Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Google: Chrome entfernt SSLv3 in…

Die beste Verbindungsverschlüsselung???

  1. Thema

Neues Thema Ansicht wechseln


  1. Die beste Verbindungsverschlüsselung???

    Autor: maverick1977 03.11.14 - 17:47

    Also bei all dem Sicherheitsgelaber, frage ich mich, was sichere Verbindungen ausmacht.

    Im Browser darf es nur TLS 1.1 oder höher sein, um sicher zu sein.
    Auf Server-Ebene darf kein RS4 bla blubb... LEUTE HELFT MIR DA DURCH ZU BLICKEN! :-(

    Kann mir mal jemand eine leicht verständliche Website zeigen, auf der ich lesen kann, wie eine sichere Verbindung aufgebaut ist? Was man beachten muss und so?

  2. Re: Die beste Verbindungsverschlüsselung???

    Autor: zwergberg 03.11.14 - 18:54

    maverick1977 schrieb:
    --------------------------------------------------------------------------------
    > Also bei all dem Sicherheitsgelaber, frage ich mich, was sichere
    > Verbindungen ausmacht.
    >
    > Im Browser darf es nur TLS 1.1 oder höher sein, um sicher zu sein.
    > Auf Server-Ebene darf kein RS4 bla blubb... LEUTE HELFT MIR DA DURCH ZU
    > BLICKEN! :-(
    >
    > Kann mir mal jemand eine leicht verständliche Website zeigen, auf der ich
    > lesen kann, wie eine sichere Verbindung aufgebaut ist? Was man beachten
    > muss und so?

    Was willst du? Interessierst du dich einfach für die richtige Konfiguration als User (Browser, Mail, etc.) oder willst du einen Server betreiben? Bei der Art des Postings würde ich von letzterem abraten...

    Wenn du deine Software auf dem aktuellen Stand hältst, sollte es eigentlich ohne dein Mitwirken "richtig" eingestellt sein. Verschlüsselung *ist* kompliziert, sehr schwer, korrekt zu implementieren und extrem anfällig für subtile Fehler, die die Funktion der Software *nicht* beeinträchtigen. Darum ist das eigentlich keine Sache, die Fritzchen Facebookfrickler selbst einstellen will.
    Über die Jahrzehnte sind eine ganze Horde von Protokollen (à la TLS), Verschlüsselungsmethoden (z.B. RC4 oder Camellia) und Hashfunktionen (z.B. SHA256) entstanden, von denen in der Regel jeweils das Neueste auch das Beste ist.

    Wenn Du eine TLS-Verbindung mit dem Browser zu einem Webserver aufbaust, wird dafür sowohl das Protokoll ausgehandelt als auch die Verschlüsselungsmethode und der Hash-Algorithmus. TLS 1.0/1.1/1.2 oder SSL3 charakterisieren also bei weitem noch nicht richtig die eingesetzte Verschlüsselung zwischen Server und Browser.

    Am besten fängst du vielleicht mal ganz gemütlich bei dem Artikel hier an:
    https://de.wikipedia.org/wiki/Transport_Layer_Security

    Was man heute in Clients jedenfalls gar nicht mehr haben will, sind: SSL3 als Protokoll oder RC4 für die Verschlüsselung (nicht bloß die Kombination beider, sondern jedes ist für sich genommen unsicher).

    Wenn du ein bisschen Anregungen haben willst, kannst du ja mal schauen, was der SSL-Test über eine gute Seite sagt [1] und was über eine richtig miese [2].
    [1] https://www.ssllabs.com/ssltest/analyze.html?d=github.com&s=192.30.252.131
    [2] https://www.ssllabs.com/ssltest/analyze.html?d=uni-hamburg.de

  3. Re: Die beste Verbindungsverschlüsselung???

    Autor: slashwalker 03.11.14 - 19:06

    Ich bin kein Crypto Experte und habe mir alles in Blogs und Newslisten angelesen.
    Ich habe mittlerweile die für mich beste SSL Konfig zusammen.
    SSL Labs Wertung A+ 100-95-100-100

    nginx:
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    Verzicht auf TLSv1 sperrt mir aktuell zu viele Browser aus bzw. ich müsste schwächere Cipher verwenden.

    ssl_ciphers 'AES256+EECDH:AES256+EDH';
    ssl_dhparam dh4096.pem;
    ssl_stapling on;
    ssl_stapling_verify on;
    add_header Strict-Transport-Security "max-age=31536000;includeSubDomains;preload";

    [www.ssllabs.com]



    1 mal bearbeitet, zuletzt am 03.11.14 19:14 durch slashwalker.

  4. Re: Die beste Verbindungsverschlüsselung???

    Autor: RipClaw 03.11.14 - 23:26

    maverick1977 schrieb:
    --------------------------------------------------------------------------------
    > Also bei all dem Sicherheitsgelaber, frage ich mich, was sichere
    > Verbindungen ausmacht.
    >
    > Im Browser darf es nur TLS 1.1 oder höher sein, um sicher zu sein.
    > Auf Server-Ebene darf kein RS4 bla blubb... LEUTE HELFT MIR DA DURCH ZU
    > BLICKEN! :-(
    >
    > Kann mir mal jemand eine leicht verständliche Website zeigen, auf der ich
    > lesen kann, wie eine sichere Verbindung aufgebaut ist? Was man beachten
    > muss und so?

    Ich verwende die Cipherauswahl von Mozilla:

    https://wiki.mozilla.org/Security/Server_Side_TLS

    Damit habe ich gute Ergebnisse erzielt hinsichtlich Kompatibilität und Sicherheit.

    Auch recht interessant ist folgende Seite:

    https://bettercrypto.org/

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Technische Universität München, München
  2. Deloitte, verschiedene Standorte
  3. BwFuhrparkService GmbH, Troisdorf
  4. IGEL Technology GmbH, Augsburg

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 25,99€
  2. 4,31€
  3. 149,99€ (Release noch nicht bekannt)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Elektromobilität: Die Rohstoffe reichen, aber ...
Elektromobilität
Die Rohstoffe reichen, aber ...

Brennstoffzellenautos und Elektroautos sollen künftig die Autos mit Verbrennungsantrieb ersetzen und so den Straßenverkehr umweltfreundlicher machen. Dafür sind andere Rohstoffe nötig. Kritiker mahnen, dass es nicht genug davon gebe. Die Verfügbarkeit ist aber nur ein Aspekt.
Eine Analyse von Werner Pluta

  1. Himo C16 Xiaomi bringt E-Mofa mit zwei Sitzplätzen für rund 330 Euro
  2. ADAC-Test Hohe Zusatzkosten bei teuren Wallboxen möglich
  3. Elektroroller E-Scooter sollen in Berlin nicht mehr auf Gehwegen parken

OKR statt Mitarbeitergespräch: Wir müssen reden
OKR statt Mitarbeitergespräch
Wir müssen reden

Das jährliche Mitarbeitergespräch ist eines der wichtigsten Instrumente für Führungskräfte, doch es ist gerade in der IT-Branche nicht mehr unbedingt zeitgemäß. Aus dem Silicon Valley kommt eine andere Methode: OKR. Sie erfüllt die veränderten Anforderungen an Agilität und Veränderungsbereitschaft.
Von Markus Kammermeier

  1. Arbeit Hilfe für frustrierte ITler
  2. IT-Arbeitsmarkt Jobgarantie gibt es nie
  3. IT-Fachkräftemangel Freie sind gefragt

Harmony OS: Die große Luftnummer von Huawei
Harmony OS
Die große Luftnummer von Huawei

Mit viel Medienaufmerksamkeit und großen Versprechungen hat Huawei sein eigenes Betriebssystem Harmony OS vorgestellt. Bei einer näheren Betrachtung bleibt von dem großen Wurf allerdings kaum etwas übrig.
Ein IMHO von Sebastian Grüner


    1. Elektromobilität: Singapur zieht Busse dem Tesla-Lifestyle vor
      Elektromobilität
      Singapur zieht Busse dem Tesla-Lifestyle vor

      Elon Musk hat der Regierung von Singapur vor einiger Zeit vorgeworfen, gegen Elektroautos zu sein. Der Tesla-Chef wolle bloß Lifestyle verkaufen, kontert der Umweltminister des Stadtstaates. Seine Regierung suche lieber Lösungen für die Klima- und Verkehrsprobleme.

    2. Fluggastdatenspeicherung: Vielflieger scheitert vor Gericht
      Fluggastdatenspeicherung
      Vielflieger scheitert vor Gericht

      Ein europäischer Fluggast hat gegen das BKA geklagt: Dieses solle seine Fluggastdaten nicht speichern, verarbeiten und übermitteln. Das Verwaltungsgericht Wiesbaden lehnte die Klage jedoch mit dem Verweis auf andere Datensammlungen ab.

    3. Düsseldorf: Xiaomi kündigt erstes Büro in Deutschland an
      Düsseldorf
      Xiaomi kündigt erstes Büro in Deutschland an

      Genau wie Huawei will der Technologiekonzern Xiaomi eine Niederlassung in Düsseldorf eröffnen. Seine Produkte gibt es bereits bei Mediamarkt, Saturn und Amazon.


    1. 16:34

    2. 15:44

    3. 14:42

    4. 14:10

    5. 12:59

    6. 12:45

    7. 12:30

    8. 12:02