Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Let's Encrypt: Immer mehr Phishing…

Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: divStar 28.03.17 - 17:17

    Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate links und rechts verteilt und so Phishingseiten "vertrauenswürdiger" erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man irgendeinen Blödsinn mit der eigenen Domain treibt).

  2. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: c3rl 28.03.17 - 17:21

    Es ist nicht das Problem einer CA, wenn jemand in den Besitz einer echt anmutenden Domain gelangt, sondern das des Domain-Registrars. Lets Encrypt hier schuldig zu sprechen wäre so wie Kinderpornographie mit Stoppschildern zu bekämpfen: man verschließt seine Augen vor dem eigentlichen Problem um sagen zu können, man hätte was dagegen getan.

  3. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: youcantstartvim 28.03.17 - 17:22

    Für die Domain paypal-blablabla.de kriegst du bei fast jedem Anbieter ein Zertifikat. Die prüfen eine abgelegte Textdatei und gut. Das Zertifikat bescheinigt dir dabei nicht die Echtheit der Organisation, sondern dass der Inhalt wirklich von Server kommt, der zum Zeitpunkt der Prüfung die Domain hatte.

    "Richtige" Prüfungen der Organisation Kosten weit mehr, sind aber bei einfachen bis mittelständischen Projekten leider die Ausnahme.

  4. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Riff Raff 28.03.17 - 17:28

    Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn Du bei einem Onlineshop etwas kaufst und der Shop haut Dich übers Ohr, gehst Du dann an den Aussteller des Zertifikats und möchtest Dein Geld zurück?
    Ein SSL-Zertifikat hat einzig und allein die Aufgabe die Komunikation zwischen zwei Punkten zu verschlüsseln und dabei wird ebenfalls sichergestellt dass das genutzte Zertifikat wirklich zur gewünschten Gegenstelle gehört - nicht mehr und nicht weniger.
    Übrigens überprüft keine CA die Inhalte der Webservices für die das Zertifikat ausgestellt wird, wieso Let's Encrypt als einziger hier in der Pflicht gesehen wird verstehe ich nicht.

  5. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: maverick1977 28.03.17 - 17:33

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > wieso Let's Encrypt als einziger hier in der
    > Pflicht gesehen wird verstehe ich nicht.

    Frage ich mich auch gerade.

  6. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: slashwalker 28.03.17 - 17:52

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn
    > vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn
    > SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und
    > der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man
    > irgendeinen Blödsinn mit der eigenen Domain treibt).

    Die "großen" prüfen auch nicht mehr. Du bekommst eine Mail an hostmaster@ oder webmaster@ mit einem Bestätigungslink. That's it.

    Und die Kosten sind keine wirkliche Hürde. Ich bekomme ein Comodo 3 Jahres Zertifikat für unter 30¤.

  7. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Hotohori 28.03.17 - 18:00

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür
    > gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn
    > Du bei einem Onlineshop etwas kaufst und der Shop haut Dich übers Ohr,
    > gehst Du dann an den Aussteller des Zertifikats und möchtest Dein Geld
    > zurück?
    > Ein SSL-Zertifikat hat einzig und allein die Aufgabe die Komunikation
    > zwischen zwei Punkten zu verschlüsseln und dabei wird ebenfalls
    > sichergestellt dass das genutzte Zertifikat wirklich zur gewünschten
    > Gegenstelle gehört - nicht mehr und nicht weniger.
    > Übrigens überprüft keine CA die Inhalte der Webservices für die das
    > Zertifikat ausgestellt wird, wieso Let's Encrypt als einziger hier in der
    > Pflicht gesehen wird verstehe ich nicht.

    +1

    Von daher ist die Forderung da in der News purer Schwachsinn und Let's Encrypt hat mit seinem Statement dazu absolut recht.

    SSL ist nicht dazu da damit Internet Nutzer ihr Gehirn abschalten können.

  8. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: Thiesi 28.03.17 - 20:18

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn

    LOL - also würde Mozilla ihre "eigene" CA auslisten?



    1 mal bearbeitet, zuletzt am 28.03.17 20:19 durch Thiesi.

  9. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: RichardEb 28.03.17 - 21:52

    divStar schrieb:
    --------------------------------------------------------------------------------
    > Ich meine.. wenn diese Zertifizierungsstelle Schmu ist und SSL-Zertifikate
    > links und rechts verteilt und so Phishingseiten "vertrauenswürdiger"
    > erscheinen lässt, dann sollte man die einfach auslisten und fertig. Denn
    > vertrauenswürdig ist so etwas nicht. Nebenbei bemerkt finde ich es gut wenn
    > SSL-Zertifikate etwas kosten, denn dann ist die initiale Hürde größer und
    > der Verlust tut monetär etwas mehr weh (was eben der Fall ist wenn man
    > irgendeinen Blödsinn mit der eigenen Domain treibt).

    Geh mit gutem Beispiel voran und entferne die betreffenden CAs aus deinem Rechner. Hier eine vollständige Liste: https://www.tractis.com/help/?p=3670

    Sämtliche CAs prüfen Domain Validation Certificates auf diese Weise. Das ist in den entsprechenden CA-Regeln auch so festgelegt.

  10. Re: Dann werden Zertifikate der Zertifizierungsstelle einfach als unsicher markiert...

    Autor: uschatko 29.03.17 - 00:01

    Riff Raff schrieb:
    --------------------------------------------------------------------------------
    > Genau da ist der Denkfehler. Ein SSL Zertifikat ist und war nie dafür
    > gedacht eine Website per se als sicher oder unsicher zu deklarieren. Wenn

    Das sag den Browserherstellern, dem Normalbenutzer wurde eingehämmert siehst Du ein grünes Schloss ist alles gut. Das dem nicht so ist wissen Oma und Opa nicht. Die vertrauen dem grünen Symbol und das war es, vielleicht sollte man nicht immer von den 30 jährigen Digital-Natives ausgehen sondern auch mal an seine Nachbarn und Verwandten denken?

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Anzeige
Stellenmarkt
  1. Schaeffler AG, Herzogenaurach
  2. Robert Bosch Packaging Technology GmbH, Crailsheim
  3. Bechtle Onsite Services GmbH, Augsburg
  4. Robert Bosch GmbH, Gerlingen

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Blu-ray-Angebote
  1. 27,99€ (Vorbesteller-Preisgarantie)
  2. 299,99€ (Vorbesteller-Preisgarantie)
  3. 1 Monat für 1€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Xperia Touch im Test: Sonys coolem Android-Projektor fehlt das Killerfeature
Xperia Touch im Test
Sonys coolem Android-Projektor fehlt das Killerfeature
  1. Roboter Sony lässt Aibo als Alexa-Konkurrenten wieder auferstehen
  2. Sony Xperia XZ1 Compact im Test Alternativlos für Freunde kleiner Smartphones
  3. Sony Xperia XZ1 und XZ1 Compact sind erhältlich

Arktika 1 im Test: Monster-verseuchte Eiszeitschönheit
Arktika 1 im Test
Monster-verseuchte Eiszeitschönheit
  1. TPCast Oculus Rift erhält Funkmodul
  2. Oculus Go Alleine lauffähiges VR-Headset für 200 US-Dollar vorgestellt
  3. Virtual Reality Update bindet Steam-Rift in Oculus Home ein

ZFS ausprobiert: Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
ZFS ausprobiert
Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
  1. Librem 5 Purism zeigt Funktionsprototyp für freies Linux-Smartphone
  2. Pipewire Fedora bekommt neues Multimedia-Framework
  3. Linux-Desktops Gnome 3.26 räumt die Systemeinstellungen auf

  1. U-Bahn: Telefónica baut BTS-Hotels im Berliner Untergrund
    U-Bahn
    Telefónica baut BTS-Hotels im Berliner Untergrund

    Die Einzelheiten über den längst fälligen Mobilfunk-Ausbau in der Berliner U-Bahn werden erst langsam öffentlich. Dank moderner Technik brauchen die Betreiber weniger Betriebsräume.

  2. Kabelnetz: Statt auf Docsis 3.1 lieber gleich auf Glasfaser setzen
    Kabelnetz
    Statt auf Docsis 3.1 lieber gleich auf Glasfaser setzen

    Besonders kleinere Kabelnetzbetreiber sollten statt Docsis 3.1 das Koaxialkabel direkt durch Glasfaser ersetzen. Das alte Koaxkabel bleibe sonst immer ein Flaschenhals.

  3. Virtuelle Güter: Activision patentiert Förderung von Mikrotransaktionen
    Virtuelle Güter
    Activision patentiert Förderung von Mikrotransaktionen

    Der Umsatz mit Mikrotransaktionen lässt sich durch einfache Tricks noch steigern - und Activision hat dafür nun ein Patent. Bislang kommt das System aber nach Angaben der Firma noch nicht zum Einsatz.


  1. 19:09

  2. 17:40

  3. 17:02

  4. 16:35

  5. 15:53

  6. 15:00

  7. 14:31

  8. 14:16