Nils-Hero: mannmannmann...

Beitrag lesen

Hallo Julius,

Zuerst mal:

Ich interessiere mich für die meisten Konzepte hinter HTTPS und Co. herzlich wenig. Normalerweise halte ich mich dann aus solchen Themen heraus.

Aber hier macht mir jemand meine Werkzeuge (=Proxies) kaputt, mit denen ich gerne in meinem Garten (=Protokoll-Ebene) rumgebastelt habe. Er erklärt mir nicht, wie ich Sie wieder funktionsfähig machen kann (=Tutorial, wie man Sicherheitszertifikate im Browser registriert und den Proxie entsprechend konfiguriert) und gibt mir keinen vollwertigen Ersatz (=HTTPS fähiger Proxy). Alles was er mir sagt ist: "Also ich brauche deine Werkzeuge ja gar nicht. Und so toll ist dein Garten auch nicht. Du kannst ja gerne in einer von x Konzern-eigenen Werkstätten (=Firefox, Chrome, ...) meine eigenen Werkzeuge (=Browser Plugins) benutzen. Natürlich nur, wenn die Werkzeuge auch funktionieren (=Browser Plugins, die nach Update des Browsers nicht mehr lauffähig sind)."

Mit dem Argument wird also der Umstand abgekanzelt, daß https und Co. lokale Proxies kaputt gemacht haben. Das ist natürlich ein Ärgernis.

kannst Du mal ein bischen konkreter werden?

Nein (...)

Siehst Du?

Ich verstehe das von dir zitierte Zitat (ich habe mir erlaubt, den zweiten und letzten Satz zu ergänzen) so (...)

Das kannst Du Dir zurechtlegen wie Du willst, aber der Satz ist an der entscheidenden Stelle eindeutig: "das, was Du denkst, was SSL für Dich macht, ist fundamental kaputt." Du willst mir also etwas, dessen Funktionsweise fundamental kaputt ist, als eine unverzichtbare Notwendigkeit verkaufen.

Es ist wohl leider auch nicht sinnvoll zu verhindern (...)

Doch! man verschlüsselt nicht! Ist ja auch für 95% der Webseiten gar nicht notwendig. Und der so begeistert zitierte Mann in der Mitte interessiert sich für diese Webseiten überhaupt nicht.

man könnte höchstens die dafür benutzten Domains in die Filterlisten der Tracker-Blocker aufnehmen, wie es mit klassischen Tracking auch gemacht wird.

Es erzeugt also einen zusätzlichen Arbeitsaufwand.

Das Problem dürfte sich allerdings durch HSTS Preload (Liste mit verschlüsselt erreichbaren Websites, die mit allen Browser ausgeliefert wird und daher auch überall gleich ist) und die zunehmende Verbreitung von HTTPS (HTTPS als Standard, vor HTTP wird gewarnt) irgendwann auflösen.

Also eine globale Liste, wo sich jeder registrieren muss, der im Internet mitmacht. Aktiv oder ungefragt passiv durch das Besuchen der registrierten Webseite. Und der Schlüssel liegt an einer einzigen Stelle. Da freut sich die CIA.

Da existieren offensichtlich Datenschutz-Löcher, die in großem Umfang von den üblichen Verdächtigen – Werbeagenturen, Geheimdienste, AV-Hersteller – nachweislich genutzt werden.

Hast du einen Beleg für den Missbrauch von HSTS als Super Cookie in der Praxis?

Das habe ich auf TLS bezogen.

Nein, ich tue nicht so. Ich werte bloß den konkreten Sicherheitsgewinn durch HTTPS höher als eine theoretische Möglichkeit, mich zu tracken.

Wenn es theoretische möglich ist, wird es auch passieren. Und daß Google dieses Tracking nicht unterbindet, spricht Bände. Und da ich den Chrome aus Performanz-Gründen für manche Webseiten nutze, ist es keine Hilfe daß der Firefox vermeintlich dieses Schlupfloch schließt.

Der unbedarfte Nutzer (geschätzt >95% der Nutzer des Internets) wird durch die Verschlüsselung nicht im geringsten beeinträchtigt, er hat sich auch in Zeiten von geringer Verbreitung von HTTPS keine Proxies (solche, die die eigentlichen Inhalte anfassen müssen) installiert. Für ihn stellt HTTPS eine klare Verbesserung dar.

Das ist falsch. Jeder wird beeinträchtigt.

Stell Dir das unverschlüsselte HTTP als einen Fluss vor, die Informationen sind das Wasser. Jeder kann Wasser reingießen und jeder kann daraus trinken. Sicher, einige können auch in den Fluss pinkeln, aber so ein Fluß ist groß und hat gute Selbstheilungkräfte. Ein bißchen Pisse kann sogar gut sein. Dann lernen die Leute, besser auf das Wasser zu gucken bevor Sie es trinken.

HTTPS packt das Wasser nun in Kisten und versieht Sie mit einem Schloß. Sicher, nun kann keiner mehr reinpinkeln. Aber wer Zugang zum Wasser haben will, braucht den Schlüssel. Man kann auch gut sehen von wo das Wasser kam und wo es hingeht. Man muss nur die Kisten mitloggen.

Dann willst Du auch noch den Schlüssel für die Kisten an einer einzigen Stelle hinterlegen. Jeder der trinken will, oder eine Kiste verschicken will muss diesen Schlüssel benutzen. Nun muß jeder, der kontrollieren will, was in den Kisten ist, ein Staat zum Beispiel, nur an diesen Schlüssel gelangen. Du kannst dann sogar das Wasser in der Kiste durch anderes Wasser vertauschen, dem Du ein Schlafmittel beigefügt hast, damit die Leute schön ruhig bleiben. Sicher, Du konntest vorher auch schon Schlafmittel in den Fluß kippen, aber die Leute konnten ihr Wasser einfach weiter oben trinken, wo Du keinen Zugriff hast.

Der Schlüssel ist zwar kostenlos, aber in ferner Zukunft, wenn alle vergessen haben, daß Wir mal einen frei fließenden Fluss hatten, kannst Du dann langsam die Daumenschrauben anziehen. Du kannst anfangen eine Gebühr für den Schlüssel oder für den Gebrauch der Kisten zu erheben. Oder Du kannst sagen, ok, Leute, wir sollten nicht jedem den Schlüssel geben. Wer uns zu radikal ist, der sollte keinen Schlüssel bekommen. Nur wer konform handelt, darf den Schlüssel benutzen.

Schließlich hast Du dann eine ordentliche Kontrolle über etwas erreicht, das vorher frei floss. Du kannst zuverlässig das, was dich stört, unterbinden. Das was vorher ein natürlicher Fluss war, aus dem man kostenlos trinken konnte, ist nun eine staatlich kontrollierte Wasservergabe.

Klar, 95% der Nutzer stört das nicht, weil sie mit dem Aufschließen der Kisten und dem Versand nie in Berührung kommen. Aber die 5%, die sich fragen, "Was ist das eigentlich für Wasser und wer baut diese Kisten und wer macht den Schlüssel?" Die können nun nur noch das hinnehmen, was man ihnen anbietet. Versehen mit der Plakette "Sicheres Wasser!". Filtern können Sie nur das Wasser was in der Kiste ist, und Sie können auch nur die Filter benutzen, die mit der Maschine, die die Kiste öffnet kompatibel sind. And der Kiste selbst oder am Schlüssel können Sie nichts ändern.

Das ist das Problem mit HTTPS und Co und anderen 'Schutz'mechanismen. Es sind Kontrollmechanismen die sich als Sicherheitsmechanismen tarnen.

Gruß, Nils

1 68

mannmannmann...

Regina Scheißklug
  • sonstiges
  1. 0
    TS
  2. 3
    Gunnar Bittersmann
    1. 0
      Henry
      1. 0
        Gunnar Bittersmann
        1. 1
          Rolf b
          1. 2
            Gunnar Bittersmann
            1. 1
              MudGuard
          2. 0
            Absolute Beginner
            1. 0
              Gunnar Bittersmann
              1. 0
                Rolf b
                1. 0
                  Camping_RIDER
            2. 0
              Henry
            3. 0
              Auge
              • browser
              • sonstiges
              1. 0
                dedlfix
            4. 0
              TS
  3. -3
    1unitedpower
    1. 0
      Henry
      1. 0
        Matthias Apsel
        • sonstiges
        • zu diesem forum
        1. 0
          MudGuard
    2. 0
      Regina Scheißklug
      1. 2
        1unitedpower
        • javascript
        • progressive enhancement
        1. 2
          Auge
          1. 0
            1unitedpower
        2. 3
          Gunnar Bittersmann
          1. 0
            JürgenB
            1. 0
              Gunnar Bittersmann
              1. 0
                JürgenB
                1. 0
                  Auge
                  1. 0
                    1unitedpower
                    1. 0
                      Gunnar Bittersmann
                      1. 0
                        TS
                        1. 0
                          dedlfix
                          1. 0
                            TS
                            1. 0
                              Julius
                            2. 0
                              Auge
                              • javascript
                              • progressive enhancement
                              • sicherheit
                              1. 0
                                TS
                                1. 0
                                  Auge
                    2. 0
                      Auge
                      1. 1
                        1unitedpower
                    3. -1
                      Regina Scheißklug
                  2. 0
                    JürgenB
          2. 0
            1unitedpower
          3. 0
            Gunnar Bittersmann
        3. 0
          Regina Scheißklug
          1. 0
            1unitedpower
            1. 0
              Auge
              • meinung
              • menschelei
              1. 0
                Christian Kruse
                1. 0
                  Auge
                2. 0
                  Regina Scheißklug
                  1. 0
                    Christian Kruse
                    1. -2
                      Regina Scheißklug
            2. 0
              Regina Scheißklug
  4. 1
    Julius
  5. 0
    Nils-Hero
    1. 0
      Henry
      • browser
      • sonstiges
    2. 0
      Julius
      • browser
      • datenschutz
      • sicherheit
      1. 0
        Tabellenkalk
        1. 0
          Julius
      2. 0
        Nils-Hero
        1. 0
          Julius
          • browser
          • datenschutz
          • verschlüsselung
          1. 0
            Nils-Hero
            1. 0
              Julius
              1. 0
                Nils-Hero
                1. 6
                  Julius
                  1. 0
                    Nils-Hero
            2. 0
              TS
  6. 0
    pl