HOSTBLOGGER.de

Was ändert das genau? Oder: welcher Teil davon ist nervig? Ich habe bislang nur gute/einfache Erfahrungen damit gemacht. Keine Ahnung wie es bei ungültigen Zertifikaten aussieht

Was ist daran inkompetent, ein Zertifikat zu nutzen, was
a) von CACert.org ausgestellt wurde, oder
b) selbstsigniert ist, weil es ein privates Angebot ist, womit kein Profit erzielt wird, was aber auch keine (weiteren) Kosten verursachen soll?

Ich wuerde sagen, mit dieser Aussage lehnst Du Dich ganz schoen weit aus dem Fenster...

Okay - Ihr habt recht. Meine Aussage bezog sich eher auf abgelaufene Zertifikate etc. Selbst-/CAcert-signierte hab ich mal ausgenommen - die kommen ja eh meist dort zum Einsatz, wo SSL nur nice-to-have, aber keinesfalls obligatorisch ist. Und Leute die Geld mit der jeweiligen Webseite verdienen, sollten wohl in der Lage sein, ein paar Euro fuer Zertifikate auszugeben, und diese auch richtig zu pflegen.

"Obligatorisch" ist es *ueberall*, wo Login- oder anderweitige sensible Daten ueber das Netz wandern. Ansonsten hast Du prinzipiell recht damit, dass jemand, der Umsatz mit seiner verschluesselten seite generiert, durchaus die (moralische) Verpflichtung hat, seine Zertifikate in Schuss zu halten.

Bei CACert.org scheiden sich allerdings auch hier unsere Geister. Wenn auch Firmen das "Wagnis" mehr und mehr eingehen, die kostenlosen (und nicht unsichereren) Zertifikate von CACert.org einzusetzen, erhoeht sich der Druck auf die Browserhersteller, deren Root-Zertifikate endlich mit auszuliefern

Eigentlich hab ich das schon länger gesucht.
Nur leider funktioniert es bei mir überhaupt nicht. Die Konfiguration ist ja schnell geändert - nur Auswirkungen auf das Verhalten des Browsers hat das irgendwie keine.
Gibts noch irgendwo eine magische Konfiguration die sagt das diese Konfiguration genutzt werden soll?

Dem stimme ich zu - ein selbstsigniertes Zertifikat ist zwar nur bedingt geeignet, die Identitaet des Anbieters zu bestimmen, aber immerhin reden wir hier von SSL, sprich von einer Verschluesselungstechnik - die "dumemrweise" ohne Zertifikate nicht funktioniert... also lieber ein "selsfigned", damit ich eine verschluesselte Verbindung nutzen kann, als Klartext-Kommunikation fuer meine Verbindungsdaten

Der mangelnden Sicherheit bei der Authentifizierung des Domaininhabers kann man recht leicht begegnen - bestimmte Funktionen stehen nur CAcert-Mitgliedern zu, die einen gewissen Vertrauensstatus erreicht haben. Man legt seinen Ausweis vor bei mindestens drei sogenannten Assurern und laesst sich damit die persönliche identitaet bestaetigen. Das heisst, dass es zwar nicht so ohne Weiteres ersichtlich ist fuer einen normalen Besucher mit Root-Zertifikat von CAcert installiert, ob jemand ein "Domain-Faker" ist, aber erstens ueberpruefen die Leute bei CAcert schon aus eigenem Interesse idR die Whois-Daten der Domain, und zweitens ist es Jedermann moeglich, den "Faulen Hund" zu identifizieren. Von daher ist dein Argument gegen einen Import der Root-Zertifikats wenn ueberhaupt nur akademischer Natur.

Ob zum Beispiel das Login fuer die Kommentierfunktion in diversen Blogs unbedingt SSL gesichert sein muss, halte ich fuer fraglich. Klar ist Identitaetsdiebstahl problematisch - aber man sollte immer daran denken, dass der Betreiber auch erhoehten Aufwand dafuer betreiben muss. Und sei es nur das 'Mehr' an Rechenleistung was benoetigt wird, und das 'Mehr' an Kosten, was dadurch entsteht. Wie schon oben erwaehnt: Besonders bei Privatprojekten, die verstaendlicherweise nichts investieren moechten, problematisch.

CAcart hat kein security Audit gemacht das notwenig ist denn die komplette Vertrauenskette muss sichergestellt sein.
Selbstsignierte Certs sind nur sinnvoll wenn man absolut sicher sein kann nicht duch ein Mitm betroffen zu sein während man es akzeptiert. (geschlossenes LAN).
Die verschlüsselung nutzt absolut nichts, man kann genauso im Klartext übertragen wenn die ganze Kette unterbrochen ist durch selsbtsignierte Zertifikate oder unsichere CAcerts root zertifikate.
Es gibt fertige MITM Tools, das geht einfacher als mit Netzwerksniffer im Klartext mitzulesen, inklusive DNS poison attack.
Also entweder man will Sicherheit oder man braucht halt keine (http).

Mal eben solche Tips ohne weitere Hinweise zu verbreiten halt ich für fahrlässig.

Genau, und Du prüfst vor jeder Autofahrt den Zustand der Bremsschläuche, der Elektronik, vergewisserst Dich, dass Scheinwerfer, Nebelscheinwerfer, Ruecklichter, Bremslichter, Blinker funktionieren, stellst sicher, dass sich kein Marder unter Deiner Motorhaube eingenistet hat, und so weiter...

Dein Sicherheitsbewusstsein in allen Ehren - ganz ohne Ironie oder Sarkasmus, denn meine tagtaegliche Erfahrung zeigt, dass jenseits von einigen "Geeks" das Thema Sicherheit so gar keine Rolle spielt. Trotzdem haben auch einfache Zylinderschloesser ihren Sinn, auch wenn sie ein professioneller Eindringling mit oder ohne geeignetem Werkzeug in wenigen Sekunden ueberwunden hat... *kopfschuettel*

Die Frage ist immer, wieviel Aufwand ich betreiben muss um wieviel Sicherheit zu erreichen - und wie hoch ueberhaupt die reale Gefaehrdung ist. Ab einem gewissen Punkt lohnt es sich einfach nicht, bzw wird unwirtschaftlich, weil der abgewendete Schaden in keinem Verhaeltnis mehr steht zu den Aufwendungen.