Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #302901 > unrolled thread

Spam steigt wieder stark an

Back to article view | Back to ger.ct

Contents

  Spam steigt wieder stark an "Dr. Joachim Neudert" <neudert@5sl.org> - 2017-03-23 19:01 +0100
    Re: Spam steigt wieder stark an Dr. Joachim Neudert <neudert@5sl.org> - 2017-03-23 19:24 +0000
      Re: Spam steigt wieder stark an Stephan Bumberger <bumberger@gmx.de> - 2017-03-24 00:36 +0100
    Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-24 07:33 +0000
      Re: Spam steigt wieder stark an "Dr. Joachim Neudert" <neudert@5sl.org> - 2017-03-24 09:15 +0100
        Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-24 08:22 +0000
          Re: Spam steigt wieder stark an Matthias Eißing <meissing@gmx.de> - 2017-03-24 11:04 +0100
            Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-25 07:16 +0000
              Re: Spam steigt wieder stark an Matthias Eißing <meissing@gmx.de> - 2017-03-25 08:56 +0000
                Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-26 11:52 +0000
                  Re: Spam steigt wieder stark an Matthias Eißing <meissing@gmx.de> - 2017-03-29 10:22 +0200
        Re: Spam steigt wieder stark an Michael Bode <m.g.bode@web.de> - 2017-03-24 15:20 +0100
          Re: Spam steigt wieder stark an Dr. Joachim Neudert <neudert@5sl.org> - 2017-03-24 14:35 +0000
            Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-25 09:58 +0100
          Re: Spam steigt wieder stark an Thomas Gohel <gohel@basicguru.de> - 2017-03-24 15:52 +0100
            Re: Spam steigt wieder stark an Holger Marzen <holger@marzen.de> - 2017-03-24 15:24 +0000
              Re: Spam steigt wieder stark an Michael Bode <m.g.bode@web.de> - 2017-03-24 16:35 +0100
            Re: Spam steigt wieder stark an Michael Bode <m.g.bode@web.de> - 2017-03-24 16:30 +0100
          Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-25 07:28 +0000
      Re: Spam steigt wieder stark an Stefan+Usenet@Froehlich.Priv.at (Stefan Froehlich) - 2017-03-24 09:46 +0000
        Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-25 07:21 +0000
          Re: Spam steigt wieder stark an Dietz Proepper <dietz-news@rotfl.franken.de> - 2017-03-25 13:59 +0100
            Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-26 12:10 +0000
              Re: Spam steigt wieder stark an Dietz Proepper <dietz-news@rotfl.franken.de> - 2017-03-26 15:31 +0200
                Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-27 10:50 +0000
    Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-24 07:58 +0000
      Re: Spam steigt wieder stark an Ruediger Lahl <ruediger.lahl@gmx.de> - 2017-03-24 09:14 +0100
        Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-24 08:41 +0000
          Re: Spam steigt wieder stark an Ruediger Lahl <ruediger.lahl@gmx.de> - 2017-03-24 10:12 +0100
      Re: Spam steigt wieder stark an Dorothee Hermann <DorotheeHermann@gmx.net> - 2017-03-24 11:31 +0100
        Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-25 07:19 +0000
          Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-25 09:53 +0100
            Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-26 12:06 +0000
              Re: Spam steigt wieder stark an Rainer Fonrobert <rfonrobert@vodafone.de> - 2017-03-27 01:17 +0200
              Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-27 11:06 +0000
          Re: Spam steigt wieder stark an Ruediger Lahl <ruediger.lahl@gmx.de> - 2017-03-25 11:14 +0100
            Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-26 12:07 +0000
              Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-27 23:30 +0200
                Re: Spam steigt wieder stark an "Juergen P. Meier" <nospam-1984@jors.net> - 2017-03-29 04:31 +0000
                  Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 07:09 +0200
    Re: Spam steigt wieder stark an DonCaron <d.caron2000@gmail.com> - 2017-03-24 09:24 +0100
    Re: Spam steigt wieder stark an Ruediger Lahl <ruediger.lahl@gmx.de> - 2017-03-26 01:09 +0100
    Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-27 23:37 +0200
      Re: Spam steigt wieder stark an Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2017-03-28 20:13 +0200
      Re: Spam steigt wieder stark an Hermann Riemann <nospam.gerct08@hermann-riemann.de> - 2017-03-29 06:30 +0200
        Re: Spam steigt wieder stark an Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 07:11 +0200
          Re: Atari ST (was: Spam steigt wieder stark an) Hermann Riemann <nospam.gerct08@hermann-riemann.de> - 2017-03-29 07:49 +0200
            Re: Atari ST Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 08:20 +0200
              Re: Atari ST Hermann Riemann <nospam.gerct08@hermann-riemann.de> - 2017-03-29 10:55 +0200
                Re: Atari ST Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2017-03-29 11:01 +0200
                Re: Atari ST Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 11:28 +0200
                  Re: Atari ST Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 13:40 +0200
                    Re: Atari ST Mike Grantz <experiment2@wiebringtmaneinenaffendazugeldzuverschwenden.de> - 2017-03-29 13:49 +0200
        Re: Spam steigt wieder stark an Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2017-03-29 10:11 +0200
          Re: Spam steigt wieder stark an Jörg Tewes <jogi1964@gmx.net> - 2017-03-31 21:29 +0200

Page 1 of 3  [1] 2 3  Next page →

#302901 — Spam steigt wieder stark an

Im November waren es schon mal 80 Spams/Minute.

Januar/Februar war es richtig ruhig, da wurden wohl paar Botnetze
dichtgemacht. Um/unter 10/min.

Jetzt im März steigt es wieder, am Montag bis zu 150/min Greylisted (idR
Spam) auf unserem Mailserver:


https://webmail.5sl.org/cgi-bin/mailgraph.cgi

Die unterste Grafik als erstes ansehen.

eMail. Ich liebe es.

[toc] | [next] | [standalone]

#302910

Bernd Ullrich <ullrich_bernd@hotmail.com> wrote:
> Am 23.03.2017 um 19:01 schrieb Dr. Joachim Neudert:
>> Im November waren es schon mal 80 Spams/Minute.
>> 
>> Januar/Februar war es richtig ruhig, da wurden wohl paar Botnetze
>> dichtgemacht. Um/unter 10/min.
>> 
>> Jetzt im MÀrz steigt es wieder, am Montag bis zu 150/min Greylisted (idR
>> Spam) auf unserem Mailserver:
>> 
>> 
>> https://webmail.5sl.org/cgi-bin/mailgraph.cgi
> 
>  "
> Es besteht ein Problem mit dem Sicherheitszertifikat der Website.
> 
> 
> Das Sicherheitszertifikat dieser Website enthält Fehler und ist deshalb 
> nicht vertrauenswürdig.
> Die Sicherheitszertifikatprobleme deuten eventuell auf den Versuch hin, 
> Sie auszutricksen bzw. Daten die Sie an den Server gesendet haben 
> abzufangen.
> 
> Es wird empfohlen, dass Sie die Webseite schließen und nicht zu dieser 
> Website wechseln.
> 
> 
> Recommended iconKlicken Sie hier, um diese Webseite zu schließen.
> 
> 
> Symbol für nicht empfohlenLaden dieser Website fortsetzen (nicht 
> empfohlen).
> 
> 
> 
> Weitere Informationen   Weitere Informationen "
> 
> huch...
> 
> 
> 
> 
>> Die unterste Grafik als erstes ansehen.
>> 
>> eMail. Ich liebe es.
>> 
> 
> 

Wir kaufen kein Zertifikat. 

-- 
please forgive my iPhone typos -sent via Newstap

[toc] | [prev] | [next] | [standalone]

#302937

Am 23.03.2017 um 20:24 schrieb Dr. Joachim Neudert:

> Wir kaufen kein Zertifikat. 

Herrsching liegt doch gar nicht in Schwaben. Dachte ich zumindest.

Aber man baut in Herrsching auch keine gescheiten Sporthallen, da geht
man lieber nach Innsbruck.

http://www.br.de/themen/sport/inhalt/volleyball/herrsching-zieht-positive-bilanz100.html

-- 
Stephan

[toc] | [prev] | [next] | [standalone]

#302959

Bernd Ullrich <ullrich_bernd@hotmail.com>:
> Am 23.03.2017 um 19:01 schrieb Dr. Joachim Neudert:
>> Im November waren es schon mal 80 Spams/Minute.
>>
>> Januar/Februar war es richtig ruhig, da wurden wohl paar Botnetze
>> dichtgemacht. Um/unter 10/min.
>>
>> Jetzt im MÀrz steigt es wieder, am Montag bis zu 150/min Greylisted (idR
>> Spam) auf unserem Mailserver:
>>
>>
>> https://webmail.5sl.org/cgi-bin/mailgraph.cgi
>
>   "
> Es besteht ein Problem mit dem Sicherheitszertifikat der Website.

Unsinn. Dein Browser macht dir was vor.

> Es wird empfohlen, dass Sie die Webseite schließen und nicht zu dieser 
> Website wechseln.

Falsch.

Richtig waere:

Du kontaktierst Joachim (als Betreiber bzw. Inhaber des Servers)
und verifizierst Out-of-Band (z.B. per E-Mail, oder Telefon) den
Fingerprint des Zertifikates (also ob das auch wirklich das des
echten Servers ist).

Nach erfolgter Pruefung stellst du dir die Frage, ob du Bereit bist,
Joachim mehr oder weniger Vertrauen bezueglich seiner Faehigkeit, die
Authnentizitaet seines eigenen Webservers zu beglaubigen, einzugestehen,
als z.B. der Faehigkeit der derzeit von Minister Erdogan kontrollierten
CA des Tuerkischen Militaers darin, die Echtheit potentiell *aller*
Webserver weltweit mit denen du Kommunizierst zu beglaubigen.

Wenn du glaubst Joachim mehr vertrauen zu koennen als z.B. dem
tuerkischen Praesidenten, dann solltest du sein Zertifikat bei dir
im System-Zertifikatsspeicher (bzw. dem des Browsers wenn du Firefox
nutzt) als "Vertrauenswuerdiges Stammzertifikat" hinterlegen. genau
dort, wo auch das des tuerkischen Militaers als vertrauenswuerdige
Stammzertifizierungsstelle schon ab Werk hinterlegt ist.

(Ich haettes das Beispiel auch mit der CA der Indischen Regierung*
[die per Gesetz jeden dazu zwingt, Hintertueren in seine Crypto
einzubauen bzw. Nachschluessel bereitzustellen, der in Indien
Geschaeft machen will], oder dem Chinesischen Handelsministeriums
machen koennen, aber die sind ueberraschenderweise nicht in allen
Herstellerseitig vorgegebenen Zerfikiatsspeichern vorhanden.
Lustigerweise haben sich diese potentiellen Escrow-CAs in der
Vergangenheit ueberraschenderweise als tatsaechlich vertrauenswuerdiger
herausgestellt als die grossen Komerz-CAs im Dunstkreis um Verislime)

* Zu diesem Thema (kategorie "Ach!"):
http://www.pcworld.com/article/2453343/microsoft-revokes-trust-in-certificate-authority-operated-by-the-indian-government.html

Juergen
-- 
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems.  (Bruce Schneier)

[toc] | [prev] | [next] | [standalone]

#302968

Am 24.03.17 um 08:33 schrieb Juergen P. Meier:
> Bernd Ullrich <ullrich_bernd@hotmail.com>:
>> Am 23.03.2017 um 19:01 schrieb Dr. Joachim Neudert:
>>> Im November waren es schon mal 80 Spams/Minute.
>>>
>>> Januar/Februar war es richtig ruhig, da wurden wohl paar Botnetze
>>> dichtgemacht. Um/unter 10/min.
>>>
>>> Jetzt im MÀrz steigt es wieder, am Montag bis zu 150/min Greylisted (idR
>>> Spam) auf unserem Mailserver:
>>>
>>>
>>> https://webmail.5sl.org/cgi-bin/mailgraph.cgi
>>
>>   "
>> Es besteht ein Problem mit dem Sicherheitszertifikat der Website.
> 
> Unsinn. Dein Browser macht dir was vor.
> 
>> Es wird empfohlen, dass Sie die Webseite schließen und nicht zu dieser 
>> Website wechseln.
> 
> Falsch.
> 
> Richtig waere:
> 
> Du kontaktierst Joachim (als Betreiber bzw. Inhaber des Servers)
> und verifizierst Out-of-Band (z.B. per E-Mail, oder Telefon) den
> Fingerprint des Zertifikates (also ob das auch wirklich das des
> echten Servers ist).
> 
> Nach erfolgter Pruefung stellst du dir die Frage, ob du Bereit bist,
> Joachim mehr oder weniger Vertrauen bezueglich seiner Faehigkeit, die
> Authnentizitaet seines eigenen Webservers zu beglaubigen, einzugestehen,
> als z.B. der Faehigkeit der derzeit von Minister Erdogan kontrollierten
> CA des Tuerkischen Militaers darin, die Echtheit potentiell *aller*
> Webserver weltweit mit denen du Kommunizierst zu beglaubigen.
> 
> Wenn du glaubst Joachim mehr vertrauen zu koennen als z.B. dem
> tuerkischen Praesidenten, dann solltest du sein Zertifikat bei dir
> im System-Zertifikatsspeicher (bzw. dem des Browsers wenn du Firefox
> nutzt) als "Vertrauenswuerdiges Stammzertifikat" hinterlegen. genau
> dort, wo auch das des tuerkischen Militaers als vertrauenswuerdige
> Stammzertifizierungsstelle schon ab Werk hinterlegt ist.
> 
> (Ich haettes das Beispiel auch mit der CA der Indischen Regierung*
> [die per Gesetz jeden dazu zwingt, Hintertueren in seine Crypto
> einzubauen bzw. Nachschluessel bereitzustellen, der in Indien
> Geschaeft machen will], oder dem Chinesischen Handelsministeriums
> machen koennen, aber die sind ueberraschenderweise nicht in allen
> Herstellerseitig vorgegebenen Zerfikiatsspeichern vorhanden.
> Lustigerweise haben sich diese potentiellen Escrow-CAs in der
> Vergangenheit ueberraschenderweise als tatsaechlich vertrauenswuerdiger
> herausgestellt als die grossen Komerz-CAs im Dunstkreis um Verislime)
> 
> * Zu diesem Thema (kategorie "Ach!"):
> http://www.pcworld.com/article/2453343/microsoft-revokes-trust-in-certificate-authority-operated-by-the-indian-government.html
> 
> Juergen
> 

Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten nur
soviel: ch traue ihnen überhaupt nicht).
Weil ich (bzw. unser Bürgernetz)  80 $ an eine US-Lizenzierungsfirma
zahle, wird unsere  Website plötzlich genau wie sicherer und
vertrauenswürdiger? Und warum?

Diese selbstgebastelten Zertifikate (ich hab mich damit nicht
beschäftigt, das machen bei uns andere, ich hab wirklich KEINE Ahnung
von Zertifikaten) sind wenigstens kostenlos, also können sie nicht ganz
schlecht sein (so wie das Backup des BOFH an /dev/null, das wenigstens
sofort fertig ist, also auch nicht ganz schlecht sein kann...)


Übrigens ist das eh' keine Web-Seite für die Öffentlichkeit. Wer sie
nicht anschauen will, der hat schon.

Gruß Joachim

[toc] | [prev] | [next] | [standalone]

#302972

Dr. Joachim Neudert <neudert@5sl.org>:
> Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten nur
> soviel: ch traue ihnen überhaupt nicht).
> Weil ich (bzw. unser Bürgernetz)  80 $ an eine US-Lizenzierungsfirma
> zahle, wird unsere  Website plötzlich genau wie sicherer und
> vertrauenswürdiger? Und warum?

Jemand, der *weis*, dass eure Buergernetzseite von einer Komerziellen
CA authentifiziert wird, der kann so nicht mehr von einem MitM getaeuscht
werden, der den Verkehr zwischen ihm und eurem Webserver kontrolliert.

Soweit die Theorie.

In der Praxis laesst sich der MitM einfach ein passendes Zertifikat
von einer der drei Dutzend per Default "vertrauenswuerdigen" CAs
ausstellen.

Oder er sorgt einfach dafuer, dass sein Zertifikat beim Anwender als
Vertrauenswuerdig hinterlegt wird (da gibt es mehrere Vektoren fuer).

Oder er vertraut einfach nur darauf, dass der Anwender schon auf
"Ausnahme machen, ungueltiges Zertifikat ignorieren" klickt.

Oder er degradiert die Webseite zu http.

Oder er leitet den Verkehr auf einen Reverse-Proxy mit voellig
validem Zertifikat um, den er z.B. unter *seiner* Domain
	5s1.org
(ist gerade frei, kann man sich fuer 0 Euro schnappen!)
betreibt und dort per stinknormalem URL-Rewriting (Reverse Proxy
halt) den Content euerer Webseite anbietet.
Die meisten Honks sind eh zu Bloed den Utnerschied zwischen 1 und l
in einer ansonsten *Gruen hinterlegten* Adresszeile im Browser zu erkennen.

Und das waren erstmal nur die *einfachen* (=Billigen) Angriffe die
einem Angreifer genau 0 Euro Investitionskosten abverlangen.

Der Reverse-Proxy Angriff ueberlistet auch das "Certificate Pinning"
vom Google Chrome Browser.

> Diese selbstgebastelten Zertifikate (ich hab mich damit nicht
> beschäftigt, das machen bei uns andere, ich hab wirklich KEINE Ahnung
> von Zertifikaten) sind wenigstens kostenlos, also können sie nicht ganz
> schlecht sein (so wie das Backup des BOFH an /dev/null, das wenigstens
> sofort fertig ist, also auch nicht ganz schlecht sein kann...)

Was kann jemand erreichen, der die Kommunikation zwischen einem
Webclient und eurem Webserver aufbricht und so den Inhalt mitlesen und
manipulieren kann?

Wieviel Schaden kann er anrichten? (In Euro).

-> Ist dieser Betrag signifikant* hoeher als die Kosten?

Wie hoch ist seine Motivation (wieviel Geld wird er vermutlich
ausgeben wollen)?

-> Erhoeht deine Massnahme /seine/ Kosten um einen signifikanten* Betrag?

Das sind die Fragen, die man stellen muss.

Komerz-CAs lenken davon natuerlich ab, denn solche UEberlegungen
ruinieren nur ihre Geschaeftsmodelle.

* klassische Versicherungsarithmetik. Frage einen
Versicherungsfachwirt deines geringsten Mistrauens nach Details.

Juergen
-- 
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems.  (Bruce Schneier)

[toc] | [prev] | [next] | [standalone]

#302991

Am 24.03.17 um 09:22 schrieb Juergen P. Meier:
> In der Praxis laesst sich der MitM einfach ein passendes Zertifikat
> von einer der drei Dutzend per Default "vertrauenswuerdigen" CAs
> ausstellen.

So einfach ist das nicht, da die Browser (zumindest die guten) das 
Zertifikat überprüfen.

(Ja. Das DLP Zertifikat von Trustwave ist längst zurückgezogen)

-- 
cu://Matthias.Eißing.de

[toc] | [prev] | [next] | [standalone]

#303129

Matthias Eißing <meissing@gmx.de>:
> Am 24.03.17 um 09:22 schrieb Juergen P. Meier:
>> In der Praxis laesst sich der MitM einfach ein passendes Zertifikat
>> von einer der drei Dutzend per Default "vertrauenswuerdigen" CAs
>> ausstellen.
>
> So einfach ist das nicht, da die Browser (zumindest die guten) das 
> Zertifikat überprüfen.

Und? Verisign behauptet das Zertifikat von Evil Achmed fuer die
Wegseite "www.opfer.tld" sei gueltig.

Genau das sagt dir dein Browser.

> (Ja. Das DLP Zertifikat von Trustwave ist längst zurückgezogen)

Bis zur Revocation ist das Zertfikat gueltig.

Bonusfrage:

Was macht *dein* Lieblingsbrowser, wenn er die CRL bzw. den
OCSP=Responder nicht erreichen kann (z.B. weil der MitM diesen Zugriff
blockiert)?

Bonusfrage 2:

Was macht *dein* Lieblingsbrowser, wenn er vom OCSP-Repsonder die
immer nur die Antwort "3" Bekommt?

Kommt dann auch eine "Zerfifikat moeglicherwiese Ungueltig!!!1elf"
Warnung?

Nein?

Wieso nicht?

[toc] | [prev] | [next] | [standalone]

#303137

Juergen P. Meier <nospam-1984@jors.net> wrote:
> Matthias Eißing <meissing@gmx.de>:
>> Am 24.03.17 um 09:22 schrieb Juergen P. Meier:
>>> In der Praxis laesst sich der MitM einfach ein passendes Zertifikat
>>> von einer der drei Dutzend per Default "vertrauenswuerdigen" CAs
>>> ausstellen.
>> 
>> So einfach ist das nicht, da die Browser (zumindest die guten) das 
>> Zertifikat überprüfen.
> 
> Und? Verisign behauptet das Zertifikat von Evil Achmed fuer die
> Wegseite "www.opfer.tld" sei gueltig.

Und was hat das mit MitM zu tun?

Wenn man auf www.meinebank.de geht im Ggs zu www.opfer.tld?

> Was macht *dein* Lieblingsbrowser, wenn er die CRL bzw. den
> OCSP=Responder nicht erreichen kann (z.B. weil der MitM diesen Zugriff
> blockiert)?

CRLs werden von Firefox und Chrome nicht verwertet. Ich nutze beide nicht
:-)
OCSPs müssen in x ms beantwortet werden. Bei einem Timeout muss der Browser
entscheiden, was zu tun ist.

Auch können OCSP Antworten wiederum mithilfe des CA Zertifikats überprüft
werden....Und Stapling für die Performance existiert auch noch. 

...so einfach ist es also nicht. 

-- 
cu://Matthias.Eißing.de@iOS

[toc] | [prev] | [next] | [standalone]

#303318

Matthias Eißing <meissing@gmx.de>:
> Juergen P. Meier <nospam-1984@jors.net> wrote:
>> Matthias Eißing <meissing@gmx.de>:
>>> Am 24.03.17 um 09:22 schrieb Juergen P. Meier:
>>>> In der Praxis laesst sich der MitM einfach ein passendes Zertifikat
>>>> von einer der drei Dutzend per Default "vertrauenswuerdigen" CAs
>>>> ausstellen.
>>> 
>>> So einfach ist das nicht, da die Browser (zumindest die guten) das 
>>> Zertifikat überprüfen.
>> 
>> Und? Verisign behauptet das Zertifikat von Evil Achmed fuer die
>> Wegseite "www.opfer.tld" sei gueltig.
>
> Und was hat das mit MitM zu tun?

Der MitM muss nur Verisign davon ueberzeugen, dass er "Opfer" ist und
seinen Zertifikatsrequest fuer "www.opfer.tld" zu signieren.

Das letzte mal als ich mir diesen Vektor anschaute, reichte dafuer der
Besitz eines analogen Fax-geraetes aus. (die gibts auf dem Sperrmuell
kostenlos, also traegt das keinen Cent zu den Angriffskosten bei!)

> Wenn man auf www.meinebank.de geht im Ggs zu www.opfer.tld?

"opfer.tld" war ein platzhalter fuer www.meinebank.de in deinem Fall.

Ich dachte das waere klar. sorry, genauer: der Angreifer erschleicht sich
ein Zertifikat fuer die Webseite der du vertraust.

>> Was macht *dein* Lieblingsbrowser, wenn er die CRL bzw. den
>> OCSP=Responder nicht erreichen kann (z.B. weil der MitM diesen Zugriff
>> blockiert)?
>
> CRLs werden von Firefox und Chrome nicht verwertet. Ich nutze beide nicht
>:-)

D.h. *dein* Browser lernt niemals, dass die CA den Betrug bemerkt hat und
das ausgestellte Zertifikat laengst zurueck gezogen hat.

Macht nix, denn das tut er auch im Fall des Angriffs durch einen MitM,
der einfach den Zugriff auf die CRL die den Revocation-Status seines
ansonsten gueltiges Zertifikats dokumentiert.

Dein Browser bekommt beim versuch die CRL zu laden einfach ein 420 Try
again later oder 520 Server Error, und tut so als ob das Zertifikat
gueltig sei, obwohl er den Revozierungsstatus gar nicht verifizieren
konnte. (= Defaulteinstellung)

> OCSPs müssen in x ms beantwortet werden. Bei einem Timeout muss der Browser
> entscheiden, was zu tun ist.

Ach.

Zum Glueck kann man das bei den meisten Browsern konfigurieren.

Wenn du aber mal OCSP Erzwingst (schalte das bitte mal ein!), dann
wirst du mit der Zeit festellen, dass durchaus nicht selten Fehler
auftreten und du auf SEiten und Content nicht zugreifen kannst, weil
OCSP versagt.

So meine Beobachtung 2015. Evtl hat sich das mittlerweile gebessert,
der Betrieb eines eigenen Caching OCSP Responders hilft auch, aber wer
hat das schon zuhause?

> Auch können OCSP Antworten wiederum mithilfe des CA Zertifikats überprüft
> werden....Und Stapling für die Performance existiert auch noch. 

Stapling hilft dir nichts wenn der OCSP Responder "3" Antwortet. Denn
diese Antwort ist per (Standard) Definition Unsigniert.

> ...so einfach ist es also nicht. 

Schau doch mal, was dein Browser genau macht, wenn ihm der OCSP
Responder mit "3" Antwortet.

Er hat 2 Moeglichkeiten:
	1) er erklaert das Zertifikat fuer Gueltig, weil er den
Status nicht pruefen konnte
	2) er erklaert das Zertifikat fuer Ungueltig, weil er den
Status nicht pruefen konnte

Das ist ein anderer Zustand als oben wo der OCSP responder garnicht
antwortet. Denn die Antwort "3" ist nach Standard gueltig!

OCSP Response Code 3 ist in etwa "Service unavailable, please try again
later" im OSCP Protokoll. Ohne Server-Signatur weil sie dazu gedacht
ist bei einer Stoerung im Server dem Client mitzuteilen, dass der
Server probleme hat, u.A. auch dann wenn das Signieren nicht klappt.

Genau deswegen laesst sich diese OCSP repsponse aber auch faelschen.
(alle anderne OCSP Responses sind faelschungssicher weil signiert)

Juergen
-- 
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems.  (Bruce Schneier)

[toc] | [prev] | [next] | [standalone]

#303667

Am 26.03.17 um 13:52 schrieb Juergen P. Meier:

>> Und was hat das mit MitM zu tun?
>
> Der MitM muss nur Verisign davon ueberzeugen, dass er "Opfer" ist und
> seinen Zertifikatsrequest fuer "www.opfer.tld" zu signieren.

Wie gesagt: Einfach ist das nicht....

> D.h. *dein* Browser lernt niemals, dass die CA den Betrug bemerkt hat und
> das ausgestellte Zertifikat laengst zurueck gezogen hat.

Meinen Browser kann ich dahingehend konfigurieren. Und die Überprüfung 
von Zertifikaten erzwingen. So what.....

> Wenn du aber mal OCSP Erzwingst (schalte das bitte mal ein!), dann
> wirst du mit der Zeit festellen, dass durchaus nicht selten Fehler
> auftreten und du auf SEiten und Content nicht zugreifen kannst, weil
> OCSP versagt.

Ach..... Nach "E-Mail kaputt" jetzt auch "OCSP kaputt"?
Warum verwenden wir diesen Scheiß eigentlich noch?

Klar. Es gibt Schwachstellen.... Ein "tryLater" aber als "OK" zu 
übersetzen ist eine Schwachstelle der Clientimplementierung.

Du bist also als "MitM" auf die Clientimplementierung/Browser angewiesen.

Einfach ist das nicht.....

-- 
cu://Matthias.Eißing.de

[toc] | [prev] | [next] | [standalone]

#303064

Am 24.03.2017 um 09:15 schrieb Dr. Joachim Neudert:

> Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten nur
> soviel: ch traue ihnen überhaupt nicht).
> Weil ich (bzw. unser Bürgernetz)  80 $ an eine US-Lizenzierungsfirma
> zahle, wird unsere  Website plötzlich genau wie sicherer und
> vertrauenswürdiger? Und warum?
> 
> Diese selbstgebastelten Zertifikate (ich hab mich damit nicht
> beschäftigt, das machen bei uns andere, ich hab wirklich KEINE Ahnung
> von Zertifikaten) sind wenigstens kostenlos, also können sie nicht ganz
> schlecht sein (so wie das Backup des BOFH an /dev/null, das wenigstens
> sofort fertig ist, also auch nicht ganz schlecht sein kann...)

Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem eh
jeder eine Warnung weg klicken muss, kann man es doch auch einfach ganz
lassen. Wo ist der Vorteil? Dass sich euer Webmaster ein bisschen mit
einem Thema beschäftigen kann, das er sowieso nicht ernst nimmt? Dass
Besucher der Seite die Warnung zum Anlass nehmen, sich endlich mal mit
Public Key Crypto und der CA Hierarchie zu beschäftigen, glaubst du ja
wohl auch nicht. Macht es doch einfach weg.

[toc] | [prev] | [next] | [standalone]

#303069

Michael Bode <m.g.bode@web.de> wrote:
> Am 24.03.2017 um 09:15 schrieb Dr. Joachim Neudert:
> 
>> Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten nur
>> soviel: ch traue ihnen überhaupt nicht).
>> Weil ich (bzw. unser Bürgernetz)  80 $ an eine US-Lizenzierungsfirma
>> zahle, wird unsere  Website plötzlich genau wie sicherer und
>> vertrauenswürdiger? Und warum?
>> 
>> Diese selbstgebastelten Zertifikate (ich hab mich damit nicht
>> beschäftigt, das machen bei uns andere, ich hab wirklich KEINE Ahnung
>> von Zertifikaten) sind wenigstens kostenlos, also können sie nicht ganz
>> schlecht sein (so wie das Backup des BOFH an /dev/null, das wenigstens
>> sofort fertig ist, also auch nicht ganz schlecht sein kann...)
> 
> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem eh
> jeder eine Warnung weg klicken muss, kann man es doch auch einfach ganz
> lassen. Wo ist der Vorteil? Dass sich euer Webmaster ein bisschen mit
> einem Thema beschäftigen kann, das er sowieso nicht ernst nimmt? Dass
> Besucher der Seite die Warnung zum Anlass nehmen, sich endlich mal mit
> Public Key Crypto und der CA Hierarchie zu beschäftigen, glaubst du ja
> wohl auch nicht. Macht es doch einfach weg.
> 
> 

Das war mir gar nicht aufgefallen daß es https ist, also SSL kodiert ist.
War kein böser Wille, irgendwo ein Default im Apache, den niemand extra
abgeschaltet hat. Wie gesagt, eigentlich ist es nur eine interne Seite, die
auch nirgends verlinkt wird.

Hat eigentlich irgendjemand was zu dem Peak von 170 Spam-Mails pro Minute
im März 2017 zu bemerken? Der Teil ist OK, oder?

-- 
please forgive my iPhone typos -sent via Newstap

[toc] | [prev] | [next] | [standalone]

#303138

On 24.03.2017 15:35, Dr. Joachim Neudert wrote:

 > Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten 
 > nur soviel: ch traue ihnen überhaupt nicht).

> Das war mir gar nicht aufgefallen daß es https ist, also SSL kodiert ist.
> War kein böser Wille, irgendwo ein Default im Apache, den niemand extra
> abgeschaltet hat. Wie gesagt, eigentlich ist es nur eine interne Seite, die
> auch nirgends verlinkt wird.
>
> Hat eigentlich irgendjemand was zu dem Peak von 170 Spam-Mails pro Minute
> im März 2017 zu bemerken? Der Teil ist OK, oder?

Mhm, alles was du glauben willst. Oder das Gegenteil. Hauptsache du bist 
glücklich.

"Mein Tacho im Brumbrum geht bis 170, das ist OK, oder?"

[toc] | [prev] | [next] | [standalone]

#303073

Hallo Michael,

> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem
> eh jeder eine Warnung weg klicken muss, kann man es doch auch einfach
> ganz lassen. Wo ist der Vorteil?

Ganz einfach: Man weiß, dass es sich um sein eigenes Zertifikat handelt
und kann es auch per Fingerprint ohne weiteres überprüfen. Zum anderen
fügt man es einmal in seine Ausnahmeliste ein und das war es dann.

Für die Allgemeinheit sind solche Zertifikate aber nicht zu gebrauchen
und Joachims Mail-Statistik gehört wohl klar dazu. ;-)

Tschau,

  --------------
   / h o m a s
-- 
email : support@gohel.de / gohel@basicguru.de   (PGP-Key available)
www   : http://www.gohel.de    /    http://www.pbhq.de (PowerBASIC)
filter: html-postings, fullquotes, no realnames & no valid adresses

[toc] | [prev] | [next] | [standalone]

#303076

* On 24 Mar 2017 15:52:00 +0100, Thomas Gohel wrote:

>
> Hallo Michael,
>
>> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem
>> eh jeder eine Warnung weg klicken muss, kann man es doch auch einfach
>> ganz lassen. Wo ist der Vorteil?
>
> Ganz einfach: Man weiß, dass es sich um sein eigenes Zertifikat handelt
> und kann es auch per Fingerprint ohne weiteres überprüfen. Zum anderen
> fügt man es einmal in seine Ausnahmeliste ein und das war es dann.
>
> Für die Allgemeinheit sind solche Zertifikate aber nicht zu gebrauchen

Doch, schon, aber sie *sollen* nicht genutzt werden. Denn dort ist kein
Dritter dazwischengeschaltet, der Reibach macht.

Es gibt keinerlei Grund, mit SSL-Zertifikaten kein Web of Trust zu
basteln. Außer dass es unbequem ist.

[toc] | [prev] | [next] | [standalone]

#303078

Am 24.03.2017 um 16:24 schrieb Holger Marzen:
> * On 24 Mar 2017 15:52:00 +0100, Thomas Gohel wrote:
> 
>>
>> Hallo Michael,
>>
>>> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem
>>> eh jeder eine Warnung weg klicken muss, kann man es doch auch einfach
>>> ganz lassen. Wo ist der Vorteil?
>>
>> Ganz einfach: Man weiß, dass es sich um sein eigenes Zertifikat handelt
>> und kann es auch per Fingerprint ohne weiteres überprüfen. Zum anderen
>> fügt man es einmal in seine Ausnahmeliste ein und das war es dann.
>>
>> Für die Allgemeinheit sind solche Zertifikate aber nicht zu gebrauchen
> 
> Doch, schon, aber sie *sollen* nicht genutzt werden. Denn dort ist kein
> Dritter dazwischengeschaltet, der Reibach macht.
> 
> Es gibt keinerlei Grund, mit SSL-Zertifikaten kein Web of Trust zu
> basteln. Außer dass es unbequem ist.

Doch natürlich. Weil es nicht gemacht wird. Was gemacht wird ist, dass
die Warnungen weggeklickt werden bzw. wahllos Ausnahmen im Browser
eingerichtet werden. Solche "untrustet" Zertifikate erziehen die User
dazu, Zertifikatswarnungen als "ne weitere blöde Meldung, die man
wegklicken muss" zu betrachten. Nach erfolgter Gewöhnung hat man dann
mit HTTPS den gleichen Sicherheitslevel wie mit HTTP erreicht. Mission
Completed.

[toc] | [prev] | [next] | [standalone]

#303077

Am 24.03.2017 um 15:52 schrieb Thomas Gohel:
> 
> Hallo Michael,
> 
>> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem
>> eh jeder eine Warnung weg klicken muss, kann man es doch auch einfach
>> ganz lassen. Wo ist der Vorteil?
> 
> Ganz einfach: Man weiß, dass es sich um sein eigenes Zertifikat handelt
> und kann es auch per Fingerprint ohne weiteres überprüfen. Zum anderen
> fügt man es einmal in seine Ausnahmeliste ein und das war es dann.

Ja, wenn es tatsächlich nur für privat bzw. die eigene Organisation
gedacht ist. Dann hat man vielleicht auch schon eine Methode, das CA
Zertifikat auf die Endgeräte zu verteilen (Logon Scripte, GPOs o.ä.).

[toc] | [prev] | [next] | [standalone]

#303133

Michael Bode <m.g.bode@web.de>:
> Am 24.03.2017 um 09:15 schrieb Dr. Joachim Neudert:
>
>> Genau so ist es, oder so wird es sein (ich versteh von Zertifikaten nur
>> soviel: ch traue ihnen überhaupt nicht).
>> Weil ich (bzw. unser Bürgernetz)  80 $ an eine US-Lizenzierungsfirma
>> zahle, wird unsere  Website plötzlich genau wie sicherer und
>> vertrauenswürdiger? Und warum?
>> 
>> Diese selbstgebastelten Zertifikate (ich hab mich damit nicht
>> beschäftigt, das machen bei uns andere, ich hab wirklich KEINE Ahnung
>> von Zertifikaten) sind wenigstens kostenlos, also können sie nicht ganz
>> schlecht sein (so wie das Backup des BOFH an /dev/null, das wenigstens
>> sofort fertig ist, also auch nicht ganz schlecht sein kann...)
>
> Warum dann überhaupt SSL? Wenn man ein Zertifikat verwendet, bei dem eh

Um Fly-by Angriffe zu verhindern.

[toc] | [prev] | [next] | [standalone]

#302986

On Fri, 24 Mar 2017 08:33:48 Juergen P. Meier wrote:
> Bernd Ullrich <ullrich_bernd@hotmail.com>:
> > Am 23.03.2017 um 19:01 schrieb Dr. Joachim Neudert:
> >> https://webmail.5sl.org/cgi-bin/mailgraph.cgi
> > Es besteht ein Problem mit dem Sicherheitszertifikat der Website.

> > Es wird empfohlen, dass Sie die Webseite schließen und nicht zu dieser 
> > Website wechseln.
 
> Falsch.
> Richtig waere: [...]

...*hier* im konkreten Fall vermutlich, auf den Zwang zu https zu
verzichten. Who the fuck cares denn schon, ob einem gerade von einem bösen
Dritten falsche Zahlen untergejubelt werden?

Ansonsten hast Du natürlich vollkommen recht (ändert aber nichts daran,
dass man sowohl B2B als auch B2C de facto gezwungen ist, sich das
billigste, allgemein anerkannte Zertifikat zu kaufen, da man ansonsten sehr
rasch ohne Kunden dasteht).

Servus,
   Stefan

-- 
http://kontaktinser.at/ - die kostenlose Kontaktboerse fuer Oesterreich
Offizieller Erstbesucher(TM) von mmeike

Stefan - hausen!? Nur versüssen ist sehenswerter.
(Sloganizer)

[toc] | [prev] | [next] | [standalone]

Page 1 of 3  [1] 2 3  Next page →

Back to top | Article view | ger.ct

csiph-web