    IT an Schulen
    Intelligenter Stift zeichnet Handschrift von Schülern auf

    Stabilo und der Bund wollen einen Stift entwickeln, der Kinder bei Defiziten mit der Handschrift unterstützt. Mit Hilfe von Machine Learning und einer mobilen App analysiert das System das Geschriebene und passt Übungen an. Das Projekt ist mit 1,77 Millionen Euro beziffert.

  3. No Starch Press: IT-Verlag wirft Amazon Verkauf von Schwarzkopien vor
    No Starch Press
    IT-Verlag wirft Amazon Verkauf von Schwarzkopien vor

    Der Fachverlag No Starch Press wirft Amazon vor, Schwarzkopien von Büchern aus seinem Verlagsangebot zu verkaufen. Dabei handele es sich explizit nicht um Drittanbieter, sondern Amazon selbst als Verkäufer. Das geschieht nicht das erste Mal.


  1. 16:54

  2. 16:41

  3. 16:04

  4. 15:45

  5. 15:35

  6. 15:00

  7. 14:13

  8. 13:57