1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Netzverschlüsselung: Mythen über HTTPS

Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

Am 17. Juli erscheint Ghost of Tsushima; Assassin's Creed Valhalla und Watch Dogs Legions konnten wir auch gerade länger anspielen - Anlass genug, um über Actionspiele, neue Games und die Next-Gen-Konsolen zu sprechen! Unser Chef-Abenteurer Peter Steinlechner stellt sich einer neuen Challenge: euren Fragen.
Er wird sie am 16. Juli von 14 Uhr bis 16 Uhr beantworten.
  1. Thema

Neues Thema Ansicht wechseln


  1. Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: hjp 16.12.14 - 21:47

    Sicher, dass das kein Missverständnis ist?

    Es gibt ein HTML-Form-Element[1], das ein Keypaar samt zugehörigem CSR erstellt und den CSR in das Formular einträgt. Das wird natürlich von einigen CAs (darunter auch StartSSL) auf ihren Websites verwendet. Der Private Key verlässt dabei aber den Browser nicht, es ist nur für den Benutzer nicht klar ersichtlich, was passiert (umgekehrt ist mir aber kein Weg bekannt, wie ein am Server erzeugter Private Key in den Browser kommen könnte, ohne dass den der Benutzer selbst importiert).

    [1] https://developer.mozilla.org/en-US/docs/Web/HTML/Element/keygen

  2. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: Bizzi 18.12.14 - 07:41

    Ausserdem soll der Schlüssel nur diejenigen bekannt sein, die es wirklich haben müssen.
    Das erstellen eines privaten keys über eine CA ist genau so unsicher wie als wenn man http laufen hat.

    Wozu gibt es CSR's? Damit man den key beim "anbieter" generieren lassen kann?

  3. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: davidh2k 18.12.14 - 08:25

    Siehe auch https://forum.golem.de/kommentare/security/netzverschluesselung-mythen-ueber-https/zertifikate-kaufen-zertifikate-signieren-ersteres-ist-unsicher/88693,3992212,3992212,read.html#msg-3992212

    Bzw.: http://m.heise.de/ct/ausgabe/2014-12-Wie-CAs-das-Vertrauen-in-die-SSL-Technik-weiter-untergraben-2189639.html?from-classic=1

  4. Re: Zertifizierungsstelle erstellt den privaten Schlüssel für ein HTTPS-Zertifikat

    Autor: hjp 22.12.14 - 10:11

    Bizzi schrieb:
    --------------------------------------------------------------------------------
    > Ausserdem soll der Schlüssel nur diejenigen bekannt sein, die es wirklich
    > haben müssen.
    > Das erstellen eines privaten keys über eine CA ist genau so unsicher wie
    > als wenn man http laufen hat.

    Der Schlüssel wird bei dem von mir beschriebenen Verfahren eben nicht von der CA erstellt, sondern vom Browser des Benutzers. Der private Key verlässt nie den Rechner des Benutzers. Die CA bekommt nur den CSR.

    >
    > Wozu gibt es CSR's? Damit man den key beim "anbieter" generieren lassen
    > kann?

    Wird er ja nicht. Jedenfalls war das bei StartSSL nicht der Fall, als ich mir das vor ein paar Jahren angeschaut habe. Ich glaube, dass der Vorwurf, StartSSL würde den Key generieren, daher kommt, dass die Leute nicht zwischen Browser und Server unterscheiden können (was ihnen StartSSL zugegebenermaßen nicht leicht macht).

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Bundesnachrichtendienst, Berlin
  2. Pforzheimer Zeitung, Pforzheim
  3. AKDB, Villingen-Schwenningen, Regensburg
  4. Berliner Beauftragte für Datenschutz und Informationsfreiheit, Berlin

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. (u. a. Assassin's Creed Odyssey für 17,99€, Assassin's Creed Origins für 11€, Far Cry: New...
  2. 13,49€


Haben wir etwas übersehen?

E-Mail an news@golem.de