1. Foren
  2. Kommentare
  3. Security-Forum
  4. Alle Kommentare zum Artikel
  5. › Datenschutz: Innenministerium…

Auch SSL stellt viel zu hohe Hürden!

Neue Foren im Freiraum! Raumfahrt und freie Software haben jetzt einen Platz, die Games tummeln sich jetzt alle in einem Forum.
  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


  1. Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:11

    Man muss sich mal vorstellen, auch da muss extra Verschlüsselungssoftware installiert werden, es müssen Schlüssel verwaltet werden, ....
    Und: DIE URL WIRD EIN "s" LÄNGER!!!!!

  2. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Lemo 23.06.14 - 15:12

    Klausens schrieb:
    --------------------------------------------------------------------------------
    > Man muss sich mal vorstellen, auch da muss extra Verschlüsselungssoftware
    > installiert werden, es müssen Schlüssel verwaltet werden, ....
    > Und: DIE URL WIRD EIN "s" LÄNGER!!!!!

    das Protokoll gibt doch schon seit 1813 keiner mehr ein. (Glaub mir, ich war dabei).

  3. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: tingelchen 23.06.14 - 15:23

    SSL bei URL's ist aber keine End-to-End Verschlüsselung, sondern eine Verschlüsselung des Transport Weges. Diese zu verschlüsseln ist nicht das Problem und wird von den meisten eMail Providern genutzt und angeboten.

  4. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:26

    Und welchen Unterschied siehst du zwischen Ende-Ende und Transportweg?

  5. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: ikhaya 23.06.14 - 15:30

    beim Abruf einer Webseite ist das ja dasselbe, bei E-Mails ist das Ende definiert als Sender/Empfänger und Transportweg heisst am Server liegt die Mail als Klartext vor und könnte gelesen werden.

  6. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: nobs 23.06.14 - 15:33

    Wenn die Email über mehrere SMTP-Server geht, wird immer nur die Netzwerk-Übertragung zwischen den Servern gesichert. Zwischendurch auf den einzelnen Servern liegt die Email immer im Klartext vor. Damit sind also nur die Routing-Hops zwischen den SMTP-Servern gegen Mitlesen gesichert.

    Nur wenn der Absender schon in seinem Client einen Schlüssel des Empfängers benutzt ist die Email auf dem Transportweg nirgends lesbar.

  7. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:34

    Das Ende ist bei einer E-Mail halt ein anderes als einem Webseitenaufruf, ja.
    Das wars aber auch schon an Unterschieden.

  8. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: tingelchen 23.06.14 - 15:34

    Der Unterschied ist, das die Daten selbst nicht verschlüsselt sind. D.h. jeder Dienst der zwischen Sender und Empfänger steht sieht die gesendeten Daten in Klartext. Bei End-to-End sind die Daten selbst verschlüsselt.

    Ein erheblicher Unterschied.

    Im Falle von eMail, heißt dies das deine Mail im Klartext verschickt wird. Dein Client baut einen verschlüsselten Transportweg (SMTPS: STARTTLS/SSL) zu deinem Mail Server auf. Der Mail Server empfängt die Klartext Mail und baut eine SMTPS (In der Regel TLS) Verbindung zum Ziel Mail Server auf. Auch hier sieht der Ziel Server die Mail im Klartext. Dann wird die Mail beim Ziel Mail Server im Klartext auf eben diesen gespeichert. Solange bis entweder der Empfänger mit POP3 die Mail abruft oder er sie bei IMAP komplett löscht.

    Bei eMail ist Klartext im übrigen wörtlich zu nehmen. Da die Mail mit einem eng befassten ASCII-Zeichensatz verschickt und gespeichert wird und die Mail mit einem simplen Texteditor wie jede Konsole es hin bekommt, gelesen werden kann.



    1 mal bearbeitet, zuletzt am 23.06.14 15:36 durch tingelchen.

  9. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:39

    Das ist der Unterschied zwischen Ende-Ende-Verschlüsselung und diesem DE-Mail-Sums.
    Eine Transportverschlüsselung kann aber durchaus auch Ende-Ende sein.

    Bei einem Webproxy liegen die Daten bei SSL ja auch nicht unverschlüsselt rum.



    1 mal bearbeitet, zuletzt am 23.06.14 15:40 durch Klausens.

  10. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Mr.Coolschrank 23.06.14 - 15:40

    transportverschlüsselung = verschlüsselung zwischen punkt a und dem nächsten punkt (b z.b. der mail-server, danach KANN es dann wieder verschlüsselt werden, kann aber auch unverschlüsselt weiter übertragen werden)
    end-to-end= verschlüsselung bei punkt a, das nur an punkt z entschlüsselt werden kann (die punkte dazwischen können die daten nicht entschlüsseln - sollen und müssen die aber auch gar nicht).

  11. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: nobs 23.06.14 - 15:47

    Das mit dem Proxy ist ein gutes Argument. Warum SSL nicht end2end sein soll, ist mir auch nicht ganz klar. Wenn der HTTP-Server das eine Ende ist und der Web-Browser das andere, dann ist es eben sehr wohl "end2end".

    Es ist lediglich ein kleiner formaler Unterschied, dass das SSL vom Protokoll-Stack her über das vorhandene HTTP "drüber gestülpt" wurde und ursprünglich kein integraler Bestandteil war. Das macht aber für die effektive Sicherung in der Praxis keinen Unterschied.

  12. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: robinx999 23.06.14 - 15:48

    Technisch sehe ich da schon mehr Probleme.
    Bei SSL Verschlüsselung braucht nur der Server ein Zertifikat. Das der Client dann überprüft.
    Bei einer End zu Entvrerschlüsselung braucht es im Prinzip jeder Clinent. Email verschlüsselung mit Zertifikaten ist zwar Grundsätlich machbar aber dann ist halt die Frage woher kommen die Zertifikate (normalerweise kostet so etwas Geld und Selbstgenerierte Zertifikate müssen umständlich händisch Importiert werden und das Vertrauen muss dann ausgesprochen werden)
    Klar man kann auch pgp / gpg nehmen doch muss man dann auch wieder den Keyservern trauen das die Öffentlichen Schlüssel wirklich die Richtigen sind und da nicht Manipuliert wird (Stichwort man-in-the-middle angriff) oder man Tauscht die Schlüssel Persönlich aus.

    Außerdem kommt noch hinzu wie verwaltet man den Privaten Schlüssel. Macht das der Benutzer? Wie klappt das bei Anbietern mit Web Oberfläche wie bringt der Nutzer den Privaten Schlüssel auf alle Geräte.

  13. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:52

    Ich seh da auch noch einige Probleme, die noch gelöst werden müssen.
    Aber erstens seh ich die nicht wirklich für den Endanwender, wie im Artikel zitiert, sondern für die Anbieter und zweitens wird eh ein neues System aufgebaut, da machts DER Zusatzaufwand auch nicht mehr aus.

  14. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: tingelchen 23.06.14 - 15:53

    Web Proxies simulieren nicht selten den Ziel Server und machen eine hübsche Men-in-the-Middle-Attack oder ignorieren die HTTPS Anfrage, weil sie eben sinnlos ist diese zwischen zu speichern. Dazu zählen z.B. das Abschicken von Formularinformationen.

    Und nein. End-to-End ist niemals gleich mit Transportweg. Auch wenn es unter ganz bestimmten Voraussetzungen so aussehen mag. Dies ist immer dann der Fall, wenn die beiden Enden des Transportweges zeitgleich auch den Sender und Empfänger definieren.

    Der Unterschied ist hier jedoch dann immer noch gegeben. Da die Daten selbst, auch dann nicht, verschlüsselt sind. Sondern vom Eingang des Transportweges verschlüsselt werden und am Ende des Transportweges wieder entschlüsselt werden.

    Spontan fällt mir ein solcher Fall lediglich nur die PtP Netze ein. Weil es dort in der Regel keinen Service gibt, der dazwischen steht.

  15. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: robinx999 23.06.14 - 15:56

    Wenn der Schlüssel nicht beim Endanwender generiert und gelagert wird dann hat man schnell die Probleme die man jetzt hat und der Mailanbieter könnte es jederzeit mitlesen und wenn sich der Endanwender um die Schlüssel kümmern soll dann wird es kompliziert egal wie man es macht, entweder nicht sicher oder man macht es kompliziert.

  16. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 15:56

    Das hat nur alles nichts mehr mit dem Thema zu tun, dass SSL genauso Ende-Ende-Verschlüsselung ist und dabei keinerlei Hürden für den Anwender anfallen.

  17. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Himmerlarschundzwirn 23.06.14 - 15:59

    Bei SSL kannst du aber den Server fragen, ob mit dem Zertifikat alles iO ist, etc.

    Bei E-Mails geht das nicht, da du ja im Moment des Empfangs den Absender fragen müsstest.

    Das Prinzip von SSL lässt sich einfach nicht 1:1 auf die E2E-Verschlüsselung bei E-Mails anwenden.

  18. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: tingelchen 23.06.14 - 16:02

    Und was ist mit den Daten die der Web Server sieht? Bekommt er sie im Klartext, oder verschlüsselt? HTTPS ist eine Absicherung des Transportweges. Nicht mehr und nicht weniger.

    Deine Daten, welche du z.B. mit einem Formular eingibst, sind selbst nicht verschlüsselt und sind vom Web Dienst im Klartext lesbar. Was in vielen Fällen auch ausreichend ist. Z.B. Bei einem Forum. Da müssen ja alle den Text lesen können. Oder beim bestellen in einem Online Shop. Eine Anfrage in einem Kontaktformular. Gibt noch andere Beispiele wo End-to-End nicht sinnvoll ist, sondern nur die Sicherung des Transportweges.

    Wenn man jedoch einer Person eine Nachricht hinterlassen will, die nur er lesen soll, dann bringt es mir herzlich wenig wenn die Nachricht mittels HTTPS abgeschickt wurde, aber auf dem Server diese noch immer im Klartext vorliegt. Und das tut sie. Ganz egal ob die Nachricht am Ende verschlüsselt in einer Datenbank landet oder nicht. Bei End-to-End wird die Nachricht vor HTTPS verschlüsselt und landet daher auch nur verschlüsselt beim Web Server.

    Nur weil sich etwas, in speziellen Situationen, ähnlich erscheinen mag, ist es noch lange nicht das gleiche.

  19. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: tingelchen 23.06.14 - 16:04

    Ich gebs uff.... dann ist eben End-to-End für dich das gleiche wie Sicherung des Transportweges. Leb damit und sei Glücklich.

  20. Re: Auch SSL stellt viel zu hohe Hürden!

    Autor: Klausens 23.06.14 - 16:05

    Achneee, sind die Daten also vom Empfänger (Webserver) lesbar.
    Das ist ja praktisch.

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Sie müssen ausserdem in Ihrem Account-Profil unter Forum einen Nutzernamen vergeben haben. Zum Login

Stellenmarkt
  1. Agile Coach (m/w/d)
    Haufe Group, Freiburg im Breisgau
  2. Digital Consultant (m/w/d)
    ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn
  3. Fachinformatiker / Systemadministrator (m/w/d)
    Detlef Hegemann Verwaltungs- und Beteiligungs GmbH, Bremen
  4. Product Owner Microsoft Dynamics NAV (m/f/d)
    Autodoc AG, Berlin, Moldawien, Ukraine, Polen, Tschechische Republik (Home-Office)

Detailsuche


Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. 888€ (Bestpreis)
  2. 777€ (Bestpreis)
  3. (u. a. Game of Thrones - Die komplette Serie Blu-ray für 79,97€)
  4. (u. a. Monitore und PC-Komponenten nach Marken sortiert und zu drastisch reduzierten Preisen)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Ohne Google, Android oder Amazon: Der Open-Source-Großangriff
Ohne Google, Android oder Amazon
Der Open-Source-Großangriff

Smarte Geräte sollen auch ohne die Cloud von Google oder Amazon funktionieren. Huawei hat mit Oniro dafür ein ausgefeiltes Open-Source-Projekt gestartet.
Ein Bericht von Sebastian Grüner

  1. Internet der Dinge Asistenten wie Alexa und Siri droht EU-Regulierung

Kult-Anime startet bei Netflix: Realversion von Cowboy Bebop ist ein wilder Genre-Mix
Kult-Anime startet bei Netflix
Realversion von Cowboy Bebop ist ein wilder Genre-Mix

Die Realverfilmung des mehr als 20 Jahre alten Anime Cowboy Bebop bleibt der Vorlage treu, modernisiert sie jedoch in absolut gelungener Art und Weise.
Eine Rezension von Peter Osteried

  1. Stranger Things und Marvel Netflix kauft deutsches Visual-Effects-Studio
  2. Streaming HBO erwog die Übernahme von Netflix
  3. Mehr Transparenz Netflix veröffentlicht wöchentliche Ranglisten im Netz

Ampelkoalition: Der große klimapolitische Wurf bleibt aus
Ampelkoalition
Der große klimapolitische Wurf bleibt aus

Die Koalitionsvereinbarung der Ampelparteien ist zwar von Klimaschutz geprägt, doch zu viele Maßnahmen bleiben unkonkret.
Eine Analyse von Hanno Böck

  1. Digitaler Führerschein ID Wallet soll in wenigen Wochen wieder verfügbar sein
  2. Digitalpakt Alter Projekt fördert Digitalkompetenz älterer Menschen
  3. Protokollerklärung Bundesregierung könnte Mobilfunkauktionen abschaffen