Posts by jossi

    Ja, auf diesen Punkt von Peter wollte ich Dich nochmals hinweisen.


    Nun das würde ja aber auch nur über ein Update von Thunderbird laufen. Ich glaube kaum, dass TB ein Update rausschickt sobald ein Zertifikat kompromittiert wurde. Da kriege ich es wahrscheinlich schneller über andere Wege mit (so oder so wäre es für meine Logindaten dann sehr wahrscheinlich zu spät)


    Aber prinzipiell natürlich richtig.

    Quote from SusiTux

    Zunächst eine Bitte. Das Forum bietet die Möglichkeit des Zitierens. Nutze sie doch bitte. Das erleichtert das Lesen der Beiträge sehr.


    ahja gibts doch, hatte mich schon gewundert, konnte ich nicht sehen weil das ohne JS nich richtig angezeigt wird, JS fürs design...


    Quote from SusiTux

    Wenn Dir dabei unwohl ist, probiere es einfach aus.


    tatsächlich fehlt mir da leider das praktische Anwendungswissen für...


    Quote from SusiTux

    Außerdem beachte bitte, was Peter oben schrieb. Da scheinst Du einige Punkte überlesen zu haben, zumindest bist Du nicht mehr darauf eingegangen:


    Ja bin ich wohl nicht mehr konkret drauf eingegangen, weiß aber auch nicht so genau wohin das führen sollte. Wofür ich das Root-CE brauche wenn ich den Fingerprint von dem direkten CE hab kann ich da auch nicht rauslesen.


    Oder geht es darum, dass ich so verhindern würde dass ein komprimitiertes CE zurückgezogen werden kann?!


    Quote from SusiTux


    Wenn Du Dir große Sorgen machst, dass jemand, unterstützt durch ein Trustcenter, einen MITM-Angriff gegen Dich startet, um Deine E-Mails auf dem Transportweg zu entschlüsseln, dann solltest Du wirklich ernsthaft über eine Ende-zu-Ende-Verschlüsselung nachdenken. Vielleicht gelingt es Dir sogar, Deine Bedenken auch Deinen KommunikationspartnerInnen zu verdeutlichen.


    Ja, klar kann man das so sagen, aber irgendwie finde ich es müßig diese Diskussion zu führen inwieweit ich persönlich jetzt speziell gefährdet bin. Natürlich ist das auch zu einem großen Teil eine prinzipielle Sache.


    Ganz schlicht erstmal, warum soll ich fast 100 Root-Zertifikate (+x viele angehängte) denen ich angeblich allen vertrauen soll in meiner Liste haben wenn ich nur ein einziges Root-CE brauche?


    Dann weiter, wozu sollte ich mir ein Zertifikat von einem Root den ich nicht kenne und nicht weiß was der so treibt beglaubigen lassen wenn ich das selbst machen kann?


    Und klar kann man sich natürlich fragen wie sehr ich, oder irgendjemand anders, in der Gefahr schwebt einen MitM mit einem gefälschten Zertifikat untergeschoben zu bekommen. Diese Frage ist meiner Meinung nach obsolet geworden wenn man sich Gedanken über eine IT Sicherheitsinfrastruktur macht.
    Diese ganze Root-CE Geschichte ist doch eigentlich nur eine fehlentwickelte Krücke die man beim Surfen im Web irgendwie noch benötigt weil man da die Server und die CEs oft nicht kennt, aber in meinem Email-Client kann ich da immer noch keinen Sinn für finden.
    Gut für Leute die sich nie mit sowas beschäftigt haben (das kann man ja auch den Normalusern nicht wirklich zumuten leider) sind eine Vorgabe von so genannt vertrauenswürdigen CEs natürlich irgendwo sinnvoll. Das man dann beim EInrichten aber noch nichtmal gefragt wird ob man dem Zertifikat jetz auch vertraut halte ich aber schon für einen Fehler (bloss den Benutzer nich verunsichern unddadurch unwissend halten...). Und ich bin mir SICHER dass TB auch nicht fragt wenn das CE wechselt, würd mich sehr freuen wenn das mal jemand ausprobieren kann oder das jmd. weiß. Und das meine gelöschten CEs dann mit dem nächsten Update wieder reingespült werden, na danke :)


    Jetz stop ich aber lieber mit dem in Rage reden, mir gehts ja eigentlich garnicht ums anklagen, ich will es eigentlich lernen und nachvollziehen können warum ich alles so lassen sollte wie es eingestellt ist :)

    "nicht funktionieren würde"
    warum nicht? Also angenommen ich mache jetzt eine MitM-Attacke, was an sich jetzt nicht schwer ist wenn ich z.B. den Router über den du ins Internet gehst im Griff habe. Ok dann muss ich mir noch von einem CE der in der, ja recht langen, Liste im Thunderbird vorhanden ist ein Zertifikat besorgen das auf posteo.de zertifiziert ist (sagen wir von FastCEs) (* siehe unten).


    Dein Thunderbird ruft nun posteo.de auf, ich schalte mich dazwischen und sage ich wäre posteo.de und halte als Beweis das Zertifikat vor, das jetzt aber nicht von Startcom sondern FastCEs kommt.


    Was macht jetzt der Thunderbird? Sagt der
    1. 'oh, das is aber komisch, das is ja ein anderes Zertifikat als die letzten Male, ich frag mal lieber nach ob das so gewollt ist'
    oder denkt der sich
    2. 'oh wie schön, ein Zertifikat das von einem aus meiner Liste zertifiziert ist, dann ist ja alles in Ordnung'


    ich nehme grad an, dass er eher nach dem 2. Schema agiert, oder?



    *(von oben) Ok, das ist schon ziemlich schwierig für mich, vielleicht nicht unmöglich. Für Geheimdienste und Leute die entsprechende Fähigkeiten/Möglichkeiten haben aber durchaus machbar. Wie auch immer ist das eben der Fall den ich annehme, worum es mir bei der Sache hier geht. Also ich nehm jetz mal an ich bekomme von irgendwem aus dieser Liste ein solches Zertifikat

    Also ersteinmal: Klar es ging mir um MitM-Angriffe! Darum will ich verhindern dass einfach eine andere Zertifizierungsstelle aus der Liste missbraucht werden kann.


    "Bei der ersten Benutzung wirst Du daher gefragt, ob Du Posteo vertrauen und deren Serverzertifikat importieren möchtest. "
    hat TB übrigens nicht gemacht was mich auch schon gewundert hat


    "In diesem Fall wird der TB Dich aber fragen, ob Du dem neuen Serverzertifikat vertraust."
    Heißt das also das TB sich schon das Zertifikat aus dem ersten connect merkt und dann bei einer Änderung nachfragt? Da er das nichtmal beim ersten mal gemacht hat (s.o.) hätte ich das jetzt nicht angenommen


    Mir ist das mit der Vertrauenskette schon bekannt. Aber soweit ich das bisher verstehe, dient es doch dazu damit ich mir nicht für jede Inetseite bzw. Mailaccount auf irgendeinem vertrauenswürdigen Weg ein Zertifikat beschaffen muss. Sondern Zertifikate von einer oberen Instanz schon installiert zu haben die dann auch kleinere/neue anerkennen.


    Wenn ich nun aber direkt ein Zertifikat von dem einen Server mit dem ich mich connecte mir schon über einen vertrauenswürdigen (sic! :)) Weg beschaffen kann, dann rauche ich doch auch keine weiter oben angesetzten Zertifizierungsstellen mehr die mir das für mein Zertifikat bescheinigen können. Denn dem vertraue ich ja schon.


    So läuft das doch auch mit selbst unterschriebenen Zertifikaten, wenn ich für die einen Fingerprint habe (meinetwegen von einer analog-papier-visitenkarte) kann ich doch sciherstellen dass es korrekt ist ohne dass das an irgendwelchen Zertifizierungsstellen dranhängen muss

    "Irgendwann wirst du aber dahinterkommen, dass der Schutz der Kommunikation ausschließlich mit echter end2end-Verschlüsselung möglich ist"


    Ich weiß nicht wie ich jetzt darauf reagieren soll dass mich deser leicht lehrerhafte Ton stört, denn ich denke du hast es nicht böse gemeint :) Natürlich ist mir das klar, ich beschäftige mich nicht erst seit gestern mit dem Problem, aber wenn du das mal so eben auch allen meinen KommunikationspartnerInnen erfolgreich nahebringen kannst dann hab ich auf jeden Fall ein Problem weniger. :)


    "Du nutzt nun schon einen sehr guten Provider, der (im Rahmen der dt. Gesetze!)"
    Aber acuh da immer noch sehr gut, obwohl man natürlich darauf vertrauen muss, dass nicht gerade Posteo eine Fakefirma des BND ist, das wär nämlich richtig schlau! DIe einzige aAlternative zu Posteo oder Mailbox ist meiner Meinung nach Selfhosting, dafür meine Zeit aufzuwenden fehlt mir die nötige Paranoia, außerdem wäre das dann auch nicht mehr Anonym hinzubiegen


    "So fallen in Misskredit geratene (oder abgelaufene) Zertifikate sehr schnell raus und es werden neue importiert."
    Na bitte, was da alles kreucht und fleucht in den Listen, auch der Telekom kann ich nicht trauen wenn der BND mal irgendwo ran will. Und da gibt es auf jeden Fall noch unseriösere Dienste als die Telekom in den Listen



    Aber mir geht es ja jetzt erstmal darum, dass mir niemand einfach irgendein anderes Zertifikat aus der Liste voirhalten kann und mein Thunderbird dann denkt: "Ach schön der hat ein Zertifikat, dann ist ja alles gut" ohne zu checken ob es das richtige ist (ok, das wär auch noch ne Möglichkeit, dass ich für jeden Mailaccount ein bestimmtes Zertifikat erzwinge).
    Ich sehe schon, dass das im Webbrowser ein sehr viel größeres Problem ist, da man ja immer mal wieder auf verschiedenen Seiten unterwegs ist. Aber mein Mailclient soll sich doch immer nur zu einem bestimmten Server verbinden, welchen Sinn hat es da dieses ganze Schlammloch an Zertifikaten mitzuschleppen?
    Da sollte es doch gehen dem Client zu sagen: Nur zu dem Server der mir dieses Zertifikat vorzeigen kann sollst du dich connecten

    Hi,


    da ich ja nur zu meinem Emailanbieter (posteo) Kontakt aufnehmen will, wollte ich nur deren Zertifikat akzeptieren und alle anderen löschen damit mir nicht irgendeines vorgehalten werden kann. Ok wo ich die lösche weiß ich. Das Posteo ein Startcom Zertifikat hat nehm ich mal an weil mir das angezeigt wird wenn ich über den Browser auf posteo.de gehe. Aber für Startcom sind ja auch mehrere Zertifikate gelistet und kann ich nicht wirklich einfach nur das Posteo CE akzeptieren dessen FIngerprint ich habe?!


    Gruß