Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › ETLS: ETSI veröffentlicht unsichere…

Implementation?

  1. Thema

Neues Thema Ansicht wechseln


  1. Implementation?

    Autor: AllDayPiano 14.11.18 - 07:44

    Okay, jetzt hat man so eine Verschlüsselung definiert. Die Frage, die sich mir aber stellt: wer soll das jetzt einsetzen? Wenn ein Standard spezifiziert wird, ist man doch immer davon abhängig, dass irgendjemand diesen Standard auch umsetzt. Nur wer soll das sein?

    Gerade im Consumerbereich denke ich nicht, dass sich so ein Standard durchsetzen wird. Dafür sind zu viele bedeutende Unternehmen zu sehr involviert, um sichere Verbindungen herzustellen.

    Ich kann mir daher also durchaus vorstellen, dass einige Nischenapplikationen diesen Standard umsetzen werden, bin aber der Überzeugung, dass diese Nischen auch so eine unsichere Verbindung beinhalten könnten.

    Oder sehe ich das zu blauäugig?

  2. Re: Implementation?

    Autor: marsupilani 14.11.18 - 08:23

    Das Problem wird sein, dass es notwendig wird, eine Methode zu entwickeln, mit der die client Seite eine solche Implementierung erkennen und den user warnen kann. Ansonsten werden wohl viele diese Möglichkeit optional in lLadbalancern oder ähnlichem vorsehen, ohne das groß bekannt zu machen...

  3. Re: Implementation?

    Autor: elgooG 14.11.18 - 11:29

    Soweit ich das verstanden habe, ist diese Variante allerdings inkompatibel zu TLS1.3. Eine Verbindung würde erst gar nicht zustande kommen.

    Kann Spuren von persönlichen Meinungen, Sarkasmus und Erdnüssen enthalten. Ausdrucke nicht für den Verzehr geeignet. Ungelesen mindestens haltbar bis: siehe Rückseite

  4. Re: Implementation?

    Autor: Puschie 14.11.18 - 11:56

    elgooG schrieb:
    --------------------------------------------------------------------------------
    > Soweit ich das verstanden habe, ist diese Variante allerdings inkompatibel
    > zu TLS1.3. Eine Verbindung würde erst gar nicht zustande kommen.


    Es besteht eine 100% Kompatibilität - die Sicherheit ist nur futsch.

  5. Re: Implementation?

    Autor: Kein Kostverächter 14.11.18 - 13:09

    Der Client muss die temporären DH-Keys loggen. Dann kann man prüfen, ob es zu einem Server immer derselbe ist. Wenn ja, ist es ETLS oder (eigentlich dasselbe) eine kaputte TLS -Implementierung. Dafür braucht man aber mehrere Sessions, bei der ersten Session sind ETLS und TLS auf der Client-Seite nicht zu unterscheiden.

    Bis die Tage,

    KK

    ----------------------------------------------------------
    Mach dir deine eigenen Götter, und unterlasse es, dich mit einer schnöden Religion zu beflecken.
    (Epikur, griech. Phil., 341-270 v.Chr.)
    ----------------------------------------------------------
    We provide AI Blockchain Cloud (ABC) enabled applications bringing Enterprise level synergies to vertically integrated business processes.

  6. Re: Implementation?

    Autor: qupfer 14.11.18 - 14:54

    Kein Kostverächter schrieb:
    --------------------------------------------------------------------------------
    > Der Client muss die temporären DH-Keys loggen. Dann kann man prüfen, ob es
    > zu einem Server immer derselbe ist. Wenn ja, ist es ETLS oder (eigentlich
    > dasselbe) eine kaputte TLS -Implementierung.

    Mh, ich denke ganz korrekt ist das auch nicht.
    So wie ich DH verstanden habe: Man bei DH 4 Werte. Für Server und Client jeweils einen "Privaten" und eine "Öffentlichen".
    Aus den beiden Eigen und dem öffentlichen Wertes der anderen Seite lässt sich dann der Schlüssel ableiten, der identisch mit der Bildung aus den eigenen Öffentlichen und den beiden der anderen Seite ist). Daraus ergibt sich: Beide Seiten haben einen gemeinsamen Schlüssel
    Wenn ich jetzt als client bei jeder Sitzung korrekt neue Parameter sende, habe ich dennoch unterschiedliche Schlüssel.

    Problem ist. Die Middleware kennt beide Werte der einen Seite und benötigt nur noch den öffentlichen Parameter der anderen. Die ja - da öffentlich - unverschlüsselt übertragen wird. Daraus lässt sich der Sitzungsschlüssel ausrechnen.

    Oder man benötigt halt wirklich auf beiden Seiten eTLS, dann ist der Schlüssel wirklich bekannt. Aber dann brauch er auch nicht protokolliert werden um es zu erkennen.

    Oder habe ich noch einen Denkfehler?

  7. Re: Implementation?

    Autor: waldschote 14.11.18 - 15:47

    Die Sicherheit an sich ist nicht futsch. Der reine Transport der Daten ist auch weiterhin gesichert. D.h. ein Außenstehender hat keinen Zugriff auf die Daten. Bzw. muss diese wie sonst auch sich mühsam den Schlüssel erarbeiten bevor er die Pakete entschlüsseln kann.

    Der Unterschied von ETLS und TLS ist nur, das intern die Pakete ohne weiteres entschlüsselt werden können, weil die Admins ihren privaten Schlüssel ja kennen. In sofern kann die Kommunikation Netz Intern ohne Aufwand aufgebrochen und reingeschaut werden.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. über DIS AG, Münster
  2. Bosch Gruppe, Stuttgart
  3. Hartkorn Gewürzmühle GmbH, Mülheim-Kärlich
  4. Bosch Gruppe, Waiblingen

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 32,25€ (5% Extra-Rabatt mit Gutschein GRCCIVGS (Uplay-Aktivierung))
  2. für 2€ (nur für Neukunden)
  3. 39,95€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Struktrurwandel: IT soll jetzt die Kohle nach Cottbus bringen
Struktrurwandel
IT soll jetzt die Kohle nach Cottbus bringen

In Cottbus wird bald der letzte große Braunkohle-Tagebau zum Badesee. Die ansässige Wirtschaft sucht nach neuen Geldquellen und will die Stadt zu einem wichtigen IT-Standort machen. Richten könnten das die Informatiker der Technischen Uni - die werden aber direkt nach ihrem Abschluss abgeworben.
Von Maja Hoock

  1. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
  2. Recruiting Wenn die KI passende Mitarbeiter findet
  3. Softwareentwicklung Agiles Arbeiten - ein Fallbeispiel

WD Black SN750 ausprobiert: Direkt hinter Samsungs SSDs
WD Black SN750 ausprobiert
Direkt hinter Samsungs SSDs

Mit den WD Black SN750 liefert Western Digital technisch wie preislich attraktive NVMe-SSDs. Es sind die kleinen Details, welche die SN750 zwar sehr gut, aber eben nicht besser als die Samsung-Konkurrenz machen.
Ein Bericht von Marc Sauter

  1. WD Black SN750 Leicht optimierte NVMe-SSD mit 2 TByte
  2. Ultrastar DC ME200 Western Digital baut PCIe-Arbeitsspeicher mit 4 TByte
  3. Western Digital My-Cloud-Lücke soll nach 1,5 Jahren geschlossen werden

Far Cry New Dawn im Test: Die Apokalypse ist chaotisch, spaßig und hat Pay to Win
Far Cry New Dawn im Test
Die Apokalypse ist chaotisch, spaßig und hat Pay to Win

Grizzly frisst Bandit, Buggy rammt Grizzly: Far Cry New Dawn zeigt eine wunderbar chaotische Postapokalypse, die gerade bei der Geschichte und dem Schwierigkeitsgrad viel besser macht als der Vorgänger. Schade, dass die bunte Welt von Mikrotransaktionen getrübt wird.
Ein Test von Oliver Nickel

  1. Far Cry New Dawn angespielt Das gleiche Chaos im neuen Gewand
  2. New Dawn Ubisoft setzt Far Cry 5 postapokalyptisch fort

  1. Elektroautos: Asiaten auf dem Sprung
    Elektroautos
    Asiaten auf dem Sprung

    Wie Elektromobilität auf unseren Straßen aussieht, bestimmen in weiten Teilen asiatische Hersteller. Aus Japan, Südkorea und China setzen etablierte als auch komplett neue Marken zum Sprung an. Erstaunlicherweise versucht es auch eine europäische Marke über den Umweg Asien.

  2. WWDC 2019: iOS- und Mac-Apps sollen 2021 verschmelzen
    WWDC 2019
    iOS- und Mac-Apps sollen 2021 verschmelzen

    Apple will ein Entwicklerwerkzeug für universelle Apps präsentieren, mit dem iOS- und MacOS-Apps gleichermaßen entwickelt werden können. Die unterschiedlichen Betriebssysteme sollen aber bleiben.

  3. Sonos-One-Konkurrenz: Pure Discovr mit Akku und Airplay 2 kann sich klein machen
    Sonos-One-Konkurrenz
    Pure Discovr mit Akku und Airplay 2 kann sich klein machen

    Ein ungewöhnlicher Alexa-Lautsprecher kommt vom Audiounternehmen Pure. Der Discovr-Lautsprecher verkleinert seine Größe bei abgeschalteten Mikrofonen. Die weiteren Besonderheiten des smarten Lautsprechers sind der Akku, frei belegbare Tasten und die Unterstützung von Airplay 2.


  1. 09:29

  2. 08:56

  3. 08:41

  4. 08:01

  5. 07:44

  6. 07:30

  7. 20:46

  8. 20:30