nicht angemeldet JimKnopf
JimKnopf
JimKnopf
Rolf B
Der Martin
Rolf B
JimKnopf
Rolf B
(Edit: Abgeteilt von Mathematik zum Wochenanfang / Rolf)
P.S.: Nebenbei bemerkt: LaTeX verwenden (fixed):
Das mag (nach Übergehen der erhellenden Warnung wegen des nicht korrekt signierten Schlüssels! Wieso kommt da KEINE Beschwerde von Dir?) so erscheinen, weil *.selfhtml.org zu einer IP aufgelöst wird ...
ABER! „Sic!“
Die von Dir angegebene URL
https://wikir.selfhtml.org/wiki/Hilfe:Forum/Bedienung#LaTeX_.28Mathematische_Formeln.29
ist falsch. Da ist ein „r“ zuviel. „s/wikir/wiki/“ hilft:
https://wiki.selfhtml.org/wiki/Hilfe:Forum/Bedienung#LaTeX_.28Mathematische_Formeln.29
ist korrrekt und funktioniert.
Frage: Wo hast Du den Link mit dem Typo her?
Guggd mal:
Moin moin,
@@Raketenwilli
Frage: Wo hast Du den Link mit dem Typo her?
von Gunnar Bittersmanns Beitrag , auf den ich mit meinem Beitrag geantwortet habe.
Das mag (nach Übergehen der Warnung wegen des nicht korrekt signierten Schlüssels! Wieso kommt da KEINE Beschwerde von Dir?) so erscheinen, weil *.selfhtml.org zu einer IP aufgelöst wird ...
Meldungen über Zertifikatsfehler bekomme ich fast so viele wie Timeout Errors; wenn ich mich jedesmal darüber aufregen wollte, hätte ich viel zu tun.
Gruß... JimKnopf
Meldungen über Zertifikatsfehler bekomme ich fast so viele wie Timeout Errors; wenn ich mich jedesmal darüber aufregen wollte, hätte ich viel zu tun.
Naja. Aufregen ist das eine. Über selbige Nachdenken was ganz anderes.
Wenn das übrigens wirklich so dramatisch ist, wie Du es beschreibst, würde ich „gerne“ mal ein paar Worte mit Deinem Admin reden - oder blaue Briefe versenden. Die Folgen sieht man nämlich: Du hast eine sicherheitskritische Meldung gewohnheitsmäßig weggeklickt - und Dich keine Sekunde mit dem Nachdenken darüber aufgehalten, wieso denn (bitte!) eine derart bekannte Seite plötzlich falsche Zertifikate haben soll.
Ich habe nicht nur umgeräumt und gestaltet, sondern auch eine gefühlte Tonne Skripte geschrieben:
https://code.fastix.org/Projekte/Linux-Monitor-Switch für Laptops/
Moin moin,
@@Raketenwilli
Naja. Aufregen ist das eine. Über selbige Nachdenken was ganz anderes.
Über einen Zertifikatsfehler bei einer Internetseite, auf der ich meine IBAN eingeben soll, würde ich schon etwas nachdenken ...
Das hier ist ein Forum, alle Beiträge werden ohnehin veröffentlicht, wenn da etwas in falsche Hände gerät - was soll da schon passieren? Geheimnisse verrate ich hier sowieso nicht ...
Gruß... JimKnopf
Das hier ist ein Forum, alle Beiträge werden ohnehin veröffentlicht,
Es war aber ein Link. Der kann sonstwohin zeigen. Mit „hier im Forum“ hat das nichts zu tun.
Genau so gut könntest Du über einen Link zu einer Tippfehlerdomain gestolpert sein, Dein DNS oder Deine Datei c:\windows\system32\drivers\etc\hosts könnte „vergiftet“ sein.
Und das, was Du für harmlose Seiten mit allenfalls unfähigen Admins zu halten geruhst, hat vielleicht sogar die erwarteten Inhalte. Aber eben ein paar Extras. Ein wenig Javascript, welches zu Ehren eines Kill Il Sun Bitcoins berechnet im harmlosen Fall – im Ernstfall, eines, welches „besondere Fähigkeiten“ Deines Browsers ausnutzt, welche nie in den „100 krassesten Windows-Geheimnissen“ der Computer-BILD sondern bei Heise-Security und vom BSI veröffentlicht werden...
Was Du hier machst ist nichts anderes als Deinen Anteil am unschönen Geschehen klein halten zu wollen: Merk Dir einfach, bei Zertifkatsfehlern das Hirn zu benutzen, wenigstens nach der URL zu schauen und nicht so unbedacht auf [Ja], [Hurra], [Egal!] und [Weiter] zu klicken - wie Du es - mit kruder Begründung - selbst dargestellt hast. Denn eine große Zahl erfolgreicher Hacks hat in genau der von Dir geübten Lässlichkeit ihre Ursache.
Mich jedenfalls regt der von Dir monierte „404er“ weniger auf als ein kaputtes Zertifikat.
Moin moin,
@@Raketenwilli: lass uns ein wenig über Sicherheitsmaßnahmen diskutieren.
Was Du hier machst ist nichts anderes als Deinen Anteil am unschönen Geschehen klein halten zu wollen: Merk Dir einfach, bei Zertifkatsfehlern das Hirn zu benutzen, wenigstens nach der URL zu schauen und nicht so unbedacht auf [Ja], [Hurra], [Egal!] und [Weiter] zu klicken - wie Du es - mit kruder Begründung - selbst dargestellt hast. Denn eine große Zahl erfolgreicher Hacks hat in genau der von Dir geübten Lässlichkeit ihre Ursache.
Zu Deiner Beruhigung: Ich ergreife schon Maßnahmen, es Angreifern nicht allzu leicht zu machen – nur offenbar andere als Du.
Da wäre zunächst einmal der Internetzugang und das Betriebssystem. Von meinen verschiedenen Rechnern hat nur ein einziger überhaupt Zugang zum Internet und auf dem habe ich ganz bewusst kein Windows installiert. So bin ich für Angreifer ein weniger interessantes Ziel. Eine Sicherheitsgarantie ist das nicht, aber es verringert die Gefahr. Dieser Rechner könnte jederzeit kompromittiert sein und ist somit kein geeigneter Ort für sensible Daten.
Sensible Daten speichere und bearbeite ich dem entsprechend auf anderen Rechnern, die – wie gesagt – selbst keinen Internet-Zugang haben. Ein Airgap ist zwar auch nicht unüberwindbar, aber es macht einen Angriff erheblich komplizierter und so aufwendig, dass er sich in der Regel kaum lohnen dürfte.
Andererseits habe ich nicht allzuviel Vertrauen in Zertifikate. Wer sagt mir denn, dass die Betreiber einer bösartigen Webseite sich nicht ein gültiges Zertifikat von einer schlampig prüfenden Zertifizierungsstelle besorgt haben? Und dann noch die ganz schlimmen Jungs: Putins Bären, die NSA und Hunderte anderer Hackertruppen, die im staatlichen Auftrag und mit staatlicher Unterstützung tätig sind. Ich kann es nicht beweisen, aber ich würde wetten, dass die schon lange ihre eigenen Zertifizierungsstellen betreiben. Wann immer sie ein Zertifikat für einen Angriff benötigen, werden sie sich eins ausstellen, das in keiner Sperrliste auftaucht und von allen Browsern der Welt akzeptiert wird. Die Frage ist doch: Wieviel Sicherheit bieten Zertifikate tatsächlich? Nach meiner Einschätzung weniger als ein Airgap.
Es war aber ein Link. Der kann sonstwohin zeigen. Mit „hier im Forum“ hat das nichts zu tun.
Ja, stimmt, es ist ein Link. Genauer gesagt: es ist ein Link von Gunnar Bittersmann – jedenfalls solange sein Forums-Account noch nicht gehackt wurde (@@Gunnar: ich hoffe, Du verwendest ein sicheres Passwort!). Würdest Du von Gunnar erwarten, dass er eine bösartige Webseite betreibt, die meinen Rechner mit irgendwelcher Malware zu infizieren versucht? Oder dass er mit Leuten zusammenarbeitet, die so etwas tun und er darauf abzielt, ihnen Kundschaft zuzuführen? Ich nicht. Ich halte Gunnar für eine vertrauenswürdige Quelle. Ich halte es nicht für nötig, seine Links sorgfältig zu prüfen.
Bin ich jetzt mit meiner Strategie, Angriffe möglichst abzuwehren, ein verantwortungsloser Hasardeur?
Gruß... JimKnopf
Ich halte es nicht für nötig, seine Links sorgfältig zu prüfen.
Gunnar oder nicht Gunnar: Wenn mir bei Surfen ein Zertifikatsfehler unterkommt, dann bin ich hellwach und schaue mir die URL (also den Hostname) genauer an.
Dadurch ist mir das „r“ im Hostname aufgefallen und wenn Du so sicherheitsbeweusst sein willst, wie Du das darstellst, dann wäre das mit Deinem selbst dargestellten Verhalten (kritikloses Wegklicken der Warnung) nicht in Übereinstimmung zu bringen.
Zur Erinnerung:
Nach meinem Vorhalten:
„Das mag (nach Übergehen der Warnung wegen des nicht korrekt signierten Schlüssels! Wieso kommt da KEINE Beschwerde von Dir?) so erscheinen, weil .selfhtml.org zu einer IP aufgelöst wird ...“
hast Du schließlich geschrieben:
„Meldungen über Zertifikatsfehler bekomme ich fast so viele wie Timeout Errors; wenn ich mich jedesmal darüber aufregen wollte, hätte ich viel zu tun.“
Darüber hinaus ist Deine Äußerung berzüglich der vorgemachten Häufigkeit solcher Warnungen höchst zweifelhaft. Wenn Zertifikatswarnungen vorkommen (und das ist keineswegs häufig, tatsächlich nämlich selten), dann sind abgelaufene Zertifikate oder, wie vorliegend, eben Wildcard-Einträge im DNS die häufigste Ursache (natürlich neben meinen eigenen lokalen Webservern für Testzwecke).
Und wie schon geschrieben: Bevor ich einen 404er anmeckere (was Du getan hast) schau ich auf die URL, denn gerade in Foren sind „Copy & Paste- Fehler“ und simple Typos die Regel. Und nur wenn ich nachschaue kann ich - statt nur unkonstruktiv zu meckern - auch einen hilfreichen Hinweis geben, woran das wohl liegt.
Und noch etwas:
Du solltest Dich nicht von Fliegen animiert fühlen. Ich weiß, was die lecker finden.
Hallo Raketenwilli,
Würdest Du von Gunnar erwarten, dass er eine bösartige Webseite betreibt, die meinen Rechner mit irgendwelcher Malware zu infizieren versucht?
Gunnar oder nicht Gunnar: Wenn mir bei Surfen ein Zertifikatsfehler unterkommt, dann bin ich hellwach
Ebend. Denn ein URL Typo kann mich in die tiefste Hölle führen, egal wie vertrauenswürdig derjenige ist, der ihn gemacht hat. Typo-URLs für Selfhtml – beispielsweise – scheint es keine offensichtlichen zu geben, aber es gibt immerhin selfhtml.net, von dem ich keine Ahnung habe, was das ist. Die Seite wollte mich zum Klicken eines „Ich bin ein Mensch“ Buttons verleiten, angeblich von Cloudflare. Nein danke. Vielleicht probiert das Jim mal mit seinem datenfreien Surf-PC mal aus 😉
Rolf
Hallo,
„Meldungen über Zertifikatsfehler bekomme ich fast so viele wie Timeout Errors; wenn ich mich jedesmal darüber aufregen wollte, hätte ich viel zu tun.“
ich bin geneigt, dieser Aussage zuzustimmen. Und ungültige (nicht rechtzeitig verlängerte) Zertifikate bekomme ich am häufigsten bei renommierten Services, die innerhalb unserer Firmen-Infrastruktur genutzt werden. Etwa Microsoft-Cloud-Dienste oder SAP.
Und wenn ich so eine Zertifikats-Warnung "out in the wild" kriege, gerate ich auch nicht gleich in Panik. Denn solange ich nicht aktiv Daten an den genutzen Dienst übermittle (beispielsweise nur die aktuellen Aktionsangebote bei ALDI abrufen will), ist mir das eigentlich egal. Dann ist mir sogar egal, ob die Übermittlung komplett unverschlüsselt läuft.
Du solltest Dich nicht von Fliegen animiert fühlen. Ich weiß, was die lecker finden.
Und bist auch schon auf den Geschmack gekommen.
Einen schönen Tag noch
Martin
Und ungültige (nicht rechtzeitig verlängerte) Zertifikate bekomme ich am häufigsten bei renommierten Services, die innerhalb unserer Firmen-Infrastruktur genutzt werden. Etwa Microsoft-Cloud-Dienste oder SAP.
Hm.
echo $vorstehendes | sed -e "s/renommierten/für ihre Probleme bekanntem und durch eigene „Admins“ häufig falsch konfigurierten/g“`
Denn solange ich nicht aktiv Daten an den genutzen Dienst übermittle
Aha. Wozu benutzt Du denn diese Dienste? Selbst bei einer Abfrage übermittelst Du ... die Frage. Und das sind schon Daten. (Womöglich Wahrscheinlich sogar solche zur Authorisierung.) Was Du dann bekommst sind erst recht solche. Oder wozu benutzt Ihr denn (BITTE!) SAP und Cloudkram von Microsoft?
Du solltest Dich nicht von Fliegen animiert fühlen. Ich weiß, was die lecker finden.
Und bist auch schon auf den Geschmack gekommen.
„Auf DEN Geschmack gekommen“ sind User, welche durch falsche oder ungültige Zertifikate in der Infrastruktur der eigenen Organisation soweit abgestumpft sind, dass diese (wie geschehen) zwar einen 404er „anmeckern“, das ungleich schwerer wiegende falsche Zertifikat dabei aber nicht einmal erwähnen (geschweige denn sich den Hostname in der URL mal anzusehen) - und sich der Krux in diesem Tun oder Lassen - wie sich in der Diskussion durch Beharren zeigt - nicht bewusst werden wollen.
Natürlich sollte man nicht vergessen den Admins auf die Finger zu klopfen. Denn wenn diese das mit den Zertifikaten in der eigenen Infrastruktur nicht auf die Reihe bekommen (und statt dessen Anleitungen rausgeben, wie man das im Browser oder anderen Anwendungen übergeht), dann animieren diese die Benutzer zu einem Verhalten, welches jedenfalls nicht zu einer erhöhten Sicherheit beiträgt - bringen diese also „auf DEN Geschmack“.
Hallo,
Denn solange ich nicht aktiv Daten an den genutzen Dienst übermittle
Aha. Wozu benutzt Du denn diese Dienste?
bitte sinnvoll zitieren, nicht die Aussage aus dem Kontext reißen. Ich hatte das ausdrücklich von den genannten Beispielen Microsoft und SAP abgegrenzt:
Und wenn ich so eine Zertifikats-Warnung "out in the wild" kriege, gerate ich auch nicht gleich in Panik. Denn solange ich nicht aktiv Daten an den genutzen Dienst übermittle (beispielsweise nur die aktuellen Aktionsangebote bei ALDI abrufen will), ist mir das eigentlich egal.
(Hervorhebung nachträglich ergänzt)
Selbst bei einer Abfrage übermittelst Du ... die Frage.
Genau. und die ist beim ALDI-Beispiel hochbrisant, nicht wahr? 🤷
Und das sind schon Daten. (
WomöglichWahrscheinlich sogar solche zur Authorisierung.)
Aber nicht beim ALDI-Beispiel in freier Wildbahn.
Natürlich sollte man nicht vergessen den Admins auf die Finger zu klopfen.
Im Unternehmen mach ich das selbstverständlich. Draußen in freier Wildbahn eher nicht.
Einen schönen Tag noch
Martin
Hallo Raketenwilli,
das fällt aber wirklich erst auf den dritten Blick auf…
Ich habe jetzt im ganzen Thread die falsche URL durch die richtige ersetzt.
Rolf
Moin moin,
@@Raketenwilli
Wenn Du davon überzeugt bist, dass jemand etwas falsch macht und sein Verhalten ändern oder wenigstens überdenken sollte, kann Dein Erfolg entscheidend davon abhängen, wie Du Deine Kritik formulierst.
Du hast eine sicherheitskritische Meldung gewohnheitsmäßig weggeklickt - und Dich keine Sekunde mit dem Nachdenken darüber aufgehalten, wieso denn (bitte!) eine derart bekannte Seite plötzlich falsche Zertifikate haben soll.
Vorwürfe und Anschuldigungen, zumal wenn sie öffentlich vorgetragen werden, können leicht dazu führen, dass der Angesprochene sich angegriffen fühlt, in den „Verteidigungsmodus“ übergeht und – zunächst oder auf Dauer – nur darüber nachdenkt, wie er den Angriff gesichtswahrend abwehren kann. Sachliche Fragen, z.B. „Warum mache ich das so wie ich es mache, wo genau liegt mein Gedankenfehler?“, spielen dann eher keine Rolle. Formulierungen wie „Wenn Du ... machst, läufst Du Gefahr, dass ... passiert(, weil ...)“ oder in der Ich-Form „Ich würde ... nicht tun, weil mir die Gefahr ... zu groß ist.“ machen es dem Angesprochenen dagegen wesentlich leichter, die Kritik anzunehmen und ernsthaft darüber nachzudenken, warum er in Zukunft was wie anders machen sollte.
Meine Erfahrung: Wenn ich erreichen will, dass jemand sein Verhalten tatsächlich ändert, und die betreffende Person nicht an meine Weisungen gebunden ist (wie z.B. ein Angestellter es wäre), sind meine Erfolgsaussichten mit Güte, Freundlichkeit und Geduld am besten. Wenn ich durchblicken lasse, dass ich meinen Gesprächspartner für einen Deppen halte, habe ich in den meisten Fällen schon verloren.
Gruß... JimKnopf
Schöne Worte ... schauen wir mal in den Verlauf:
(Raketenwilli) Das mag (nach Übergehen der Warnung wegen des nicht korrekt signierten Schlüssels! Wieso kommt da KEINE Beschwerde von Dir?) so erscheinen, weil *.selfhtml.org zu einer IP aufgelöst wird ...
(JimKnopf) Meldungen über Zertifikatsfehler bekomme ich fast so viele wie Timeout Errors; wenn ich mich jedesmal darüber aufregen wollte, hätte ich viel zu tun.
Wie schreibst Du jetzt?
Wenn ich durchblicken lasse, dass ich meinen Gesprächspartner für einen Deppen halte, habe ich in den meisten Fällen schon verloren.
Du solltest Deine Worte womöglich etwas mehr verinnerlichen. Und damit aufhören, der Frage, warum Du den zwar den 404er – nicht aber den Zertifkatsfehler angemeckert hast, mit einer Unterstellung (ich würde mich darüber grundlos aufregen) zu umschiffen.
Denn genau so manifestiert sich ein „durchblicken lassen, dass man den Gesprächspartner für einen Deppen halte“. Ich kann Dir mehr von Deinen Worten zeigen.
Hallo Raketenwilli und Jim,
Ich bitte euch, das Thema ruhen zu lassen.
Gesichtswahrendes Spreizen der Federn könnt ihr beide, und in der Sache steht Grundsatz (immer vorsichtig) gehen Sonderfall (isolierte Surfstation). Da findet ihr nie ein Ende, und eine Diskussion übers Diskutieren macht es auch nicht besser.
Rolf
