Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › HTTPS: Mozilla spricht Let's Encrypt…

Warum

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Warum

    Autor: laserbeamer 07.08.16 - 11:48

    Warum nehmen die Lets Encrypt auf aber CA Cert immer noch nicht...
    Und das wo Lets Encrypt schon negativ aufgefallen ist im Gegensatz zu CA Cert (die Mail Adressen Panne)...

  2. Re: Warum

    Autor: Paradinight 07.08.16 - 12:14

    Wobei ist Lets Encrypt negativ aufgefallen?

  3. Re: Warum

    Autor: mirko911 07.08.16 - 12:32

    Ich glaube er meint diesen Artikel:
    https://www.golem.de/news/verschuesselung-let-s-encrypt-verraet-7-618-e-mail-adressen-1606-121462.html

  4. Re: Warum

    Autor: kiu112 07.08.16 - 12:53

    laserbeamer schrieb:
    --------------------------------------------------------------------------------
    > Warum nehmen die Lets Encrypt auf aber CA Cert immer noch nicht...
    > Und das wo Lets Encrypt schon negativ aufgefallen ist im Gegensatz zu CA
    > Cert (die Mail Adressen Panne)...

    Weil es festgelegte Prozesse gibt, um in Browsern integriert zu werden. CA Cert ist bisher bei den Audits durchgefallen.

    Siehe http://wiki.cacert.org/InclusionStatus

  5. Re: Warum

    Autor: Stebs 07.08.16 - 13:50

    laserbeamer schrieb:
    --------------------------------------------------------------------------------
    > Warum nehmen die Lets Encrypt auf aber CA Cert immer noch nicht...
    > Und das wo Lets Encrypt schon negativ aufgefallen ist im Gegensatz zu CA
    > Cert (die Mail Adressen Panne)...

    In this case, CACert has WITHDRAWN its request for inclusion.
    Ian Grigg, the auditor for CACert, officially withdrew the request for
    inclusion until the audit is completed satisfactorily.

    At such time as CACert passes its audit, an official representative for CACert will undoubtedly file a new bug, making a new request for inclusion.

  6. Re: Warum

    Autor: Felix_Keyway 07.08.16 - 14:00

    laserbeamer schrieb:
    --------------------------------------------------------------------------------
    > Warum nehmen die Lets Encrypt auf aber CA Cert immer noch nicht...
    > Und das wo Lets Encrypt schon negativ aufgefallen ist im Gegensatz zu CA
    > Cert (die Mail Adressen Panne)...

    Weil erstens Let's Encrypt erstens ihr eigenes Projekt ist, zweitens ist Let's Encrypt im Gegensatz zu CACert durch das Cross Signing mit Identrust grundsätzlich schon vertrauenswürdig, drittens ist Let's Encrypt viel weiter verbreitet, viertens wird es kaum was bringen, CACert aufzunehmen, da die anderen Browser CACert weiterhin nicht vertrauen werden, fünftens erfüllt CACert weiterhin die Kriterien nicht.

    Ich hoffe das reicht als Argumente.

    Ich bin Spezialist der NSA mit dem Spezialgebiet Backdoors in den Linux-Kernel einzuschleusen ;) .



    2 mal bearbeitet, zuletzt am 07.08.16 14:05 durch Felix_Keyway.

  7. Re: Warum

    Autor: nicoledos 07.08.16 - 14:17

    Man sollte auch nicht vergessen, dass hinter Lets Encrypt niemand anderes als Mozilla steht. Man vertraut sich also selbst.

    Bei CA Cert scheitert es erst mal an den hohen Kosten. Schließlich stellt CA Cert nicht nur Class1, sondern auch Class3 aus. Da sind die Anforderungen um einiges höher. Der Vertrauens-Process mag besser als der bei anderen CAs sein. Da die Mindestpunktzahl leicht zu erreichen ist, um selbst Assurer zu werden besteht ein nicht geringes Missbrauchspotential. Was nicht bedeutet, dass die kommerziellen besser sind.

  8. Re: Warum

    Autor: RipClaw 07.08.16 - 14:28

    laserbeamer schrieb:
    --------------------------------------------------------------------------------
    > Warum nehmen die Lets Encrypt auf aber CA Cert immer noch nicht...

    Um von den Browsern aufgenommen zu werden müssen regelmäßig Audits durchgeführt werden und CACert hat es noch nicht mal den ersten Audit überstanden.
    Das war zwischen 2006 und 2009. Danach wollten sie sich neu organisieren und einen neuen Anlauf starten was bisher aber wohl nicht geschehen ist.

    Zudem sind da die Kosten für einen Audit. Let's Encrypt hat von Anfang an dafür gesorgt das sie genug Geld in der Kriegskasse haben und sie sind da auch wesentlich professioneller ran gegangen als CaCert.
    Dadurch das sie sich die Unterstützung von Identrust gesichert haben konnen sie sofort gültige Zertifikate ausstellen um dann langfristig das Ziel erreichen zu können in die Browser und Betriebssysteme direkt aufgenommen zu werden.

    > Und das wo Lets Encrypt schon negativ aufgefallen ist im Gegensatz zu CA
    > Cert (die Mail Adressen Panne)...

    Denen ist ein Newsletter schief gelaufen. Und was hat das mit dem sicheren Ausstellen von Zertifikaten zu tun ?

    Zudem hat sich Let's Encrypt hier vorbildlich verhalten und hat die Sache selbst öffentlich gemacht und einen Bericht verfasst wie das passieren konnte und welche Maßnahmen ergriffen wurden um das in Zukunft zu vermeiden.

  9. Re: Warum

    Autor: RipClaw 07.08.16 - 14:37

    nicoledos schrieb:
    --------------------------------------------------------------------------------
    > Man sollte auch nicht vergessen, dass hinter Lets Encrypt niemand anderes
    > als Mozilla steht. Man vertraut sich also selbst.

    Ganz so ist es auch nicht. Sie mussten die gleichen Dokumente einreichen wie alle anderen CAs und die gleichen Prozeduren durchlaufen.

    Mozilla war hier der erste aber ich gehe davon aus das sie von den anderen auch akzeptiert werden.

  10. Re: Warum

    Autor: johnripper 07.08.16 - 17:28

    Und was habe ich von der Aufnahme?

    Ich kann in jedem Browser ein Vertrauen erreichen, wenn ich das entsprechende Intermediate mitliefern.

  11. Re: Warum

    Autor: RipClaw 07.08.16 - 18:34

    johnripper schrieb:
    --------------------------------------------------------------------------------
    > Und was habe ich von der Aufnahme?
    >
    > Ich kann in jedem Browser ein Vertrauen erreichen, wenn ich das
    > entsprechende Intermediate mitliefern.

    Der Vorteil für Let's Encrypt ist das sie nicht mehr von Identrust abhängig sind was auch etwas für den Nutzer bringt. Der muss nicht befürchten das Let's Encrypt dicht machen muss wenn Identrust dicht machen würde und sich keine andere CA findet die ein Zwischenzertifikat ausstellt.

    Zudem ist der Vorteil für Let's Encrypt das sie nicht immer zu Identrust rennen müssen wenn mal wieder ein Wechsel vom Zwischenzertifikat ansteht. Inzwischen gibt es eigentlich keine CA mehr die Zwischenzertifikate für ihre Produkte einsetzt. Das erleichtert einen Wechsel für den Fall der Fälle.

    Und wenn du jetzt immer noch fragst was du persönlich davon hast, dann muss ich dir leider mitteilen das sich das Universum nicht um dich dreht und man nicht aus allem einen persönlichen Vorteil ziehen kann.

  12. Re: Warum

    Autor: negecy 07.08.16 - 20:57

    Man kann insbesondere so einfacher Let's Encrypt das Vertrauen entziehen und blocken, wenn man diesem stümperhaften Laden nicht vertrauen möchte. Schade und schwach von Mozilla, trotz klarer Auffälligkeiten und nicht regelkonformen Verhalten der Laden aufgenommen wurde.

  13. Re: Warum

    Autor: RipClaw 07.08.16 - 21:07

    negecy schrieb:
    --------------------------------------------------------------------------------
    > Man kann insbesondere so einfacher Let's Encrypt das Vertrauen entziehen
    > und blocken, wenn man diesem stümperhaften Laden nicht vertrauen möchte.
    > Schade und schwach von Mozilla, trotz klarer Auffälligkeiten und nicht
    > regelkonformen Verhalten der Laden aufgenommen wurde.

    Dann erzähl doch mal was für Schwächen du meinst und welches Verhalten nicht regelkonform ist.

  14. Re: Warum

    Autor: johnripper 07.08.16 - 22:09

    RipClaw schrieb:
    --------------------------------------------------------------------------------
    > Und wenn du jetzt immer noch fragst was du persönlich davon hast, dann muss
    > ich dir leider mitteilen das sich das Universum nicht um dich dreht und man
    > nicht aus allem einen persönlichen Vorteil ziehen kann.

    Warum hast du dir das nicht einfach gespart?

  15. Re: Warum

    Autor: RipClaw 07.08.16 - 22:24

    johnripper schrieb:
    --------------------------------------------------------------------------------
    > RipClaw schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Und wenn du jetzt immer noch fragst was du persönlich davon hast, dann
    > muss
    > > ich dir leider mitteilen das sich das Universum nicht um dich dreht und
    > man
    > > nicht aus allem einen persönlichen Vorteil ziehen kann.
    >
    > Warum hast du dir das nicht einfach gespart?

    Weil du gefragt hast "Was hab ICH davon ?" und von dieser egozentrischen Sichtweise hab ich inzwischen die Nase gestrichen voll.

    Wieso kann nicht einfach mal das Wohl der Gemeinschaft oder das eines anderen über das eigene gestellt werden ? Oder warum kann es nicht einfach etwas geben das weder Vorteil noch Nachteil hat sondern einfach nur gegeben ist ?

    Als neulich die Meldung kam das Spotify in Zukunft auch gedrosselt wird mit Verweis auf die Netzneutralität gab es haufenweise Leute die gegen die Netzneutralität waren weil sie persönlich einen Nachteil für sich sehen. Nur ist das eine sehr kurzsichtige Sicht. Für die Gesellschaft, die Wirtschaft und auf lange Sicht auch einen selbst ist Netzneutralität etwas Positives.
    Darum nervt es mich wenn Leute fragen was XY für sie für einen Vorteil hat.



    1 mal bearbeitet, zuletzt am 07.08.16 22:30 durch RipClaw.

  16. Re: Warum

    Autor: Xiut 08.08.16 - 00:20

    negecy schrieb:
    --------------------------------------------------------------------------------
    > Man kann insbesondere so einfacher Let's Encrypt das Vertrauen entziehen
    > und blocken, wenn man diesem stümperhaften Laden nicht vertrauen möchte.
    > Schade und schwach von Mozilla, trotz klarer Auffälligkeiten und nicht
    > regelkonformen Verhalten der Laden aufgenommen wurde.

    Hast du dafür auch Beispiele und ordentliche Quellen, die das belegen?
    Und komm jetzt bitte nicht mit der Newsletter Aktion oder so...

    Wie es aussieht, scheinst du aber 0 Ahnung zu haben, aber trotzdem große Töne zu spucken, als würdest du mit als einziger "den Laden durchschauen"...
    CAs sehr strenge Regeln, die sie einhalten müssen und die auch getestet werden. Würde Lets Encrypt auch nur eine Sache nicht korrekt machen, würde sie sofort wieder aus dem CA Forum fliegen und ihnen würde das Vertrauen entzogen werden (was auch jetzt schon möglich ist).

    Es gibt nicht einen Fall, wo die auch nur ansatzweise irgendwas nicht regelkonform gemacht haben... Oder wo sind die Quellen dazu? Oder bist du da der einzige, der da von weiß, weswegen davon noch nicht berichtet wurde? Bezweifel ich extrem, aber bilde dir das ruhig ein :D

    Da gibt es viele andere CAs, die NACHWEISLICH richtig große Scheiße gebaut haben und von denen ein sehr sehr großer Teil aller Zertifikate stammen. Die müsstest du dann auch alle entfernen und machst damit (für dich persönlich) das ganze CA-System sinnlos. Und das unnötiger Weise..

  17. Re: Warum

    Autor: mnementh 08.08.16 - 15:18

    RipClaw schrieb:
    --------------------------------------------------------------------------------
    > Als neulich die Meldung kam das Spotify in Zukunft auch gedrosselt wird mit
    > Verweis auf die Netzneutralität gab es haufenweise Leute die gegen die
    > Netzneutralität waren weil sie persönlich einen Nachteil für sich sehen.
    Ist Spotify zu drosseln nicht das Gegenteil von Netzneutralität? Mir fehlt da der Zusammenhang.

  18. Re: Warum

    Autor: RipClaw 08.08.16 - 17:35

    mnementh schrieb:
    --------------------------------------------------------------------------------
    > RipClaw schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Als neulich die Meldung kam das Spotify in Zukunft auch gedrosselt wird
    > mit
    > > Verweis auf die Netzneutralität gab es haufenweise Leute die gegen die
    > > Netzneutralität waren weil sie persönlich einen Nachteil für sich sehen.
    > Ist Spotify zu drosseln nicht das Gegenteil von Netzneutralität? Mir fehlt
    > da der Zusammenhang.

    Die Drossel an sich verstößt nicht gegen die Netzneutralität wenn es keine Ausnahmen gibt und die Ausnahme war eben Spotify.

    Um das mal etwas auszuführen. Die Leute haben ihr Volumen aufgebraucht und dann wurde alles gedrosselt aber Spotify blieb außen vor. Hat also eine Sonderbehandlung bekommen.

    Das hatte zwei Konsequenzen. Wenn man ein Spotify Nutzer ist dann hat man einen Telekom Vertrag genommen und wenn man Telekom Kunde ist dann hat man sich für Spotify als Musikstraming Dienst entschieden. Das spiegelt sich auch in den Kommentaren der Telekom / Spotify Nutzer zu dem Thema wieder.

    Es geht bei Netzneutralität vor allem darum das alle Dienste gleich behandelt werden.
    Das kann gleich gut oder aber auch gleich schlecht sein.



    1 mal bearbeitet, zuletzt am 08.08.16 17:36 durch RipClaw.

  19. Re: Warum

    Autor: mnementh 09.08.16 - 10:27

    RipClaw schrieb:
    --------------------------------------------------------------------------------
    > mnementh schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > RipClaw schrieb:
    > >
    > ---------------------------------------------------------------------------
    >
    > > -----
    > > > Als neulich die Meldung kam das Spotify in Zukunft auch gedrosselt
    > wird
    > > mit
    > > > Verweis auf die Netzneutralität gab es haufenweise Leute die gegen die
    > > > Netzneutralität waren weil sie persönlich einen Nachteil für sich
    > sehen.
    > > Ist Spotify zu drosseln nicht das Gegenteil von Netzneutralität? Mir
    > fehlt
    > > da der Zusammenhang.
    >
    > Die Drossel an sich verstößt nicht gegen die Netzneutralität wenn es keine
    > Ausnahmen gibt und die Ausnahme war eben Spotify.
    >
    > Um das mal etwas auszuführen. Die Leute haben ihr Volumen aufgebraucht und
    > dann wurde alles gedrosselt aber Spotify blieb außen vor. Hat also eine
    > Sonderbehandlung bekommen.
    >
    > Das hatte zwei Konsequenzen. Wenn man ein Spotify Nutzer ist dann hat man
    > einen Telekom Vertrag genommen und wenn man Telekom Kunde ist dann hat man
    > sich für Spotify als Musikstraming Dienst entschieden. Das spiegelt sich
    > auch in den Kommentaren der Telekom / Spotify Nutzer zu dem Thema wieder.
    >
    > Es geht bei Netzneutralität vor allem darum das alle Dienste gleich
    > behandelt werden.
    > Das kann gleich gut oder aber auch gleich schlecht sein.
    Ah, so rum. Spotify wurde nicht gedrosselt, sondern ein nicht-neutraler Vorteil beseitigt. Das ist ja was anderes. Danke für die Erklärung, so rum passt die Anwendung von Netzneutralität.

  20. Re: Warum

    Autor: semize 22.08.16 - 00:39

    Bin hier trotz der Vorkommnisse für eine kostenfreie Alternative dankbar.

    https://www.semize.de

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Anzeige
Stellenmarkt
  1. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  2. operational services GmbH & Co. KG, Berlin, Frankfurt, Nürnberg, Zwickau, Dresden
  3. SSI Schäfer Automation GmbH, Giebelstadt bei Würzburg, Dortmund
  4. Pei Tel Communications GmbH & Co. KG, Teltow

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 569€ + 5,99€ Versand
  2. ab 649,90€
  3. (reduzierte Überstände, Restposten & Co.)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Indiegames-Rundschau: Fantastische Fantasy und das Echo der Doppelgänger
Indiegames-Rundschau
Fantastische Fantasy und das Echo der Doppelgänger
  1. Verlag IGN übernimmt Indiegames-Anbieter Humble Bundle
  2. Indiegames-Rundschau Cyberpunk, Knetmännchen und Kampfsportkünstler
  3. Indiegames-Rundschau Fantasysport, Burgbelagerungen und ein amorpher Blob

Xperia Touch im Test: Sonys coolem Android-Projektor fehlt das Killerfeature
Xperia Touch im Test
Sonys coolem Android-Projektor fehlt das Killerfeature
  1. Roboter Sony lässt Aibo als Alexa-Konkurrenten wieder auferstehen
  2. Sony Xperia XZ1 Compact im Test Alternativlos für Freunde kleiner Smartphones
  3. Sony Xperia XZ1 und XZ1 Compact sind erhältlich

Arktika 1 im Test: Monster-verseuchte Eiszeitschönheit
Arktika 1 im Test
Monster-verseuchte Eiszeitschönheit
  1. TPCast Oculus Rift erhält Funkmodul
  2. Oculus Go Alleine lauffähiges VR-Headset für 200 US-Dollar vorgestellt
  3. Virtual Reality Update bindet Steam-Rift in Oculus Home ein

  1. Fraport: Autonomer Bus im dichten Verkehr auf dem Flughafen
    Fraport
    Autonomer Bus im dichten Verkehr auf dem Flughafen

    Die R+V-Versicherung und Fraport testen auf dem Gelände Flughafen Frankfurt einen kleinen autonomen Elektrobus, der nicht etwa auf einem abgesperrten Gelände, sondern auf einer belebten Straße fährt. Dabei handelt es sich allerdings nicht um eine öffentliche Straße.

  2. Mixed Reality: Microsoft verdoppelt Sichtfeld der Hololens
    Mixed Reality
    Microsoft verdoppelt Sichtfeld der Hololens

    Eine der störendsten Einschränkungen der aktuellen Hololens ist das horizontale Sichtfeld von etwa 35 Grad. Ein Patent zeigt, dass Microsoft eine Lösung gefunden hat, es zu verdoppeln.

  3. Nvidia: Shield TV ohne Controller kostet 200 Euro
    Nvidia
    Shield TV ohne Controller kostet 200 Euro

    Bisher verkaufte Nvidia das Shield TV für 230 Euro, mittlerweile gibt es auch eine günstigere Variante. Der fehlt der Gaming-Controller, die Fernbedienung liegt weiter bei. Der Fokus verschiebt sich daher auf Streaming, der neue Google Assistent hilft dabei.


  1. 15:34

  2. 13:05

  3. 11:59

  4. 09:03

  5. 22:38

  6. 18:00

  7. 17:47

  8. 16:54