On 2012-07-20 12:56:37 +0200, BDuN@gmx.net wrote:
gerade gelesen - wenn das kommt, wäre das die totalste Überwachung jedes Einzelindividuums und aller zusammen, die es je gegeben hat - danach kommt nur noch der eingepflanzte Chip! Und wir freuen uns, daß wir ACTA gelegt haben ..
http://fm4.orf.at/stories/1701899/
vor allem - selbst wenn man die Gesetze dazu verhindert, wie hindert man GB und USA daran, es trotzdem zu machen ? An Gesetze hält sich ohnehin nur der, der zu schwach ist, sie ungestraft zu brechen bzw zu umgehen ..
Mir geht in den Artikel ein wichtiges Detail ab: [MITM] | Dafür muss er allerdings zu drastischen Mitteln greifen, über die nur | professionelle Schadsoftware der Oberklasse verfügt: Die Fähigkeit, | Sicherheitszertifikate einer offiziellen Zertifizierungsstelle zu | fälschen. Woher hat der MITM diese Fähigkeit? Spielen die CAs mit und stellen den Lauschern Zertifikate aus, die diesen wiederum erlauben, unbegrenzt Zertifikate zu erstellen? Oder verraten sie ihnen gar die Private Keys der Root-Zertifikate? Oder sind NSA und Co in der Lage, Public-Key- und/oder Hash-Algorithmen nach Belieben zu knacken? Im letzten Fall hilft natürlich nichts mehr. Aber in den ersten beiden Fällen ist das Problem, dass wir Browserbenutzer implizit CAs vertrauen, die dieses Vertrauen nicht verdienen. Hier würde bereits ein anderes User-Interface helfen. Statt dem Benutzer Sicherheit vorzugaukeln, wenn es eine Kette zu einer bekannten CA gibt (über deren Vertrauenswürdig- keit der User nichts weiß) und Panik zu verbreiten, wenn es keine solche Kette gibt, sollte der Benutzer dazu angeleitet werden, für jeden neuen Key anzugeben, wieweit er sich sicher ist, dass er zur richtigen Identität gehört. Die CA-Kette ist dafür eine wichtige Entscheidungshilfe, sollte aber nicht die einzige sein. Es gibt ein paar Add-Ons für Firefox, die in die Richtung gehen, aber wirklich überzeugt hat mich noch keines davon: * Certificate Patrol zeigt an, wenn ein neuer Key auftaucht oder wenn sich die Certificate Chain ändert. IMHO nicht endbenutzertauglich, und neigt zu False Positives (z.B. Google verwendet offenbar mehrere CAs). * Pet Name war nett, wird aber leider nicht mehr gepflegt: Die Idee war, dass man bekannten Web Sites einen "Spitznamen" gibt, der angezeigt wird, wenn der entsprechende Public Key verwendet wird. Bei einer MITM-Attacke würde ein anderer Schlüssel verwendet und daher der Spitzname nicht angezeigt. Hier fehlt mir Unterstützung bei der initialen Bewertung sowie bei der Diagnose. hp PS: Nachdem ich wieder mal ein paar Absätze über eines meiner Lieblingsthemen losgeworden bin, fällt mir noch ein Detail in der Graphik auf: "Intercepted Data may be decrypted if capability is provided by vendor." Wer ist der "vendor" in diesem Fall? -- _ | Peter J. Holzer | Der eigene Verstand bleibt gefühlt messer- |_|_) | Sysadmin WSR | scharf. Aber die restliche Welt blickt's | | | hjp@hjp.at | immer weniger. __/ | http://www.hjp.at/ | -- Matthias Kohrs in desd