HOSTBLOGGER.de

Dito, ist wohl Standard im Chromium.

Das Zertifikat ist doch Okay. Gut, es kommen bestimmt Klagen von Leuten die es nicht verstehen oder verstehen wollen.
Allerdings sind Verweise auf das Stylesheet oder andere eingebettete Sachen per http blöd.
Ebenso blöd sind die Captcha-Bilder ohne Inhalt (liegt wohl an fehlenden Cookies).

Und jetzt noch nen erzwungenen Redirect von http auf https, und tatsächlich auch ALLES mit SSL ausliefern

Diesen Kunden wollen wir gar nicht

Jo.. StartSSL fände ich auch sinnvoll. Heutzutage noch self-signed-Zertifikate zu benutzen.. nunja, da nervt die Warnmeldung einfach nur tierisch.

startssl unterstützt mittlerweile nahezu alle browser.

Ich ziehe selbstsigniertes vor. Habe bei mir alle möglichen kleinen CAs rausgeschmissen (inkl StartSSL) und pinne Webseiten wenn möglich auf ihre Zertifikate.

Würde Manuel StartSSL nutzen, und dann irgend ein böses Land das eine CA besitzt deinen Traffic anzapfen merkst du das auch nicht, wenn dir da plötzlich ein anderes Zertifikat geschickt wird - es wurde ja von einer CA signiert, der dein Browser vertraut.
Wenn ich hingegen mit Browserplugin die Webseite an das eine Zertifikat genagelt hab, merk ich das sofort wenn sich da was ändert.
Weniger komfortabel, keine Frage, aber SSL ist in der jetzigen Form ansonsten quasi Placebo.

> und jetzt denk mal praktisch; wieviele nutzer kennen von jeder ihrer webseiten den ssl fingerprint

Das ist mir so ziemlich sch... egal. Ich klicke beim ersten mal auf speichern, wenn er sich danach ändert, gibts Alarm. Ich gehe mal einfach davon aus, dass meine Leitung zu Hause vertrauenswürdig ist. Wenn ich dann mit meinem Lappi an nem public Hotspot bin, im Iran oder China, bin ich mir nicht mehr so sicher, ob da jemand in der Leitung klemmt. Wenn dann also der Alarm losgeht, weiß ich dass was faul ist.
Wenn du nicht mal bei deiner Leitung zu Hause sicher bist, hast du in beiden Fällen verloren, da so ziemlich alle Regierungen dieser Welt (und vermutlich Leute mit genug Geld) immer an ein gültiges Zertifikat kommen. Oder glaubst du, bei jeder CA auf dieser Welt arbeiten nur unbestechliche Idealisten?


> weil eben keiner ein cert bekommt, ohne nach zu weisen, dass ihnen die seite gehört

HAHAHA. Recherchier mal ein bisschen, das ist schon mehrmals vorgekommen. Sei es durch Verfahrensfehler bei den CAs, oder durch Bugs in den Browsern (z.B. der Nullchar-Bug vor ~2 Jahren)
Auch erinnere ich mich an eine Newsmeldung dass jemand festgestellt hat, dass bei einer CA deren privater Schlüssel ihres Root-Zertifikats in einem ungeschützten Verzeichnis aufm HTTP Server rumlag. Jeder der das vorher gefunden hat, konnte sich beliebige Zertifikate ausstellen.
Dann wie oben schon erwähnt die Bestechlichkeit. Für ne fünfstellige Summe findest du sicher irgend ein Admin bei irgend ner trümmeligen CA, der dir da was drehen kann.


> die übervorsichtigen sind dann auf http ohne ssl, weil das keinen fehler zeigt.

Hä? Wenn sich pltlzich der Fingerprint einer Webseite ändert steige ich sicher nicht auf http um.


> und woher sollen fremde nutzer wissen welcher der richtige ssl fingerprint ist, wenn die webseite durch eine man in the middle attack sabotiert wurde bringt es absolut nichts den fingerprint auf der webseite zu hinterlegen.

Wie schon gesagt: Beim ersten mal verwende ich einen Internetzugang, den ich für sicher halte. Klar gibts da nie 100% Sicherheit, aber wie eingangs erwähnt gibt es Zugänge, die man für sicherer halten darf als andere. Wenn es um Leben und Tod geht, kann ich ja den Fingerprint von mehreren Orten aus checken (zu Hause, Internetcafe, bei einem Bekannten) und erst wenn er überall gleich war, ihm vertrauen.
Meine Bank hat mir übrigens den Fingerprint ihrer online-Banking Seite per Post zugeschickt. Den habe ich auch manuell überprüft. Klar, jetzt kann auch meine Post abgefangen worden sein... Alles in allem halte ich das aber für weitaus cleverer als sich auf ne CA zu verlassen.



Der Iran hat das übrigens auch schon gemacht: Weil die ja ne eigene CA haben, haben sie MITM Attacken auf google mail durchgeführt. Aufgefallen ist das nur Chrome Usern, da der Browser die Zertifikate von Google eingebacken hat, und alles andere ignoriert. Alle anderen Browser haben nicht gemeckert, da ja das Zertifikat von Google von einer weltweit vertrauten CA stammte.

Also, was darfs sein? Ich bleib weiter bei meinen Fingerprints.... Jeder wie er lustig ist.

Ich bin kein Admin
Wenn diese Dame für mich arbeitet dann muss ich, oder mein Admin oder wer auch immer dafür sorgen, dass ihr Browser sinnvoll vorkonfiguriert ist, und diese Konfiguration irgendwie gewartet wird, firmenintern. Ich behaupte auch nicht, dass alle Techniken dafür schon existieren. Aber machbar ist das.
Und dieses "der Ottonormalverbraucher muss es nutzen können"-Totschlagargument ist auch Unsinn. Du verlangst ja auch nicht, dass Flugzeuge so konstruiert werden, dass ich mich ohne Schulung da reinsetzen kann und nicht abstürze.... Irgendwie erwartet aber immer jeder, dass alles an Computern funktionieren muss, ohne das Hirn einzuschalten.

Nee danke, first-level-support macht glaub ich irre auf Dauer.
Wie ich schon sagte, nicht alles lässt sich so vereinfachen, dass es jeder versteht. Ja richtig, SSL zu erklären vor der Browsernutzung ist unrealistisch. Bessere Systeme als jetzt lassen sich aber definitiv entwickeln und wären auch umsetzbar; das jetzige CA-System hat mehr als nur ein paar Risse und ist einfach chaotisch. Zumindest sind MITM Attacken auf Ottonormaluser damit noch immer weitaus realistischer auch für nicht-Regierungen durchführbar als man denken möchte. Siehe die anderen Kommentare hier für ein paar Beispiele.

Worauf ich aber ursprünglich hauptsächlich hinauswollte ist ja, dass zumindest für so ein Blog hier oder andere kleinere Seiten ein selbstsigniertes Zertifikat ausreichend ist und auch verifizierbar. Das mit dem zweiten Kommunikationskanal ist Quatsch und paranoid - das habe ich ja in meinem letzten Kommentar hier schon erklärt... Das ist vielleicht beim Onlinebanking gut, aber da wirds ja auch von einigen Banken gemacht, per Post.

> Und wie machst Du das bei Seiten die mehrere Server haben und auf denen verschiedene Sets von Zertifikaten hernehmen (z.B. google, meines Wissens die citibank & ziemlich viele seiten die CDNs hernehmen). Alle 5 Minuten wieder auf OK drücken?

Richtig, das "citibank-Problem" aus der Convergence-Präsentation. Bei den Seiten hab ich tatsächlich keine große Wahl. Google is für mich kein Thema, habe dort keinen Account. Beim online-Banking würde mich das aufregen.


> Ganz davon abgesehen - wie stellst Du fest ob eine Zertifikatsänderung legitim ist oder nicht?
> Wir analysieren im Moment die Änderungen von Zertifikaten auf Servern wie sie (mehr oder weniger) live passieren. Und - wenn ich mir anschaue was sich da so ändert - ich wäre manuell nicht in der Lage zu erkennen, was ein Angriff ist und was nicht. Selbst sehr große Seiten machen komische Sachen - da gibt es oft alte Zertifikate die noch lange gültig sind - und dann wird mal lustig die CA gewechselt - teilweise auch nicht auf allen Servern. Ohne wirklich lange rumzugraben rauszubekommen ob das legitim ist...

Plötzliche Zertifikatwechsel fielen mir auch schon auf, interessant, dass da mal jemand ne Statistik drüber führt. Ich habe das selber schon bei 1 oder 2 der wenigen Seiten bemerkt, wo ich die Zertifikate selber prüfe. Weil es eben nur wenige Seiten gibt, wo ich wirklich sensitive Daten übertrage (vielleicht 10?), hält sich das im Rahmen.

Auch sage ich ja nicht, dass die manuelle Prüfung jetzt sofort überall anwendbar ist, eben weil sich auf das CA-System verlassen wird, von den Betreibern. Aber bei kleineren Seiten die mit selbstsignierten Zertifikaten arbeiten bin ich immer recht froh das zu sehen, weil es sich fürs manuelle Prüfen so gut eignet - die wechseln dann auch meist nicht im Minutentakt das Zertifikat. Dass das CA System große Schwächen in der Praxis hat, scheinst du ja selbst auch so zu sehen.
Ansätze wie das erwähnte Convergence finde ich daher recht interessant, auch wenn ich das selber nicht nutze. Für das citibank-Problem müsste man da noch gute Lösungen finden.


> War keine CA vom Iran, war DigiNotar. Und Chrome hat auch nicht direkt die Zertifikate von Google eingebacken - Chrome weiss, welche CAs zertifikate für google unterschreiben können und lehnt alles andere ab. (Fast das gleiche - aber doch nicht ganz).

Mein Fehler, hätte nochmal recherchieren sollen



Zumindest könnte man festhalten, dass wenn es um dieses Blog hier geht, der Anteil an versierten Nutzern, die Zertifikate tendenziell verstehen können, höher sein dürfte als auf anderen Seiten. Von daher dürfte das ganz OK sein mit dem selbstsignierten Ding hier.

Wenn schon aus Idealismus dann doch bitte ein Zertifikat signiert von CACert.org

StartSSL.com FTW!
Ohne Trust bringt ein SSL-Cert nichts, wenn mir nicht der Fingerprint bekannt ist!

Wir machen einfach eine eigene CA auf, wir machen das bestimmt teilweise besser als die etablierten.

das will ich sehen, wie ihr eine eigene CA auf macht.

Super! Endlich kann nicht jeder mitlesen was ich hier schreibe.

Und? Solange der Fingerprint stimmt, den - rein fiktiv - Manuel im Idealfall über einen anderen Kanal veröffentlicht. Der Rest ist im Größen und Ganzen nur Geldmachen der großen Trusts, was aber nicht unbedingt die Vertrauenswürdigkeit von Zertifikaten widerspiegeln braucht, nur weil der Browser nicht meckert.

wieso englisch?...