https://mykath.de

[Felician]

In den letzten Monaten haben sich einige Websites darum bemüht, ihre Websites per https aufrufbar zu machen, einige sogar standardmäßig.

Für mykath gibt es ein altes Zertifikat aus dem Frühjahr 2011. Könnte man evt. eine fakultative https-Version von mykath anbieten, das ginge ja auch kostenlos, und nicht notwendigerweise weniger sicher, über CA cert?

bearbeitet 26. Juni 2014 von Felician

[Der Geist]

In den letzten Monaten haben sich einige Websites darum bemüht, ihre Websites per https aufrufbar zu machen, einige sogar standardmäßig.

Für mykath gibt es ein altes Zertifikat aus dem Frühjahr 2011. Könnte man evt. eine fakultative https-Version von mykath anbieten, das ginge ja auch kostenlos (und nicht notwendigerweise weniger sicher, über CA cert?

Für einen unwissenden...wozu ist das gut?

[Chrysologus]

Klick

[Felician]

In den letzten Monaten haben sich einige Websites darum bemüht, ihre Websites per https aufrufbar zu machen, einige sogar standardmäßig.

Für mykath gibt es ein altes Zertifikat aus dem Frühjahr 2011. Könnte man evt. eine fakultative https-Version von mykath anbieten, das ginge ja auch kostenlos (und nicht notwendigerweise weniger sicher, über CA cert?

Für einen unwissenden...wozu ist das gut?

Kurz gefasst: Was nicht verschlüsselt ist, kann jeder abhören.

9:01 min: Ed Snowden: "Das Größte, was ein Internetunternehmen in Amerika jetzt und heute tun kann, ohne Anwälte zu Rate zu ziehen, um die Rechte ihrer Nutzer weltweit zu schützen, ist das Ermöglichen von SSL-Netzverschlüsselung auf jeder Seite, die man besucht. Der Grund, weshalb das wichtig ist: Wenn du dir heute auf Amazon.com eine Ausgabe von "1984" ansiehst, kann die NSA das in einem Protokoll sehen. Der russische Geheimdienst kann das in einem Protokoll sehen. Der chinesische Geheimdienst, der französische, der deutsche und der Geheimdienst von Andorra. Sie alle können das sehen, weil es nicht verschlüsselt ist. Amazon.com ist die Bibliothek der Welt. Aber es verzichtet nicht nur auf Verschlüsselung als generellen Standard, man kann auch Verschlüsselung nicht wählen, wenn man in den Büchern stöbert. Das ist etwas, das wir ändern müssen, nicht nur bei Amazon. Ich möchte die Seite nicht herausgreifen, aber sie ist ein großartiges Beispiel. Alle Unternehmen müssen zum gewohnheitsmäßig verschlüsselten Surfen als Standard übergehen für alle Nutzer, die nicht selbst Maßnahmen ergriffen oder eine eigene Methode gewählt haben. Das stärkt die Privatsphäre und die Rechte, die Menschen weltweit genießen."

bearbeitet 26. Juni 2014 von Felician

[Marcellinus]

Dieses Forum ist offen. Siehst du die Bots nicht, die regelmäßig in der Userliste auftauchen? Hier soll jeder mitlesen können. Man könnte sich höchstens fragen, ob von außen die Verknüpfung von Username und Mail-Adresse zu lesen ist. Aber ich bin sicher, daß auch das geht, Verschlüsselung hin oder her. Wenn du nicht möchtest, daß du mit diesem Forum in Verbindung gebracht wirst, darfst du hier weder lesen noch schreiben.

[Elrond]

Die Forensoftware kann aus technischen Gruenden nur einen Zugangsweg, d.h. HTTP oder HTTPS only.

 

Und SSL Verschluesselung schuetzt in der aktuellen Form leider nicht vor NSA und Co. Der grundlegende Fehler ist IMHO, dass der Client nur pruefen kann, ob ein Zertifikat von irgendeiner hinterlegten CA ausgestellt wurde und nicht, ob von derjenigen, die der Domaininhaber beauftragt hat. Das kommt erst mit Erweiterungen wie DANE.

 

Aber im Prinzip können wir auf HTTPS umstellen, domainvalidierte Zertifikate sind nicht teuer.

bearbeitet 26. Juni 2014 von Elrond

[OneAndOnlySon]

Dieses Forum ist offen. Siehst du die Bots nicht, die regelmäßig in der Userliste auftauchen? Hier soll jeder mitlesen können. Man könnte sich höchstens fragen, ob von außen die Verknüpfung von Username und Mail-Adresse zu lesen ist. Aber ich bin sicher, daß auch das geht, Verschlüsselung hin oder her. Wenn du nicht möchtest, daß du mit diesem Forum in Verbindung gebracht wirst, darfst du hier weder lesen noch schreiben.

Mit den Bots und der Sichtbarkeit des Forums hat das ganze wenig zu tun. Es geht darum, dass eine verschlüsselte Verbindung es erlaubt, die Rückverfolgung des Nutzers zu einer natürlichen Person zu verhindern. Das betrifft in erster Linie reine Leser des Forums aber grundsätzlich auch angemeldete, aktive Schreiber. Ohne SSL kann "jeder" auch ohne Zugriff auf den Server mitlesen, von welcher IP-Adresse aus welche Beiträge des Forums gelesen und geschrieben werden, ebenso wie alle privaten Nachrichten.

[Felician]

Es geht natürlich nicht darum, die Öffentlichkeit der Seiten zu ändern. Wikipedia z.B. bietet seit Ende 2005 die Möglichkeit an, per HTTPS aufgerufen zu werden, seit August 2013 ist das Standard. Und kein Mensch dort würde den Zugang beschränken wollen, das stünde fundamental in Widerspruch zu den Grundprinzipien (Freies Wissen) der Wikipedia. Allerdings haben NSA-Dokumente ausdrücklich unverschlüsselte (HTTP-)Wikipedia-Kommunikation als Ziel der NSA gezeigt, und das hat dann eine Reaktion nach sich gezogen. Nun lässt sich nur deutlich schwieriger feststellen, wer was in der Wikipedia sucht.

Elrond hat natürlich recht, wenn er sagt, dass das nicht prinzipiell die NSA aussperrt, aber es ist deutlich mehr Arbeit, https-Verbindungen abzuhören. Und je größer der Anteil der Verbindungen ist, die verschlüsselt werden, desto normaler wird das, desto weniger fällt man auf, desto größer der Aufwand für die Dienste. Nicht nur für die Dienste der technisch besten (Five Eyes), sondern eben auch für die Dienste durch und durch unfreundlicher Länder. Es mag manchen egal sein, ob die NSA sieht, was sie aufrufen. Mir ist es nicht egal, ob der Hotel-Technikchef, der Café-Betreiber, oder der iranische Geheimdienst das ohne jegliche Schwierigkeiten verfolgen kann.

[Felician]

Die Forensoftware kann aus technischen Gruenden nur einen Zugangsweg, d.h. HTTP oder HTTPS only.

 

Und SSL Verschluesselung schuetzt in der aktuellen Form leider nicht vor NSA und Co. Der grundlegende Fehler ist IMHO, dass der Client nur pruefen kann, ob ein Zertifikat von irgendeiner hinterlegten CA ausgestellt wurde und nicht, ob von derjenigen, die der Domaininhaber beauftragt hat. Das kommt erst mit Erweiterungen wie DANE.

 

Aber im Prinzip können wir auf HTTPS umstellen, domainvalidierte Zertifikate sind nicht teuer.

Das klingt gut. Danke für die Antwort. Ich würde mich freuen, wenn das umgesetzt würde.

bearbeitet 27. Juni 2014 von Felician

[phyllis]

Mit den Bots und der Sichtbarkeit des Forums hat das ganze wenig zu tun. Es geht darum, dass eine verschlüsselte Verbindung es erlaubt, die Rückverfolgung des Nutzers zu einer natürlichen Person zu verhindern. Das betrifft in erster Linie reine Leser des Forums aber grundsätzlich auch angemeldete, aktive Schreiber. Ohne SSL kann "jeder" auch ohne Zugriff auf den Server mitlesen, von welcher IP-Adresse aus welche Beiträge des Forums gelesen und geschrieben werden, ebenso wie alle privaten Nachrichten.

ist das so weil NSA et al einfach die unverschlüsselten datenpakete während der übertragung mitlesen können? zur identifizierung der natürlichen person (hinter der IP#) braucht es mw allerdings die kooperation deines ISPs. den einfach sorgfältig aussuchen.

[Felician]

Mit den Bots und der Sichtbarkeit des Forums hat das ganze wenig zu tun. Es geht darum, dass eine verschlüsselte Verbindung es erlaubt, die Rückverfolgung des Nutzers zu einer natürlichen Person zu verhindern. Das betrifft in erster Linie reine Leser des Forums aber grundsätzlich auch angemeldete, aktive Schreiber. Ohne SSL kann "jeder" auch ohne Zugriff auf den Server mitlesen, von welcher IP-Adresse aus welche Beiträge des Forums gelesen und geschrieben werden, ebenso wie alle privaten Nachrichten.

ist das so weil NSA et al einfach die unverschlüsselten datenpakete während der übertragung mitlesen können? zur identifizierung der natürlichen person (hinter der IP#) braucht es mw allerdings die kooperation deines ISPs. den einfach sorgfältig aussuchen.

Was unverschlüsselt ist, kann man leicht mitlesen. Beim ISP oder beim Betreiber der Netzinfrastruktur saugen die Dienste meistens. Technisch leicht fällt es auch besonders allen, die Zugriff auf die technische Infrastruktur zwischen (inklusive) deiner Tastatur und (inklusive) dem angesteuerten Webserver haben.

Zur Identifizierung kann man den ISP nutzen. Oder du nutzt deinen Namen in einer unverschlüsselten E-Mail (oder -Adresse), loggst dich unverschlüsselt ein, usw. Denkbar ist es auch, dein Webnutzungsverhalten zur Identifikation zu nutzen. Eine IP sagt übrigens auch ohne ISP viel aus, ebenso der Browser, wenn JavaScript aktiv ist kann man über die installierten Schriftarten, Bildschirmauflösung, Add-Ons, Browser, Betriebssystem usw. Menschen übers halbe Netz verfolgen, das geht auch über Tracking-Cookies, ..., soll ich weiter machen? Hier kann man sich das allein für die Browserdaten mal ansehen.

bearbeitet 27. Juni 2014 von Felician