-
rfc7568 hat Bildzeitungsniveau und fördert Fear, Uncertainty, Doubt (FUD)
Autor: martinr 26.06.15 - 16:27
Es ist traurig dass sich die IETF herablässt ein Dokument mit derart viel irreführenden Informationen und einigen offensichtlichen Lügen zu veröffentlichen.
SSLv3 besitzt immer noch sämtliche für TLSv1.2 garantierten Sicherheitseigenschaften, die in rfc5246 Appendix F beschrieben werden. Probleme gibt es allein mit Nutzungsszenarien _ausserhalb_ dieser Design Limits, also Dummheiten, wie sie etwa Web Browser machen. BEAST und POODLE sind Angriffe auf Web-Browser, für programmatische Server&Clients sind sie irrelevant.
Renegotiation (rfc7568, section 3) ist ein optionales feature, man kann leicht darauf verzichten, und rfc5746 ist _auch_ für SSLv3 spezifiziert, obwohl es TLS extensions verwendet, das scheint dem Autor von rfc7568 völlig entgangen zu sein.
Die schwächste digitale RSA Signatur mit SSLv3->TLSv1.1 verwendet einen 278-bit hash (sha1+md5), die schwächste digitale RSA Signature mit TLSv1.2 is (rsa,md5) (128-bit, das lehnen die meisten noch ab, OpenSSL hat es mal erlaubt), und (rsa,sha1) was praktisch alle zulassen. AUA!
3 mal bearbeitet, zuletzt am 26.06.15 16:45 durch martinr.



