HTTPS -> HTTP durch Internetanbieter?

[whistler]

hi,

habe gerade einen artikel gelesen, in dem nebenbei erwaehnt wird, dass der ISP den datenzugriff ueber https auf http herunterstufen kann. geht das? kann man sich davor schuetzen? habe jetzt auf die schnelle absolut keine infos darueber gefunden und mich wuerde das schon interessieren...

gruss und vielen dank im voraus


//EDIT:

They rolled out the new solutions to 100% of Tunisia by Monday morning, five days after they'd realized what was happening. It wasn't a totally perfect solution. Most specifically, ISPs can force a downgrade of https to http, but Sullivan said that Facebook had not seen that happen.

 

[oneOeight]

an sich läuft das auf einem anderen port, der ISP kann praktisch nur den port umleiten, aber dann sollte die verbindung auch nicht zustande kommen, weil die SSL verschlüsselung fehl schlägt.
typischer fehler ist eher auf einer https seite einen login auf eine http seite zu verlinken...

 

[redweasel]

Nein das geht so nicht - jedenfalls sicher nicht, ohne dass du es bemerkst.
Natürlich musst du aber bei SSL (HTTPS) Seiten jeweils selbst überprüfen, ob die Seite wirklich verschlüsselt ist und auch das Zertifikat verwendet welches du erwartest.

Dafür hast du bei Safari oben rechts ein kleines Schlüsselsymbol, siehe Beispiel.

Das grössere Problem ist das von oneOeight erwähnte, und gerade Facebook ist diesbezüglich nicht sehr sicher.

 

[whistler]

na dann ist das ja alles halb so schlimm; ich habe schon angst gehabt die leiten einen da im fliegenden wechsel um, ohne das das irgendwo angezeigt wird...

 

[redweasel]

Genau um solche sogenannten Man-in-the-middle Attacken auszuschliessen wird SSL verwendet.
Aber wie gesagt - damit solche Systeme wirklich sicher sind muss man sie auch einigermassen verstehen und sie ersetzen nicht die manuelle Kontrolle durch den Benutzer.

 

[whistler]

Genau um solche sogenannten Man-in-the-middle Attacken auszuschliessen wird SSL verwendet.
Aber wie gesagt - damit solche Systeme wirklich sicher sind muss man sie auch einigermassen verstehen und sie ersetzen nicht die manuelle Kontrolle durch den Benutzer.

das ist mir schon bewusst, und ich kenne mich an sich auch recht gut mit SSL aus (mehrere eigene seiten, eigener server etc), aber der artikel hat mich nun doch leicht verunsichert

 

[redweasel]

Das war auch nicht irgendwie gegen dich persönlich gerichtet jetzt.
Ich kenne doch viele Leute, die wissen zwar dass da irgendwie irgendwas verschlüsselt wird, aber wie man das prüft wissen sie nicht. Und dann bringt die Verschlüsselung leider wenig.