nicht angemeldet
Frage an die absoluten Sicherheits-Profis
Hallo liebe Sicherheitsprofis,
ich würde mich sehr über eine Einschätzung betreffend der Frage freuen, wie sicher diese Dinge sind, die ich da regelmäßig tue:
1. Ich rufe ab und an eine interne Administrationsseite über die Adresse https://ssl-id.de/... bla ab. Mein Firefox sagt, das ist eine RC4 128bit-verschlüsselte Verbindung.
- Ist diese Verschlüsselung so gut, dass ich diese Seite bedenkenlos in einem offenen W-LAN oder bei einem nicht unbedingt vertrauenswürdigen W-LAN-Betreiber (z.B. irgendeine Kneipe) aufrufen und auch Daten mit der Seite austauschen kann?
- Kann der Betreiber des WLANs die URLs sehen?
2. Ich rufe E-Mails über eine "SSL"-Verbindung (Port: 995) ab. Wie sieht es da mit der Sicherheit in offenen W-LANS aus?
3. Angenommen, ich rufe eine gänzlich unverschlüsselte Seite auf oder sende eine unverschlüsselte E-Mail über eine unverschlüsselte Verbindung - aber das ganze über Handy per UMTS oder GPRS. Kann da ein lokaler Beobachter irgendwas abfangen?
Vielen Dank!
-
Hello B.,
ich würde mich sehr über eine Einschätzung betreffend der Frage freuen, wie sicher diese Dinge sind, die ich da regelmäßig tue:
- Ich rufe ab und an eine interne Administrationsseite über die Adresse https://ssl-id.de/... bla ab. Mein Firefox sagt, das ist eine RC4 128bit-verschlüsselte Verbindung.
Komtm darauf an, mit welcher Verschlüsselung Dein SSL-Service arbeitet.
Guckst Du hier:
http://de.wikipedia.org/wiki/Transport_Layer_Security
und hier:
http://de.wikipedia.org/wiki/Advanced_Encryption_StandardAuf DES-Verschlüsselung solltest Du besser nicht vertrauen, die Amis lesen da aus dem Stand mit...
- Ist diese Verschlüsselung so gut, dass ich diese Seite bedenkenlos in einem offenen W-LAN oder bei einem nicht unbedingt vertrauenswürdigen W-LAN-Betreiber (z.B. irgendeine Kneipe) aufrufen und auch Daten mit der Seite austauschen kann?
Das komtm darauf an, wie Du den Schlüssel für das SSL Handshake Protocol austauschst, damit Dir da keiner 'was unterschieben kann,. Am besten, den Schlüssel auf USB-Stick bei sich haben.
- Kann der Betreiber des WLANs die URLs sehen?
Der "Betreiber des WLANS" ist außen vor, wenn der Betreiber der fremden PCs nicht irgendwas eingebaut hat, um Deine Eingaben zu scannen.
Die Verbindung wird zwischen Cleint und Server aufgebaut. Da ist es egal, wie unsicher die Strecke dazwischen ist. Dafür ist das Alert-Protocol zuständig, untergeschobene oder manipulierte Pakete zu erkennen.
- Ich rufe E-Mails über eine "SSL"-Verbindung (Port: 995) ab. Wie sieht es da mit der Sicherheit in offenen W-LANS aus?
Das ist das gleiche. Wenn Du Dein eigenens Notebook dafür verwendest, und da nichts scanbar ist (Display, Tastatur, Bus), ist es sicher.
- Angenommen, ich rufe eine gänzlich unverschlüsselte Seite auf oder sende eine unverschlüsselte E-Mail über eine unverschlüsselte Verbindung - aber das ganze über Handy per UMTS oder GPRS. Kann da ein lokaler Beobachter irgendwas abfangen?
Keine Ahnung, wie gut die Spionagegeräte dafür sind. Theoroetisch kann Dir immer jemand einen Access-Point vorgaukeln, wenn er genügend Information über Dein Handy besitzt.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Tach,
Auf DES-Verschlüsselung solltest Du besser nicht vertrauen, die Amis lesen da aus dem Stand mit...
ich schätze mal, dass du nicht einfaches 56-Bit-DES meinst, denn das ist tatsächlich als geknackt zu betrachten, oder? 3DES ist soweit ich weiß immer noch sicher, falls du auf Verschwörungstheorien hinaus willst, wüßte ich nicht, warum die der DES-Nachfolger AES lieber wäre.
- Ist diese Verschlüsselung so gut, dass ich diese Seite bedenkenlos in einem offenen W-LAN oder bei einem nicht unbedingt vertrauenswürdigen W-LAN-Betreiber (z.B. irgendeine Kneipe) aufrufen und auch Daten mit der Seite austauschen kann?
Das komtm darauf an, wie Du den Schlüssel für das SSL Handshake Protocol austauschst, damit Dir da keiner 'was unterschieben kann,. Am besten, den Schlüssel auf USB-Stick bei sich haben.
Äh was, wo soll da bitte der Angriffsvektor sein?
mfg
Woodfighter-
Hello,
Das komtm darauf an, wie Du den Schlüssel für das SSL Handshake Protocol austauschst, damit Dir da keiner 'was unterschieben kann,. Am besten, den Schlüssel auf USB-Stick bei sich haben.
Äh was, wo soll da bitte der Angriffsvektor sein?
Ich möchte schon wissen, ob ich mit meinem eigenen Server, oder mit einem Fake kommuniziere.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Tach,
Das komtm darauf an, wie Du den Schlüssel für das SSL Handshake Protocol austauschst, damit Dir da keiner 'was unterschieben kann,. Am besten, den Schlüssel auf USB-Stick bei sich haben.
Äh was, wo soll da bitte der Angriffsvektor sein?
Ich möchte schon wissen, ob ich mit meinem eigenen Server, oder mit einem Fake kommuniziere.
äh ja, deswegen nutzen wir ja die entsprechenden SSL-Infrastrukturen, wie unterschriebene Zertifikate. Da ändern sich die Angriffsvektoren in einem WLAN allerdings nicht im geringsten zu deinem DSL zu Hause.
mfg
Woodfighter-
Hello,
Das komtm darauf an, wie Du den Schlüssel für das SSL Handshake Protocol austauschst, damit Dir da keiner 'was unterschieben kann,. Am besten, den Schlüssel auf USB-Stick bei sich haben.
Äh was, wo soll da bitte der Angriffsvektor sein?
Ich möchte schon wissen, ob ich mit meinem eigenen Server, oder mit einem Fake kommuniziere.
äh ja, deswegen nutzen wir ja die entsprechenden SSL-Infrastrukturen, wie unterschriebene Zertifikate. Da ändern sich die Angriffsvektoren in einem WLAN allerdings nicht im geringsten zu deinem DSL zu Hause.
*äh*, wenn wir schon so anfangen :-)
Ich gehe erstmal immer von nicht zertifizierten Schlüsseln aus. Übrigens halte ich persönlich die Sicherheit für höher, wenn ich den Schlüssel mit mir rumschleppe, als wenn ich den von _irgendeinem_ Zertifizierer beziehe, oder irre ich mich da? Paranoia ist immer dann angebracht, wenn Dritte an der Zertifizierung der Verbindung beteiligt sind.
Dass der WLAN außen vor bleibt, hatte ich schon erwähnt!
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
-
Tach,
Ich gehe erstmal immer von nicht zertifizierten Schlüsseln aus.
dafür gab es beim Threadstarter keinen Grund. Er hat sogar angegeben welches Zertifikat er meint und es gibt keine "zertifizierten Schlüssel", du meinst unterschriebene Zertifikate einer anerkannten Zertifizierungsstelle. In Sicherheitsfragen ist genaues Ausdrücken wichtig.
Übrigens halte ich persönlich die Sicherheit für höher, wenn ich den Schlüssel mit mir rumschleppe, als wenn ich den von _irgendeinem_ Zertifizierer beziehe, oder irre ich mich da?
Du beziehst keine Schlüssel von dem "Zertifizierer" besser Unterschreibendem, also schon, aber nicht so wie du das hier formulierst. Hab gerade nicht die Zeit, dass detailliert auszuführen, vielleicht später.
Paranoia ist immer dann angebracht, wenn Dritte an der Zertifizierung der Verbindung beteiligt sind.
Paranoia ist immer angebracht, wenn es um Sicherheit geht.
Dass der WLAN außen vor bleibt, hatte ich schon erwähnt!
erst im Satz danach
mfg
Woodfighter
-
-
-
-
Tach,
- Ich rufe ab und an eine interne Administrationsseite über die Adresse https://ssl-id.de/... bla ab. Mein Firefox sagt, das ist eine RC4 128bit-verschlüsselte Verbindung.
- Ist diese Verschlüsselung so gut, dass ich diese Seite bedenkenlos in einem offenen W-LAN oder bei einem nicht unbedingt vertrauenswürdigen W-LAN-Betreiber (z.B. irgendeine Kneipe) aufrufen und auch Daten mit der Seite austauschen kann?
ja
- Kann der Betreiber des WLANs die URLs sehen?
nein
- Ich rufe E-Mails über eine "SSL"-Verbindung (Port: 995) ab. Wie sieht es da mit der Sicherheit in offenen W-LANS aus?
Auch hier ist SSL soweit als sicher zu betrachten.
- Angenommen, ich rufe eine gänzlich unverschlüsselte Seite auf oder sende eine unverschlüsselte E-Mail über eine unverschlüsselte Verbindung - aber das ganze über Handy per UMTS oder GPRS. Kann da ein lokaler Beobachter irgendwas abfangen?
UMTS eher nein (für einen umstehenden, nicht für den Netzbetreiber oder jemanden dahinter), GSM dürfte man inzwischen wohl als unsicher einstufen.
mfg
Woodfighter -
Moin!
- Ich rufe ab und an eine interne Administrationsseite über die Adresse https://ssl-id.de/... bla ab. Mein Firefox sagt, das ist eine RC4 128bit-verschlüsselte Verbindung.
- Ist diese Verschlüsselung so gut, dass ich diese Seite bedenkenlos in einem offenen W-LAN oder bei einem nicht unbedingt vertrauenswürdigen W-LAN-Betreiber (z.B. irgendeine Kneipe) aufrufen und auch Daten mit der Seite austauschen kann?
Die Verschlüsselung: ja.
Die Umgebung, die ja Augen oder gar Kameras hat: nein- Kann der Betreiber des WLANs die URLs sehen?
Ja.
- Ich rufe E-Mails über eine "SSL"-Verbindung (Port: 995) ab. Wie sieht es da mit der Sicherheit in offenen W-LANS aus?
Dito.
- Angenommen, ich rufe eine gänzlich unverschlüsselte Seite auf oder sende eine unverschlüsselte E-Mail über eine unverschlüsselte Verbindung - aber das ganze über Handy per UMTS oder GPRS. Kann da ein lokaler Beobachter irgendwas abfangen?
Die GPRS-eigene Verschlüsselung gilt als geknackt. Der nötige IMSI-Catcher ist billig zu haben.
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix
-
Tach,
- Kann der Betreiber des WLANs die URLs sehen?
Ja.
wie ich sagte, nein: HTTPS verschlüsselt den kompletten HTTP-Datenverkehr.
Die GPRS-eigene Verschlüsselung gilt als geknackt. Der nötige IMSI-Catcher ist billig zu haben.
Nicht GPRS sondern GSM.
mfg
Woodfighter-
Moin!
Tach,
- Kann der Betreiber des WLANs die URLs sehen?
Ja.
wie ich sagte, nein: HTTPS verschlüsselt den kompletten HTTP-Datenverkehr.
Ja. Da haben sich unsere Korrekturen zeitlich überschnitten.
Die GPRS-eigene Verschlüsselung gilt als geknackt. Der nötige IMSI-Catcher ist billig zu haben.
Nicht GPRS sondern GSM.
Letzten Satz im ersten Artikel lesen.
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix
-
Tach,
Nicht GPRS sondern GSM.
Letzten Satz im ersten Artikel lesen.
Dürfte demnächst geknackt werden, nicht ist geknackt; ich habe den besprochenen Vortrag live gesehen, so ganz einfach ist das auch noch nicht und mir sind bisher keine neuen Erkenntnisse zu GPRS bekannt.
mfg
Woodfighter-
Moin!
Tach,
Nicht GPRS sondern GSM.
Letzten Satz im ersten Artikel lesen.
Dürfte demnächst geknackt werden, nicht ist geknackt; ich habe den besprochenen Vortrag live gesehen, so ganz einfach ist das auch noch nicht und mir sind bisher keine neuen Erkenntnisse zu GPRS bekannt.
Ich hatte geschrieben "gilt als geknackt". Dieser Zustand tritt vor dem Beweis, dass es geknackt ist, ein. Nämlich zwischen der Entdeckung einer Lücke im Algorithmus und der Demonstration, dass er geknackt ist. Inzwischen können nämlich Kriminelle, Geheimdienste oder "wirtschaftlich Interessierte" das Wissen haben, nur die Öffentlichkeit nicht.
Ja, ich bin manchmal ein "Wortklauber".
Zitat aus dem "Letzten Satz im ersten Artikel":
"Die vergleichsweise einfache Knackbarkeit des Algorithmus dürfte laut Nohl auch Kettenwirkungen etwa auf GPRS und 3G-Netzwerke ausüben, da dort ebenfalls Verschlüsselungsstandards aus der A5-Familie im Spiel seien."MFFG (Mit freundlich- friedfertigem Grinsen)
fastix
-
Tach,
Ich hatte geschrieben "gilt als geknackt". Dieser Zustand tritt vor dem Beweis, dass es geknackt ist, ein.
da hast du wohl recht.
Inzwischen können nämlich Kriminelle, Geheimdienste oder "wirtschaftlich Interessierte" das Wissen haben, nur die Öffentlichkeit nicht.
Bisher gibt es allerdings keine konkreten Anhaltspunkte dafür.
Zitat aus dem "Letzten Satz im ersten Artikel":
"Die vergleichsweise einfache Knackbarkeit des Algorithmus dürfte laut Nohl auch Kettenwirkungen etwa auf GPRS und 3G-Netzwerke ausüben, da dort ebenfalls Verschlüsselungsstandards aus der A5-Familie im Spiel seien."Bisher würde ich weder das eine noch das andere mit "gilt als geknackt" bezeichnen, wie kurzfristig die Kettenwirkung ist, hat Karsten ja auch nicht erwähnt.
mfg
Woodfighter
-
-
-
Moin!
- Kann der Betreiber des WLANs die URLs sehen?
Ja.
Genauer: Teilweise. Er kann herausfinden zu welchem Rechner Verbindungen aufgebaut wurden. Bei ssl-id.net (das ist ein SSL-Proxy von Strato) nützt ihm das allerdings nur wenig.
MFFG (Mit freundlich- friedfertigem Grinsen)
fastix
-
Tach,
- Kann der Betreiber des WLANs die URLs sehen?
Ja.
Genauer: Teilweise. Er kann herausfinden zu welchem Rechner Verbindungen aufgebaut wurden. Bei ssl-id.net (das ist ein SSL-Proxy von Strato) nützt ihm das allerdings nur wenig.
noch genauer: beim HTTPS-Request kann er nur die IP sehen; da DNS allerdings in der Regel unverschlüsselt und unsigniert übertragen wird, kann man mit einer etwas längeren Betrachtung vermutlich den Hostnamen in Erfahrung bringen.
mfg
Woodfighter