Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Let's Encrypt: Immer mehr Phishing…

Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

  1. Thema

Neues Thema Ansicht wechseln


  1. Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: divStar 28.03.17 - 17:17

    Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate links und rechts verteilt und so Phishingseiten "vertrauenswürdiger" erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man irgendeinen Blödsinn mit der eigenen Domain treibt).

  2. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: c3rl 28.03.17 - 17:21

    Es ist nicht das Problem einer CA, wenn jemand in den Besitz einer echt anmutenden Domain gelangt, sondern das des Domain-Registrars. Lets Encrypt hier schuldig zu sprechen wäre so wie Kinderpornographie mit Stoppschildern zu bekämpfen: man verschließt seine Augen vor dem eigentlichen Problem um sagen zu können, man hätte was dagegen getan.

  3. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: youcantstartvim 28.03.17 - 17:22

    Für die Domain paypal-blablabla.de kriegst du bei fast jedem Anbieter ein Zertifikat. Die prüfen eine abgelegte Textdatei und gut. Das Zertifikat bescheinigt dir dabei nicht die Echtheit der Organisation, sondern dass der Inhalt wirklich von Server kommt, der zum Zeitpunkt der Prüfung die Domain hatte.

    "Richtige" Prüfungen der Organisation Kosten weit mehr, sind aber bei einfachen bis mittelständischen Projekten leider die Ausnahme.

  4. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Riff Raff 28.03.17 - 17:28

    Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn Du bei einem Onlineshop etwas kaufst und der Shop haut Dich übers Ohr, gehst Du dann an den Aussteller des Zertifikats und möchtest Dein Geld zurück?
    Ein SSL-Zertifikat hat einzig und allein die Aufgabe die Komunikation zwischen zwei Punkten zu verschlüsseln und dabei wird ebenfalls sichergestellt dass das genutzte Zertifikat wirklich zur gewünschten Gegenstelle gehört - nicht mehr und nicht weniger.
    Übrigens überprüft keine CA die Inhalte der Webservices für die das Zertifikat ausgestellt wird, wieso Let's Encrypt als einziger hier in der Pflicht gesehen wird verstehe ich nicht.

  5. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: maverick1977 28.03.17 - 17:33

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > wieso Let's Encrypt als einziger hier in der
    > Pflicht gesehen wird verstehe ich nicht.

    Frage ich mich auch gerade.

  6. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: slashwalker 28.03.17 - 17:52

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn
    > vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn
    > SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und
    > der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man
    > irgendeinen Blödsinn mit der eigenen Domain treibt).

    Die "großen" prüfen auch nicht mehr. Du bekommst eine Mail an hostmaster@ oder webmaster@ mit einem Bestätigungslink. That's it.

    Und die Kosten sind keine wirkliche Hürde. Ich bekomme ein Comodo 3 Jahres Zertifikat für unter 30¤.

  7. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Hotohori 28.03.17 - 18:00

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür
    > gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn
    > Du bei einem Onlineshop etwas kaufst und der Shop haut Dich übers Ohr,
    > gehst Du dann an den Aussteller des Zertifikats und möchtest Dein Geld
    > zurück?
    > Ein SSL-Zertifikat hat einzig und allein die Aufgabe die Komunikation
    > zwischen zwei Punkten zu verschlüsseln und dabei wird ebenfalls
    > sichergestellt dass das genutzte Zertifikat wirklich zur gewünschten
    > Gegenstelle gehört - nicht mehr und nicht weniger.
    > Übrigens überprüft keine CA die Inhalte der Webservices für die das
    > Zertifikat ausgestellt wird, wieso Let's Encrypt als einziger hier in der
    > Pflicht gesehen wird verstehe ich nicht.

    +1

    Von daher ist die Forderung da in der News purer Schwachsinn und Let's Encrypt hat mit seinem Statement dazu absolut recht.

    SSL ist nicht dazu da damit Internet Nutzer ihr Gehirn abschalten können.

  8. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Thiesi 28.03.17 - 20:18

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn

    LOL - also würde Mozilla ihre "eigene" CA auslisten?



    1 mal bearbeitet, zuletzt am 28.03.17 20:19 durch Thiesi.

  9. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: RichardEb 28.03.17 - 21:52

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn
    > vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn
    > SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und
    > der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man
    > irgendeinen Blödsinn mit der eigenen Domain treibt).

    Geh mit gutem Beispiel voran und entferne die betreffenden CAs aus deinem Rechner. Hier eine vollständige Liste: https://www.tractis.com/help/?p=3670

    Sämtliche CAs prüfen Domain Validation Certificates auf diese Weise. Das ist in den entsprechenden CA-Regeln auch so festgelegt.

  10. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: uschatko 29.03.17 - 00:01

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür
    > gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn

    Das sag den Browserherstellern, dem Normalbenutzer wurde eingehämmert siehst Du ein grünes Schloss ist alles gut. Das dem nicht so ist wissen Oma und Opa nicht. Die vertrauen dem grünen Symbol und das war es, vielleicht sollte man nicht immer von den 30 jährigen Digital-Natives ausgehen sondern auch mal an seine Nachbarn und Verwandten denken?

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Handwerkskammer Ostwestfalen-Lippe zu Bielefeld, Bielefeld
  2. Knorr-Bremse Systeme für Nutzfahrzeuge GmbH, Schwieberdingen
  3. Technische Universität Kaiserslautern, Kaiserslautern
  4. Medios Digital GmbH, Berlin

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 106,34€ + Versand
  2. (reduzierte Überstände, Restposten & Co.)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Paperino im Interview: "Am Ende ist es nicht so schwer, wie es aussieht"
Paperino im Interview
"Am Ende ist es nicht so schwer, wie es aussieht"
  1. Kickstarter Soundcam macht Geräusche in Echtzeit sichtbar
  2. Turris Mox Cz.nic plant modularen Router per Crowdfunding
  3. Light Phone 2 Das Mobiltelefon für Abschalter

A Way Out im Test: Knast-Koop mit tiefgründiger Story
A Way Out im Test
Knast-Koop mit tiefgründiger Story
  1. Spielemarkt Download-Anteil bei Games steigt auf 42 Prozent
  2. Mobbing Sponsoren distanzieren sich von Bully Hunters
  3. Analogue Super Nt im Test FPGA-Zeitmaschine mit minimaler Realitätskrümmung

IMSI Privacy: 5G macht IMSI-Catcher wertlos
IMSI Privacy
5G macht IMSI-Catcher wertlos
  1. Mobilfunk Was 5G im Bereich Security bringt
  2. DAB+ Radiosender hoffen auf 5G als Übertragungsweg
  3. Netzbetreiber 5G kommt endlich in die Umsetzungsphase

  1. Jakarta EE: Enterprise-Java soll besser in der Cloud laufen
    Jakarta EE
    Enterprise-Java soll besser in der Cloud laufen

    Das von Oracle an die Eclipse-Foundation übertragene Enterprise-Java soll künftig besser mit Cloud- und Containertechnologie wie Docker und Kubernetes genutzt werden können. Der Code soll außerdem schneller gemeinsam mit der Community weiterentwickelt werden.

  2. Besuch bei Soundcam: Wie sieht Maschinenlärm aus?
    Besuch bei Soundcam
    Wie sieht Maschinenlärm aus?

    Merkwürdige Geräusche in der Montagehalle oder im Auto, die sich nicht orten lassen: Die Akustik kann manchmal trügerisch sein. Ein Unternehmen aus Gütersloh hilft dem Gehör auf die Sprünge: mit einer Kamera, die Geräusche sieht. Wir waren dort.

  3. E-Mail: Google verpasst Gmail neue Funktionen und neues Design
    E-Mail
    Google verpasst Gmail neue Funktionen und neues Design

    Für seinen E-Mail-Dienst Gmail hat Google zahlreiche neue Funktionen eingeführt und das Design modernisiert. Neu sind beispielsweise E-Mails mit Ablaufdatum und zusätzlicher SMS-Authentifizierung, aber auch KI-gestützte Funktionen.


  1. 12:30

  2. 12:10

  3. 11:52

  4. 11:45

  5. 11:30

  6. 11:15

  7. 11:00

  8. 10:45