1. Foren
  2. Kommentare
  3. Security-Forum
  4. Alle Kommentare zum Artikel
  5. › Netzverschlüsselung: Mythen…

Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

  1. Thema

Neues Thema


  1. Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: hjp 16.12.14 - 21:47

    Sicher, dass das kein Missverständnis ist?

    Es gibt ein HTML-Form-Element[1], das ein Keypaar samt zugehörigem CSR erstellt und den CSR in das Formular einträgt. Das wird natürlich von einigen CAs (darunter auch StartSSL) auf ihren Websites verwendet. Der Private Key verlässt dabei aber den Browser nicht, es ist nur für den Benutzer nicht klar ersichtlich, was passiert (umgekehrt ist mir aber kein Weg bekannt, wie ein am Server erzeugter Private Key in den Browser kommen könnte, ohne dass den der Benutzer selbst importiert).

    [1] https://developer.mozilla.org/en-US/docs/Web/HTML/Element/keygen

  2. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: Bizzi 18.12.14 - 07:41

    Ausserdem soll der Schlüssel nur diejenigen bekannt sein, die es wirklich haben müssen.
    Das erstellen eines privaten keys über eine CA ist genau so unsicher wie als wenn man http laufen hat.

    Wozu gibt es CSR's? Damit man den key beim "anbieter" generieren lassen kann?

  3. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: davidh2k 18.12.14 - 08:25

    Siehe auch https://forum.golem.de/kommentare/security/netzverschluesselung-mythen-ueber-https/zertifikate-kaufen-zertifikate-signieren-ersteres-ist-unsicher/88693,3992212,3992212,read.html#msg-3992212

    Bzw.: http://m.heise.de/ct/ausgabe/2014-12-Wie-CAs-das-Vertrauen-in-die-SSL-Technik-weiter-untergraben-2189639.html?from-classic=1

  4. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: hjp 22.12.14 - 10:11

    Bizzi schrieb:
    --------------------------------------------------------------------------------
    > Ausserdem soll der Schlüssel nur diejenigen bekannt sein, die es wirklich
    > haben müssen.
    > Das erstellen eines privaten keys über eine CA ist genau so unsicher wie
    > als wenn man http laufen hat.

    Der Schlüssel wird bei dem von mir beschriebenen Verfahren eben nicht von der CA erstellt, sondern vom Browser des Benutzers. Der private Key verlässt nie den Rechner des Benutzers. Die CA bekommt nur den CSR.

    >
    > Wozu gibt es CSR's? Damit man den key beim "anbieter" generieren lassen
    > kann?

    Wird er ja nicht. Jedenfalls war das bei StartSSL nicht der Fall, als ich mir das vor ein paar Jahren angeschaut habe. Ich glaube, dass der Vorwurf, StartSSL würde den Key generieren, daher kommt, dass die Leute nicht zwischen Browser und Server unterscheiden können (was ihnen StartSSL zugegebenermaßen nicht leicht macht).

  1. Thema

Neues Thema


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. (Senior) Solution Architect - Dynamics 365 / Power Platform (*)
    ista SE, Essen
  2. Senior Software und System Testing Engineer (m/w/d)
    Trox GmbH, Neukirchen-Vluyn
  3. Leiter*in des Rechenzentrums
    Hochschule Heilbronn, Heilbronn
  4. IT-Projektmanager:in in der Softwareentwicklung (m/w/d)
    STRABAG BRVZ GMBH, Wien, Spittal/Drau, Villach, Stuttgart

Detailsuche


Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote


Haben wir etwas übersehen?

E-Mail an news@golem.de


Digitale-Dienste-Gesetz: Regierung bessert bei der Störerhaftung nach
Digitale-Dienste-Gesetz
Regierung bessert bei der Störerhaftung nach

Bei der Umsetzung des DSA in deutsches Recht soll der Schutz vor kostenpflichtigen Abmahnungen nun doch beibehalten bleiben.
Ein Bericht von Friedhelm Greis

  1. Störerhaftung Verbraucherschützer befürchten neue Abmahnwelle bei WLANs

Super Mario 64 (1996): Als Mario die dritte Dimension eroberte
Super Mario 64 (1996)
Als Mario die dritte Dimension eroberte

Super Mario 64 ist ein Grund, warum das Nintendo 64 zum Erfolg wurde. Unser Golem retro_ zeigt, wie das Spiel ein ganzes Genre definierte.
Von Oliver Nickel

  1. Mega Man 2 (1988) Mega Man rockt

Teil 2 unseres Tutorials: Objekte und Variablen in Powershell
Teil 2 unseres Tutorials
Objekte und Variablen in Powershell

Powershell-Tutorial
In unserer Powershell-Einführung mit Übungsblöcken und Lösungsvideos beschäftigen wir uns dieses Mal mit Objekten und Variablen.
Eine Anleitung von Holger Voges

  1. Mit praktischen Übungen und Videos Powershell für Einsteiger - Teil 1