Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Verschlüsselung: Niemand hat die…

Re: Wofür brauchen die einen statischen Sitzungsschlüssel?

  1. Beitrag
  1. Thema

Re: Wofür brauchen die einen statischen Sitzungsschlüssel?

Autor: crypt0 15.10.17 - 22:42

Das ganze kam mit "den Banken" auf. Banken haben gesetzliche Vorgaben, die besagen, dass sie den Traffic in ihrem Netzwerk überwachen/protokollieren können müssen...
Das Problem ist jetzt wenn die TLS 1.3 innerhalb ihres Netzes einsetzen - die Anwendung X spricht mit dem Datenbank-server Y - dann kann die Bank keine MitM-box dazwischen hängen. (ECDH)
Der work-a-round:
1. Man fixiere den (private) Wert des Servers (ECDH - private parameter)
2. Dieser Wert wird an die middle-box geschickt - die box wird mit diesem Wert konfiguriert.
3. Die box kann nun den TLS 1.3 traffic entschlüsseln.

Würde man den privaten ECDH Wert nicht fixieren könnte man sich die Middle-box sparen und das logging am Server machen - das geht nur aus (wahrscheinlich) techn. orga. und gesetzl. Gründen nicht.
Die Alternative wäre ein reverse proxy. Damit würde man die MitM box quasi explizit in die Netzwerktopologie mit aufnehmen - anstatt wie aktuell implizit einfach dazwischen zu hängen. Das Problem dabei: Architekturänderungen bei der Bank (=Kosten) und zudem kann man nicht mehr behaupten man habe nix gewusst von potenziellen MitM boxen / Angriffen der Geheimdienste. Die Schlaphütte müssten quasi ein Monitoring mit der Bank-IT "absprechen". Das dürfte beiden Seiten gar nicht gefallen...


Neues Thema Ansicht wechseln


Thema
 

Wofür brauchen die einen statischen Sitzungsschlüssel?

me2 | 15.10.17 - 00:29
 

Re: Wofür brauchen die einen statischen Sitzungsschlüssel?

crypt0 | 15.10.17 - 22:42
 

Re: Wofür brauchen die einen statischen...

chefin | 16.10.17 - 08:26
 

Re: Wofür brauchen die einen statischen...

crypt0 | 16.10.17 - 20:51

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Hannoversche Informationstechnologien (hannIT), Hannover
  2. KVV Kassel, Kassel
  3. Techniker Krankenkasse, Hamburg
  4. INSYS TEST SOLUTIONS GmbH, Regensburg

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. 79,00€
  2. 999,00€ + Versand
  3. (u. a. GTA 5 12,49€, GTA Online Cash Card 1,79€)
  4. (aktuell u. a. Dell-Notebook 519€, Dell USB-DVD-Brenner 34,99€)


Haben wir etwas übersehen?

E-Mail an news@golem.de


In eigener Sache: Golem.de bietet Seminar zu TLS an
In eigener Sache
Golem.de bietet Seminar zu TLS an

Der Verschlüsselungsexperte und Golem.de-Redakteur Hanno Böck gibt einen Workshop zum wichtigsten Verschlüsselungsprotokoll im Netz. Am 24. und 25. September klärt er Admins, Pentester und IT-Sicherheitsexperten in Berlin über Funktionsweisen und Gefahren von TLS auf.

  1. In eigener Sache Zweiter Termin für Kubernetes-Seminar
  2. Leserumfrage Wie können wir dich unterstützen?
  3. In eigener Sache Was du schon immer über Kubernetes wissen wolltest

In eigener Sache: Neue Workshops zu agilem Arbeiten und Selbstmanagement
In eigener Sache
Neue Workshops zu agilem Arbeiten und Selbstmanagement

Wir haben in unserer Leserumfrage nach Wünschen für Weiterbildungsangebote gefragt. Hier ist das Ergebnis: Zwei neue Workshops widmen sich der Selbstorganisation und gängigen Fehlern beim agilen Arbeiten - natürlich extra für IT-Profis.

  1. In eigener Sache ITler und Board kommen zusammen
  2. In eigener Sache Herbsttermin für den Kubernetes-Workshop steht
  3. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung

Transport Fever 2 angespielt: Wachstum ist doch nicht alles
Transport Fever 2 angespielt
Wachstum ist doch nicht alles

Wesentlich mehr Umfang, bessere Übersicht dank neuer Benutzerführung und eine Kampagne mit 18 Missionen: Das Schweizer Entwicklerstudio Urban Games hat Golem.de das Aufbauspiel Transport Fever 2 vorgestellt - bei einer Bahnfahrt.
Von Achim Fehrenbach

  1. Mordhau angespielt Die mit dem Schwertknauf zuschlagen
  2. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  3. Bright Memory angespielt Brachialer PC-Shooter aus China

  1. Medizin: Schadsoftware legt über zehn Krankenhäuser lahm
    Medizin
    Schadsoftware legt über zehn Krankenhäuser lahm

    Keine E-Mail, kein Internet, keine Patientendatenbank: Eine Ransomware hat das Netzwerk von etlichen Krankenhäusern und Altenpflegeeinrichtungen im Südwesten Deutschlands befallen. Unklar ist, ob ein Lösegeld gefordert wurde.

  2. Versand: Das Smartphone wird für DHL-Packstationen langsam Pflicht
    Versand
    Das Smartphone wird für DHL-Packstationen langsam Pflicht

    Die mTAN, also die Abholcodes, bekommen DHL-Neukunden für die Packstationen nur noch per App. Altkunden haben noch eine Alternative. Für die Nutzer ist das eine zusätzliche Hürde beim Abholen von Paketen.

  3. SpaceX: Feuerball steigt nach Test des Starhopper-Triebswerks auf
    SpaceX
    Feuerball steigt nach Test des Starhopper-Triebswerks auf

    Kurz nach einem statischen Triebwerkstest des Starhopper kam es zu einem unplanmäßigen Feuer, das aber schnell gelöscht werden konnte. Das Raumschiff des US-Raumfahrtunternehmens SpaceX scheint das Feuer aber weitgehend unbeschädigt überstanden zu haben.


  1. 11:35

  2. 11:20

  3. 11:08

  4. 10:49

  5. 10:35

  6. 10:22

  7. 09:47

  8. 09:20