SSL TLS Verschlüsselung

[Tom Bola]

Dachte immer, dass ich mit SSL und TLS geschützt bin!
Surfe oft in Hotspots, doch neulich hat mir ein Freund über Google Berichte gezeigt, dass sich auch die Verschlüsselungen knacken lassen. Jetzt meine Frage, wie sicher bin ich den unterwegs?

 

[starbuckzero]

Und jetzt stellst du deine Frage nochmal so, dass man versteht, was du eigentlich konkret für welches Szenario wissen willst. Welches Gerät denn überhaupt? Sicher bei was? Definiere "sicher unterwegs".

 

[Tom Bola]

Und jetzt stellst du deine Frage nochmal so, dass man versteht, was du eigentlich konkret für welches Szenario wissen willst. Welches Gerät denn überhaupt? Sicher bei was? Definiere "sicher unterwegs".

Ich surfe in offenen, freizugänglichen WLAN-Netzwerken, im Cafe, am Bahnhof usw...
und vor kurzem erfuhr ich, dass man SSL und TLS problemlos umgehen kann!
Wie wahrscheinlich könnte so ein Fall bei mir auftreten, muss derjenige wirklich ein Profihacker sein, um so etwas zu können, oder werden solche Kompetenzen heutzutage problemlos von Kids erlernt?

 

[mikne64]

Hallo,

wenn Du ganz sicher gehen willst, nutze kein Internet und kein Telefon.

SSL bzw. TLS liegt zwischen der TCP/IP-Applikationsebene und TCP (Quelle: Buch "Virtuelle private Netzwerke (VPN)" von Manfred Lipp) und bietet eigentlich einen recht guten Schutz.

Deine Sicherheit hängt natürlich davon ab, welche Anwendungen Du nutzt und wie die Sicherheit des zugrundeliegenden Netzwerkes ist. Dann kannst Du hinterfragen ob SSL/TLS bei den betreffenden Seiten/Anwendungen entsprechend implementiert ist.
Und die Frage ist welchen Sicherheitsgrad Du möchtest/brauchst.

Viele Grüße

 

[Tom Bola]

Hallo,

wenn Du ganz sicher gehen willst, nutze kein Internet und kein Telefon.

SSL bzw. TLS liegt zwischen der TCP/IP-Applikationsebene und TCP (Quelle: Buch "Virtuelle private Netzwerke (VPN)" von Manfred Lipp) und bietet eigentlich einen recht guten Schutz.

Deine Sicherheit hängt natürlich davon ab, welche Anwendungen Du nutzt und wie die Sicherheit des zugrundeliegenden Netzwerkes ist. Dann kannst Du hinterfragen ob SSL/TLS bei den betreffenden Seiten/Anwendungen entsprechend implementiert ist.
Und die Frage ist welchen Sicherheitsgrad Du möchtest/brauchst.

Viele Grüße

Wenn ich mich hier ins Forum einlogge, dann wird mein Benutzername und PW aber nicht mit SLL TLS verschlüsselt, oder?

 

[Hausbesetzer]

Nein, Deine Benutzerdaten fliegen im Klartext durchs Netz zu macuser.
SSL kann man mit entsprechendem KnowHow umgehen - je schlauer der Angreifer und je "blöder" der User, desto einfacher wird es - allerdings muss es jemand da schon fast gezielt auf Dich abgesehen haben

 

[Tom Bola]

Nein, Deine Benutzerdaten fliegen im Klartext durchs Netz zu macuser.
SSL kann man mit entsprechendem KnowHow umgehen - je schlauer der Angreifer und je "blöder" der User, desto einfacher wird es - allerdings muss es jemand da schon fast gezielt auf Dich abgesehen haben

Also brauche ich keine Angst haben, wenn ich meine E-Mails auf GMail checke??

 

[Hausbesetzer]

Also brauche ich keine Angst haben, wenn ich meine E-Mails auf GMail checke??

ROFL!
Mails bei Google sind per se nicht sicher aber in dem Fall - nein, solange Du nicht irgendjemand bist, für den sich ein bestimmter Personenkreis interessiert, ist das wohl "sicher".

Nebenbei: Der Staat weiß jederzeit wann Du wem ne E-Mail schreibst - das muss in Deutschland protokolliert werden.

 

[Mai_Ke]

Richtig sicher wird das Surfen in Hotspots nur, wenn Du Dich per VPN-Tunnel (oder SSH Tunnel) an einem entsprechenden Server (oder Router) anmeldest und dann von da aus Deine Daten ins WWW laesst

Edit:
Was beuhruhigt Dich an SSL? Hab gerade mal bei Wikipedia geschaut und eigentlich keine schwerwiegenden Probleme gefunden...

 

[Tom Bola]

ROFL!
Mails bei Google sind per se nicht sicher aber in dem Fall - nein, solange Du nicht irgendjemand bist, für den sich ein bestimmter Personenkreis interessiert, ist das wohl "sicher".

Nebenbei: Der Staat weiß jederzeit wann Du wem ne E-Mail schreibst - das muss in Deutschland protokolliert werden.

wieso?

Ich surfe in Österreich herum

 

[Tom Bola]

Richtig sicher wird das Surfen in Hotspots nur, wenn Du Dich per VPN-Tunnel (oder SSH Tunnel) an einem entsprechenden Server (oder Router) anmeldest und dann von da aus Deine Daten ins WWW laesst

Edit:
Was beuhruhigt Dich an SSL? Hab gerade mal bei Wikipedia geschaut und eigentlich keine schwerwiegenden Probleme gefunden...

http://www.repges.net/SSL/Angriffe_...ngriffe_S/internetspezifische_angriffe_s.html

Schlüssellänge groß genug ist, wie bestimmte ich die Schlüssellänge??

Gleich beim 1 Punkt zu lesen

 

[Mai_Ke]

Du kannst (bei Firefox) herausfinden, welcher Schluessel verwendet wird. Einfach auf den gruenen Teil der Adressleiste klicken und sich die Details anschauen. (Wird bei Safari aehnlich sein)

Ich freu mich schon drauf, wenn naechste Woche meine Zywall SSL ankommt und ich dann per SSL-VPN surfen kann Selbst, wenn man das irgendwie mit grossem Aufwand knacken kann, ist das immer noch wesentlich sicherer, als ganz ohne Verschluesselung.

p.s. Das mit Brute Force gilt fuer alle Schluessel. Also immer schoen viele wirre Zeichen nehmen

 

[Tom Bola]

Du kannst (bei Firefox) herausfinden, welcher Schluessel verwendet wird. Einfach auf den gruenen Teil der Adressleiste klicken und sich die Details anschauen. (Wird bei Safari aehnlich sein)

Ich freu mich schon drauf, wenn naechste Woche meine Zywall SSL ankommt und ich dann per SSL-VPN surfen kann Selbst, wenn man das irgendwie mit grossem Aufwand knacken kann, ist das immer noch wesentlich sicherer, als ganz ohne Verschluesselung.

p.s. Das mit Brute Force gilt fuer alle Schluessel. Also immer schoen viele wirre Zeichen nehmen

Ich glaube so Zeichen wie diese "§$ sollten nicht genommen werden, oder?

 

[Mai_Ke]

Der unterstuetzte Zeichenumfang kommt auf die Hardware / Software an, die mit dem Schluessel umgehen muss. Das kann man so pauschal schwer sagen.

 

[Tom Bola]

Und was ist, wenn jemand das mit Wireshark snifft, können irgendwelche Daten durchsickern, die nicht mit SSL geschützt werden

 

[Hausbesetzer]

wieso?

Ich surfe in Österreich herum

Find ich gut - lieber rechts als in der DDR 2.0

SSL ist problemlos per Man-in-the-middle Attacke zu umgehen

 

[Mai_Ke]

SSL ist problemlos per Man-in-the-middle Attacke zu umgehen

Dazu muesste der Angreifer aber gueltige Zertifikate haben, oder?

 

[Crea]

Ja, sonst gibts ne fette Sicherheitswarnung vom Browser (normalerweise).

 

[Hausbesetzer]

Dazu muesste der Angreifer aber gueltige Zertifikate haben, oder?

Ja und nein.

Nein, weil 80% der User gar nicht wissen WAS da grad passiert und auf "trotzdem akzeptieren" klicken

Ja, aber: im Mai 2008 wurde bekannt, dass alle unter Debian (und alle darauf basierten Linux-Systeme wie Ubuntu etc) erzeugten Zertifikate von September 2006 bis Mai 2008 quasi keinen Schutz geboten haben.
Das ist sicher nicht die einzige Lücke dieser Art
-> Zertifikate sind also per se als unsicher einzustufen genau so wie SSL

Übrigends gibts immer noch diverse Seiten, wo diese unsicheren Zertifikate zum Einsatz kommen - auf diversen post.de Servern zb und www.elternimnetz.de und teile von spiegel.de nutzen auch noch so ein unsicheres Zertifikat

 

[Mai_Ke]

Woran erkennt man, dass das verlinkte Zertifikat unsicher ist?

Und dass es genuegend User gibt, die nicht wissen, was sie tun, wuerde ich jetzt nicht als Schwachstelle der Verschluesselung ansehen