telelo

Probleme und Lösungsmöglichkeiten am SSL-Systems

Da mir eine einfache Erklärung über die Problematiken des SSL-Systems fehlte, habe ich eine verfasst.

Sollte ich etwas grundlegend falsch verstanden haben wäre ich erfreut, wenn eine E-Mail an mich geht. [-> Adresse hier]

Funktionsweise von SSL

Um die Probleme und Lösungsmöglichkeiten für die Probleme von SSL zu verstehen ist es entscheidend zu wissen, wie in Etwa SSL überhaupt funktioniert.

Nun folgt eine kurze Erklärung:

1. Der Client baut eine Verbindung zum Server auf. Beide senden ein "Hallo".
2. Jetzt sendet der Server sein Zertifikat (Seine Identität, im übertragenen Sinne in Etwa sein Personalausweis) zum Client. Dieses Zertifikat ist von einer Signing-Authority signiert.
3. Der Client schaut jetzt in seiner List der vertrauenswürdigen Signing-Authorities nach, ob die die das Zertifikat des Servers signiert hat dabei ist. Er überprüft auch, ob die Daten im Zertifikat mit seiner Verbindung übereinstimmen (Passt die Domain?) und ob das Zertifikat noch nicht abgelaufen ist.
4. Trifft das zu, hält der Client die Verschlüsselung für vertrauenswürdig.
   

Detalliertere Informationen zur Funktionsweise von SSL sind hier zu finden.

Probleme an diesem Vorgehen

Die Signierung der Zertifikate erfolgt über ein Stammzertifikat der Signing-Authority. Jeder Client der diesem Stammzertifikat vertraut, vertraut auch automatisch allen Zertifikaten, die von diesem Stammzertifikat signiert sind.

Ein Beispiel für einen Angriff auf dieses System trat bei diginotar auf. Cracker verschafften sich Zugriff zu den internen Systemen der Signing-Authority und signierten viele hundert Zertifikate auf fremde Domains.

Aufgefallen ist dieser Vorfall dadurch, dass Googlemail im Iran ein falsches Zertifikat nutzte. Da die Browser jedoch den Zertifikaten die von Diginotar signiert waren vertraut haben, ist dies Anfangs niemandem aufgefallen.

In dieser Hinsicht sind alle Signing-Authorities angreifbar. Die Browser schwindeln den Benutzern Sicherheit vor, indem sie allen Zertifikat die von bestimmten Authoritys signiert sind vertrauen. Wie diesen jedoch bei eigentlich recht strengen Vorschriften zur Aufnahme der Stamm-Zertifikate ein Eintrag in die Liste erfolgen konnte, bleibt schleierhaft.

Ein weiteres Problem ist, dass diese Unternehmen es auf Gewinne abgesehen haben. Nur 3 Wochen nach Bekanntwerden des Diginotar-Hacks wurde Insolvenz angemeldet. Daraus resultierend wird jede CA, besonders kleinere, versuchen, solche Vorfälle geheim zu halten. Jedenfalls sieht meine Vermutung so aus.

Lösungsmöglichkeiten

Mit dem derzeitigen System ist die einzig praktikable Lösung meiner Meinung nach, den Benutzer bewusst entscheiden zu lassen, welchen Seiten er traut.

Durch Fehlerseiten der Browser die den Anschein erwecken, man würde sich in starker Gefahr befinden und schlechtem Aufklärungsinhalt ist jedoch bisher kein Schritt in diese Richtung gegangen. Die Benutzer baden noch im Komfort des alten Systems.

Ein Problem an diesem Lösungsansatz ist, dass kein normaler Benutzer gerne SHA1-Fingerabdrücke überprüfen möchte. Jeder würde einfach auf "Akzeptieren" klicken.

Einen Schritt in die richtige Richtung macht CACert. CACert verfolgt keine Gewinnabsichten, stattdessen bildet es ein meiner Meinung nach sehr sicheres System mit seinem Web of Trust. Die Stammzertifikate von CACert sind in keinen Browsern enthalten. Einmal ist das als Nachteil zu sehen, anders herrum ist hierdurch das Bewusstsein des Benutzers wieder gestärkt. Hoffentlich.

Ohne Worte

Some right reserved by milenskaya

Warum Lima-City ein nicht ernst zu nehmender Webhoster ist

Ich habe einen längeren Artikel über den Webhoster Lima-City geschrieben, der einen kleinen, meiner Meinung nach schwerwiegenden Teil der Probleme des Freehosters behandelt.

Der Artikel ist bewusst in einer Etherpad-Lite Instanz gespeichert, da sich eventuell noch Inhalte ändern bzw. ergänzt werden.

Link zum Artikel

Zur eventuell auftretenden SSL-Fehlermeldung ist das Impressum dieser Seite zu beachten.

Nachtrag: Da Etherpad-Lite scheinbar nicht neugestartet werden sollte, wenn man 150MB in eine Textdatei-Datenbank gekippt hat, ist das Ganze nun erstmal Offline bis ich eine Lösung gefunden habe. Ein relativ aktuelles Abbild des Artikels aus dem Google-Cache ist hier zu sehen.

Es tut sich was!

Eventuell hat es schon jemand detektiert - seit einer Weile läuft dieser Blog wieder mit allen Einträgen, die es auch zuvor gab. Es war mühsame Handarbeit, ich kopierte fein säuberlich alle Einträge aus der alten Datenbank in einzelne Textdateien und befreite sie von ekelhaften htmlentities-Dingen und Ähnlichem.

Vielleicht entscheidend ist, dass ich mich dagegen entschieden habe, ein eigenes Blogsystem zu basteln. Chisel schien mir da doch zu fähig, wobei es erst in jedem Fall gut funktioniert, wenn man die Zeile 47 zu folgendem korrigiert:

title = f.readline().decode('UTF-8')

Ansonsten liefert Chisel zu gerne UTF-8-Fehler, wie es von Python 2 ja auch bestens bekannt ist.

Des Weiteren habe ich mit einem bebilderten Anleitungs-Satz für Jabber begonnen, der besonders Einsteiger ansprechen soll. Zu finden ist diese Seite unter thisisjabber.telelo.de. Ein Punkt auf meiner unendlichen To-Do-Liste ist unter Anderem, die dort angebotenen Anleitungen noch einmal weiter zu vereinfachen. Die bisher verfügbare Textmenge ist einfach über 9000 zu viel, alsdass sie den Einsteiger daran hindern würde, einfach nur durchzuscrollen.

Auch habe ich festgestellt, wie wunderbar elegant, sparsam und einfach doch jenes PostgreSQL ist. Es ist ein herrliches Gefühl, wenn der vServer nicht mehr hart kämpft, weil sein Arbeitsspeicher randvoll ist wegen einem blöden Datenbankserver.

Seit Neustem dominieren die FastCGI-Prozesse von PHP und dem derzeit aufgrund der Datenbank-Umstellung toten foreveralonebook gar die Liste der Arbeitsspeicher-Großverbraucher.

Was jedoch noch unbedingt erwähnt werden muss ist, dass das etherpad-lite die Versionsnummer 1.0 knackte. Etherpad war schon zuvor ein grandioses Hilfsmittel in vielen Fällen, mit dieser kompletten Neuentwicklung jedoch kam auch mir die Lust, solch ein Ding für meine Zwecke selber zu betreiben. Super Arbeit, Jungs!

Work in progress, please be patient

Juchei, das neue Aussehen steht schonmal soweit! Mit geringer Warscheinlichkeit ändert sich noch etwas.

Was mir nun noch fehlt ist ein neues, statisches Blogsystem, welches ich in den nächsten Tagen mit schmutzigem Python zusammenhacken werde, vermutlich basierend auf Markdown für Formatierung der Einträge.

So, please be patient, wait for a short time and you'll see my great, new website :3