Ergebnis der Abstimmung zu Softwarepatenten

[Peter Kaufmann]

Hallo Forum,

heise berichtet über das Ergebnis der heutigen Paramentsentscheidung zu Softwarepatenten: http://www.heise.de/newsticker/data/jk-24.09.03-000/.
Ich habe mir den Kompromiss (der auch noch nicht entgültig sein muß) noch nicht durchgelesen. Es sieht aber so aus, daß einige wichtige Änderungen aufgenommen wurden und das schlimmste verhindert wurde. Pech gehabt amazon ;-)

Vielen Dank an Stefan Münz und das ganze Selfhtml Team für die aktive Hilfe!

Grüße,

Peter

[Thoralf Knuth]

Hallo Peter,

mal sehen, was die Kommission nun machen wird, aber auf jeden Fall sieht man zwei Dinge, nicht nur dass Europa generell etwas beweglicher ist als deutsche Bürokratie sondern auch, dass man auch als 'Kleiner' was erreichen kann. :)

Gruss, Thoralf

[raik]

hallo, peter! :-)

ich würd mir ja deine seite gern mal ansehen, aber wenn ich dazu ein sicherheitszertifikat akzeptieren muss, das als nicht sicher eingestuft wird, hab ich doch etwas bedenken.
ich habe weder von der zertifizierenden stelle, noch von der zertifizierten je etwas gehört und soll blind mein vertrauen aussprechen?

vielleicht solltest du die seite hier mit "http" ohne "s" verlinken. den link kann dort jeder selber anklicken. ;-)

freundl. grüsse, raik

[Daniel Thoma]

Hallo Raik,

ich würd mir ja deine seite gern mal ansehen, aber wenn ich dazu ein sicherheitszertifikat akzeptieren muss, das als nicht sicher eingestuft wird, hab ich doch etwas bedenken.

In diesem Fall sind sie unbegründet. Da das Zertifikat nicht von einer bekannten Zertifizierungsstelle unterzeichnet ist, ist zwar theoretisch ein Abhören der Verbindung möglich, aber da sowieso keine geheimen Daten übertragen werden, kannst Du das Zertifikat auch für _diese_ Seite akzeptieren. Auch wenn es natürlich nicht sehr sinnvoll ist, die Surfer mit solchen Zertifikaten zu verschrecken.

Grüße

Daniel

[Thomas W.]

Hallo,

In diesem Fall sind sie unbegründet. Da das Zertifikat nicht von einer bekannten Zertifizierungsstelle unterzeichnet ist, ist zwar theoretisch ein Abhören der Verbindung möglich, aber da sowieso keine geheimen Daten übertragen werden, kannst Du das Zertifikat auch für _diese_ Seite akzeptieren.

Sicher? In dem Fall ist es doch wohl eher so, dass man nicht weiss, ob der Server, mit dem man "spricht", auch derjenige ist, der er behauptet zu sein.

Gruss
Thomas

[Raik]

Sicher? In dem Fall ist es doch wohl eher so, dass man nicht weiss, ob der Server, mit dem man "spricht", auch derjenige ist, der er behauptet zu sein.

ob es DER server ist, könnte mir ja ziemlich egal sein, aber ein zertifikat einer seite zu installieren, heist doch wohl auch, ihr mehr rechte zur ausführung von code zu geben, oder?
wenn ich das installiere, könnte er theorethisch morgen nen selbst signierten dialer hinterherschieben oder nen trojaner, oder versteh ich da was falsch?

grüsse, raik

[Peter Kaufmann]

Hallo.

Sicher? In dem Fall ist es doch wohl eher so, dass man nicht weiss, ob der Server, mit dem man "spricht", auch derjenige ist, der er behauptet zu sein.

das ist korrekt. Eine man-in-the-middle Attacke wäre möglich. Das ist technisch (leider) auch nicht wirklich schwer - in einem lokalen Netz ist das schnell passiert. Im Internet wird das schon schwerer: Hier müsstest ein Angreifer AFAIK ein passenden DNS-Server unter Kontrolle bringen oder zumindest deine Verbindungsanfrage irgendwie abfangen um sich von Anfang an in die Kommunikation einklinken zu können.
Du kannst also ohne Kentniss des Fingerprints (oder eines vertrauenwürdiges Certifiactes) des Servers nicht wirklich sicher sein, daß du dich auch nur mit diesem Server unterhältst. Du hast also in Bezug auf die Sicherheit recht.
HTTPS ist aber nicht nur wegen der Datenintegrität und "abhörsicheren Verbindung" intressant. Wenn du eine Seite per HTTPS anforderst hinterlässt du keine Spuren (die im Nachhinein ausgewertet werden könnten) im restlichen Netz welche Seiten du dir angesehen hast. Aus diesem Grund nutze ich wenn immer möglich eine HTTPS Verbindung, genauso selbstverständlich wie ich meine Emails verschlüssele.

ob es DER server ist, könnte mir ja ziemlich egal sein, aber ein zertifikat einer seite zu installieren, heist doch wohl auch, ihr mehr rechte zur ausführung von code zu geben, oder?

Ich würde dir nicht empfehlen ein fremdes Certificat ohne Prüfung zu installieren. Es reicht völlig aus, wenn du es nur für diese Verbindung akzeptierst. Ich habe bisher noch nicht gehört, daß man einer Seite mehr Rechte gibt, wenn die Verbindung verschlüsselt ist. Kann aber sein das da bestimmte Browser (bzw. ein bestimmter Browser!) aus der Reihe tanzt. Weiß ich wirklich nicht, würde mich aber intressieren.

Grüße,

Peter

[raik]

Ich habe bisher noch nicht gehört, daß man einer Seite mehr Rechte gibt, wenn die Verbindung verschlüsselt ist.

wenn eine seite ein applet mit besonderen rechten (z.b. localer dateizugriff) anbietet, muss ich doch auch ein zertifikat akzeptieren.
da steht dann was von "inhalten von xy immer vertrauen".
seh ich das falsch, das, wenn ich das mache, die seite z.b. auch andere applets mit sonderrechten ohne nachfrage ausführen darf?

ich weis halt nicht, ob das mit diesem zertifikat dann auch so wäre.

mit der "abhörsicheren Verbindung" und den spuren das ist natürlich ein argument.

grüsse, raik

[Lemmy Danger]

Guude!

seh ich das falsch, das, wenn ich das mache, die seite z.b. auch andere applets mit sonderrechten ohne nachfrage ausführen darf?

Nein, das siehst Du richtig. Wenn Du einem Zertifikat vertraust, mit dem ein Applet signiert wurde, haben automatisch alle Applets von diesem Server erweiterte Rechte, sofern sie mit dem gleichen Zertifikat signiert wurden. Du vertraust nämlich dem Zertifikat, nicht einem bestimmten Applet.

ich weis halt nicht, ob das mit diesem zertifikat dann auch so wäre.

Ich denke nicht, denn das Zertifikat in diesem Fall will nur bestätigen, dass die Verbindung mit einem bestimmten Server aufgebaut wird. Die Abfrage, ob man dem Aussteller des Server-Zertifikats vertrauen möchte, ist AFAIK ein Feature des Browsers, die Abfrage bei Applets aber ein Feature der Java VM bzw. des PlugIns.

LG ausm Hesseland
Lemmy

[Thomas W.]

Hallo Peter,
koenntest Du vielleicht einen Link auf den angenommen Kompromiss hier posten? Ich moechte nicht noch mal eine Stunde bei der EU suchen muessen (so lange hab ich gebraucht, den ersten Entwurf zu finden).
Danke

Gruss
Thomas