PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Sind die Zertifikate bei https Seiten auf die jeweilige Domain beschränkt

Gast
2008-12-19, 23:12:37
oder kann es passieren, daß jemand einem über eine harmlose https Seite ein Zertifikat unterjubelt.
Der User das dann abnickt und dann auf der zweiten präparierten Seite mit dem gleichen Zertifikat dann eine gefälschte Webseite der Bank untergejubelt wird?


Mir geht es nämlich darum, daß die meisten privaten Webseiten, die HTTPS Seiten betreiben, mir ständig Zertifikate unterjubeln wollen und wenn ich den Inhalt der Seiten sehen will, dann muß ich die Zertifkate akzeptieren,
ansonsten erhalte ich keinen Zugriff zu den Daten.
darph
2008-12-20, 02:27:51
Zertifikate werden auf die Domain ausgestellt. Das geht also nicht.

Wenn man also eine Warnung bekommt, das Zertifikat sei ungültig und klickt dann einfach "jaja, paßt schon, immer vertrauen" an, dann ist man ein Stückweit selbst schuld.
Pennywise
2008-12-20, 09:12:30
Selbst Unterdomains sind nicht möglich. Ausgestellt wird auf die genaue Top-URL. Also www.123.de - doof.123.de passt schon nicht mehr.
Gast
2008-12-20, 17:19:50
oder kann es passieren, daß jemand einem über eine harmlose https Seite ein Zertifikat unterjubelt.
Der User das dann abnickt und dann auf der zweiten präparierten Seite mit dem gleichen Zertifikat dann eine gefälschte Webseite der Bank untergejubelt wird?
Was bedeutet untergejubelt? Entweder du vertraust dem Aussteller des Zertifikats oder nicht. Ihm auf der ersten Webseite zu vertrauen, auf der nächsten aber nicht mehr ergibt keinen Sinn.
Abgesehen davon lassen sich Zertifikate auch nur für die aktuelle Sitzung und nicht dauerhaft akzeptieren.

Um die ursprüngliche Frage zu beantworten: Ja, man kann Zertifkate für verschiedene Namen ausstellen. Beispielsweise ein Zertifkat das für www.example.com und www.example.org gültig ist. Oder ein Zertifkat für *.example.net, dieses gilt dann für alle Subdomänen von example.net.
Alles andere wäre auch Schwachsinn, denn sonst müsste man für jeden Webserver mit Virtual Hosts, die auch verschlüsselt nutzbar sein sollen, einen Sack voll IP-Adressen mieten. Das wäre angesichts der Adress-Knappheit wenig sinnvoll.
Gast
2009-01-01, 13:38:59
Was bedeutet untergejubelt? Entweder du vertraust dem Aussteller des Zertifikats oder nicht.Ja mach mal.
http://www.schneier.com/blog/archives/2008/12/forging_ssl_cer.html
Gast
2009-01-01, 14:13:32
Ja mach mal.
http://www.schneier.com/blog/archives/2008/12/forging_ssl_cer.html
Was hat das mit dem Thema dieses Threads zu tun?
Gast
2009-01-01, 16:07:05
Was hat das mit dem Thema dieses Threads zu tun?Was hat "untergejubelt" mit dem Thema dieses Threads zu tun?
The_Invisible
2009-01-01, 16:07:40
Selbst Unterdomains sind nicht möglich. Ausgestellt wird auf die genaue Top-URL. Also www.123.de - doof.123.de passt schon nicht mehr.

doch, dafür gibts die wildcard zertifikate. sind allerdings sauteuer :D

mfg
Gast
2009-01-04, 12:30:49
Hier noch kurz das "OT" auf deutsch
http://www.onlinekosten.de/news/artikel/32620
Birdman
2009-01-04, 17:07:03
Mittlerweile kann man Zertifikate auch für mehrere Domains ausstellen lassen, kostet nur ein ein wenig mehr und wird nicht von ganz so vielen Webbrowsern unterstützt.

Grundsätzlich aber ist ein Zertifikat schon auf genau eine oder mehrere Domains ausgestellt, nur für Subdomains gibts halt noch sog. Wildcard Zertifikate.
Gast
2009-01-07, 01:48:01
Hier noch kurz das "OT" auf deutsch
http://www.onlinekosten.de/news/artikel/32620Dieser Erkenntnis...MD5 ist angreifbar...widmet man Anfang 2009 einen kompletten Newsbeitrag?
Ich sehe die Sache hier ähnlich wie Bruce.
I'm not losing a whole lot of sleep because of these attacks. But -- come on, people -- no one should be using MD5 anymore.Zumindest nicht für solche Zwecke. Es ist ja nicht so, als ob es keine Alternativen gäbe.
Coda
2009-01-07, 03:15:16
Selbst Unterdomains sind nicht möglich. Ausgestellt wird auf die genaue Top-URL. Also www.123.de - doof.123.de passt schon nicht mehr.
Es gibt Wildcard-Zertifikate, die alle Subdomains enthalten, also *.123.de

Zumindest nicht für solche Zwecke. Es ist ja nicht so, als ob es keine Alternativen gäbe.
Jain. SHA-1 ist leider ja auch nicht viel besser und der Contest für SHA-3 ist noch lange nicht beendet.
The Cell
2009-01-07, 10:25:30
Es gibt Wildcard-Zertifikate, die alle Subdomains enthalten, also *.123.de


Jain. SHA-1 ist leider ja auch nicht viel besser und der Contest für SHA-3 ist noch lange nicht beendet.

Prinzipiell haben alle Verfahren, die auf den Grundlagen Arbeiten von Merkle und Damgaard basieren, Probleme. Mit dem Unterschied, dass man SHA1 noch nicht mit Stift, Papier und gelangweilten Studenten kaputt spielt, von was man bei MD5 schon fast reden kann.

Gruß,
TC