1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Netzverschlüsselung: Mythen über HTTPS
  6. Th…

Mythos: Zertifikate sind zu teuer

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


  1. Re: Mythos: Zertifikate sind zu teuer

    Autor: der-dicky 16.12.14 - 11:42

    Startssl fragt dich nur nach den daten um sie in des cert reinschreiben zu können, weil sie da rein gehören.
    Wenn du dein cert selbst anlegst fragt dich dein tool danach, dann kannst du den öffentlichen schlüssel an startssl geben und bekommst ihn signiert zurück. Ohne das dich Startssl nach den Daten fragt.

  2. Re: Mythos: Zertifikate sind zu teuer

    Autor: SkynetworX 16.12.14 - 11:43

    Nur bei Level 1 Zertifikaten. Ab Level 2 nicht mehr.

    ...........................................
    "You can logoff, but you can never leave."

  3. Re: Mythos: Zertifikate sind zu teuer

    Autor: slashwalker 16.12.14 - 11:44

    d0p3fish schrieb:
    --------------------------------------------------------------------------------
    > "israelische Firma StartSSL"
    >
    > Ich wollt mir spaßeshalber gerade mal ein Zertifikat besorgen
    > und soll dort meine vollständige Adresse angeben, da hört es eig. sofort
    > auf.
    >
    > Zudem arg mangelhafte Übersetzung und Design :-| ich trau der Sache nicht.


    Du weißt aber schon das deine Daten so oder so im Whois stehen. Außer du nutzt dort auch einen Anonymisierungsdienst.

  4. Re: Mythos: Zertifikate sind zu teuer

    Autor: minecrawlerx 16.12.14 - 12:23

    violator schrieb:
    --------------------------------------------------------------------------------
    > jaykay2342 schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Naja so aufwendig ist es nun auch nicht. Du kannst mit einem Einzeiler
    > > (openssl) Keypaar und CSR erstellen. Dann noch Daten (
    > > name,firma,domainnaim ) für das CSR reintippen. CSR an die CA geben und
    > > schubs hast du dein Zertifikat, es kommt entweder per mail oder direkt
    > im
    > > Webinterface. Dann noch auf dem Server Ablegen und in der Config die
    > Pfade
    > > angeben.
    >
    > Und welcher Betreiber einer kleinen eigenen Website kapiert was du da
    > gerade geschrieben hast? ;)


    Und welchen Betreiber einer kleinen Website, der kein Interesse an Weiterbildung und Google hat, interessiert sich dafür, ob beim Besucher der richtige Inhalt ankommt oder dass Chrome eine Warnmeldung raus haut?

  5. Re: Mythos: Zertifikate sind zu teuer

    Autor: hungkubwa 16.12.14 - 13:11

    Man könnte auch mal diese nervige "Mega-Todes-Alarm" Meldung aus den Browsern entfernen die bei selbst signierten Zertifikaten erscheint.
    Die Besucher denken ständig man will ihnen was böses wenn man ein selbst signiertes Zertifikat ausliefert.

  6. Re: Mythos: Zertifikate sind zu teuer

    Autor: cware 16.12.14 - 13:17

    Wieso sollte man die da raus nehmen? Das ist ja gerade Sinn und Zweck der Sache, die Leute darauf hinzuweisen, dass gerade etwas kaputt ist. Ansonsten kann dir jede WLAN-Betreiber seinen eigenen Schrott unterschieben.

  7. Re: Mythos: Zertifikate sind zu teuer

    Autor: jaykay2342 16.12.14 - 13:24

    Eine "kleinere" Warnung wäre aber auch ok. Die sagt dass die "Identität" des Zertifikates nicht überprüfbar ist weil es selbst signiert ist. Und die Mega Warnung kann dann kommen wenn sich das Zertifikat plötzlich ändert.

  8. Re: Mythos: Zertifikate sind zu teuer

    Autor: cware 16.12.14 - 13:29

    Diese Megawarnung verhindert, dass die Seiteninhalte überhaupt geladen werden. Eine Drive-By-Infection fängst dir auch bei einer "kleinen Warnung" ein. Genau solche Szenarien sollen verhindert werden.

  9. Re: Mythos: Zertifikate sind zu teuer

    Autor: Markus_T_witter 16.12.14 - 13:50

    https://www.gogetssl.com/domain-validation/comodo-positive-ssl/

    Bei 5 Jahren ein Zertifikat für 2,69 Euro pro Jahr.
    So teuer sind die Zertifikate also nicht.

  10. Re: Mythos: Zertifikate sind zu teuer

    Autor: jaykay2342 16.12.14 - 16:28

    In sofern vorher kein CA signiertes Zertifikat für die Domain "gesehen" wurde ist ein selbst signiertes aber kein richtiger Hinweise für einen Angriff. Für drive-by-malware muss ich kein Zertifikat fälschen. Wenn ich deinen Traffic manipulieren kann ich meine drive-by-malware in jede deiner HTTP Verbindungen injecten. Und vom HTTPS only web sind wie sicher einige Jahre entfernt. Wenn man nicht gerade einen gezielten Angriff macht übernimmt man besser auch einfach einen Server von einem Werbenetzwerk dann hat man schön viele Ziele. Man-in-the-Middle ist da einfach nicht effektiv.

  11. Re: Mythos: Zertifikate sind zu teuer

    Autor: cware 16.12.14 - 16:34

    Es wird aber als solches gewertet, da der aktuelle Stand des WWW nun mal vorsieht, dass man das Zertifikat einer vertrauenswürdigen CA nutzt. Wenn wir irgendwann bei DANE ankommen und CAs nicht mehr zwingend benötigen, sieht das vielleicht wieder anders aus.

    Und zu dem anderen Einwand, verweise ich mal hierrauf:
    https://forum.golem.de/kommentare/security/netzverschluesselung-mythen-ueber-https/hilft-aber-auch-nichts.../88693,3992598,3992598,read.html#msg-3992598

  12. Re: Mythos: Zertifikate sind zu teuer

    Autor: jaykay2342 17.12.14 - 14:46

    cware schrieb:
    --------------------------------------------------------------------------------
    > Es wird aber als solches gewertet, da der aktuelle Stand des WWW nun mal
    > vorsieht, dass man das Zertifikat einer vertrauenswürdigen CA nutzt. Wenn
    > wir irgendwann bei DANE ankommen und CAs nicht mehr zwingend benötigen,
    > sieht das vielleicht wieder anders aus.
    >
    Dafür haben die CA gesorgt da sich das so "etabliert" hat. Es wäre aber auch Ok es anderes zu machen. Mit DANE wird es noch was dauern. Als ich DNSSEC auf einigen meiner Domains mal implementieren wollte hat mir mein Registrar ( einer der größten in DE ) gesagt die glauben noch nicht daran dass sich DNSSEC durchsetzt es gäbe ja kaum Leute die es verwenden. Die haben das Henne-ei Problem was sie erzeugen nicht verstanden. Werden wohl die Domains dort wegziehen.

    > Und zu dem anderen Einwand, verweise ich mal hierrauf:
    Ich stimme dir zu Angriffsvektoren verringern ist immer gut. Aber das drive-by malware Problem ist mit mehr https nicht gelöst, weil es in den seltensten Fällen ein Angriff via MITM ist. Heißt aber nicht dass ich nicht auch für mehr https bin.

  13. Re: Mythos: Zertifikate sind zu teuer

    Autor: 1ras 19.12.14 - 03:51

    Wie kostenlos die StartSSL-Zertifikate wirklich sind, hat ja das Heartbleed-Disaster erst kürzlich gezeigt.

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Anwendungsbetreuer ITWO SITE (m/w/d)
    Wesemann GmbH, Syke
  2. (Junior) System Engineer (m/w/d) Information Security
    Controlware GmbH, Meerbusch
  3. Mitarbeiter für Konzeption und Qualitätssicherung (m/w/d Abteilung Warenwirtschaft
    ADG Apotheken-Dienstleistungsgesellschaft mbH, Mannheim
  4. Mitarbeiter für Konzeption und Qualitätssicherung (m/w/d)
    ADG Apotheken-Dienstleistungsgesellschaft mbH, Ludwigsburg, Fürth

Detailsuche


Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 13,49
  2. Über 3400 Angebote mit bis zu 90 Prozent Rabatt


Haben wir etwas übersehen?

E-Mail an news@golem.de