Beiträge von WismutKumpel

Zitat

Es gibt keine singuläre Kryptographie. Ein Partner verschlüsselt und der andere Partner entschlüsselt. Beide Partner müssen sich aber vorher über den zu benutzenden Schlüssel verständigt haben.

Ich bin mir jetzt nicht ganz sicher, ob ich, wenn ich darauf antworte, unseren TE völlig überfahre.
Also "keinePeilung" mach dir nix draus, das ist ein Thema, wo viele Leute so ihre Probleme haben. Du musst das auch nicht unbedingt gleich alles verstehen, und es geht auch über das, was dich eigentlich interessiert, hinaus. Mal davon "gehört zu haben" schadet aber keinesfalls. Ich bemühe mich auch um eine "volkstümliche Erklärung".

Selbstverständlich trifft das, was .Hermes da geschrieben hat, zu.
Nur es gibt eben große Unterschiede, ob es sich um eine für den Nutzer völlig transparent ablaufende "stinknormale" ssl-Verbindung handelt, oder wie bei einer verschlüsselten E-Mail oder auch beidseitigen Authentifizierung zw. Browser und Server um eine Verbindung, welche auch auf dem Client eine entsprechendes asymmetrisches Schlüsselpaar erfordert.

Bei einer normalen ssl-Verbindung stößt der Server von sich aus einen gesicherten Schlüsselaustausch an und mit dem ausgetauschten symmetrischen Zufallsschlüssel wird dann die gesamte Verbindung verschlüsselt. Wie oben schon bemerkt, für den Nutzer völlig transparent und "unbemerkt". Durch den Schlüsselaustausch sind auf beiden Seiten "Schloss und Schlüssel" vorhanden. Die einzige Bedingung ist, dass der Client mit Hilfe der bei ihm hinterlegten Herausgeberzertifikate die Echtheit des Serverzertifikates überprüfen kann. Die Parter (Client und Server) haben sich über den anzuwendenden Schlüssel verständig, und der Nutzer sieht nur an der Anzeige in der Adresszeile, dass die Verbindung verschlüsselt ist. Und darauf sollte er aber auch bei kritischen Anwendungen (Banking) ein Augenmerk haben!
Damit dürften wohl 99% aller kryptologischen Anwendungen am privaten Browser abgedeckt sein. Ohne allzu große Anforderungen an den Nutzer.

Etwas anderes bzw. etwas weitergehendes ist es, wenn eine sichere Authentifizierung des Clients am Server gefordert bzw. erwünscht ist. Dazu werden dem Client ein eigenes asymmetrisches Schlüsselpaar (Zertifikat und privater Schlüssel) installiert und der öffentliche Schlüssel aller berechtigter Clients (die Zertifikate) müssen vor der ersten Verbindungsaufnahme ebenfalls auf dem Server installiert werden. Der Client meldet sich unter Zuhilfenahme seines privaten Schlüssels am Server an und dieser prüft mit Hilfe des dort hinterlegten Zertifikates die Berechtigung des Clients. Und dann erfolgt die normale ssl-Verschlüsselung. Hier ist aktives Handeln aller Beteiligten durch die Beschaffung und Installation der benötigten Schlüssel und Zertifikate gefragt. "Schloss und Schlüssel" werden also beidseits bewusst verteilt. Als "Belohnung" gehören dann aber die Anwendung von Benutzername und Passwort der Vergangenheit an. Sicherer als mit der gegenseitigen Authentifizierung durch asymm. Kryptologie geht es (zumindest gegenwärtig) nicht.
Und aus diesem Grund trifft dieses ja auch fast ausschließlich für eng gefasste Nutzerkreise (Firmen, Organisationen und ambitionierte private Nutzer) zu. Der normale private Nutzer wird damit kaum in Berührung kommen - es sei denn, dass wirklich mal der nPA für so etwas zur Anwendung kommt. Eigentlich war das ja mal so gewollt ... .

Fazit:
Was die kryptologischen Anwendungen mit dem Browser betrifft, muss sich der normale private User eigentlich recht wenig Gedanken machen. Hauptsache er achtet auf die angezeigte ssl-Verschlüsselung in der Adresszeile des Browsers, auf die Korrektheit der angezeigten Adresse und er klickt vor allem nicht ohne Nachzudenken auf die Bestätigung von Ausnahmeregeln. Bei den Servern bzw. den Zertifikaten seriöser Einrichtungen (Banken usw.) dürfte es eigentlich nicht passieren, dass deren Serverzertifikate ohne rechtzeitigen Ersatz ablaufen oder aus anderen Gründen ungültig werden. Zumindest sollte der Nutzer dann sehr aufmerksam sein.

Bei allem anderen, was die Sicherheits des Systems usw. angeht, da kann ich mich nur dem sehr guten Beitrag vom Docc anschließen!

MfG WK

Hallo KeinePeilung,

und willkommen im Forum!

vielleicht noch als kleine Ergänzung, was "FIPS" überhaupt bedeutet:
Wenn ein Kommunikationsprogramm oder auch -Gerät für die Übertragung von Informationen mit staatlicher Einstufung ab einem bestimmten Vertraulichkeitsgrad benutzt werden soll, dann muss diese Soft- oder Hardware durch eine staatliche Einrichtung vor deren Nutzung gründlich überprüft (evaluiert und für diesen Vertraulichkeitsgrad zugelassen) werden.

Bei uns in Deutschland macht dieses das Bundesamt für Sicherheit in der Informationstechnik (BSI). Ein derartiges Gerät besitzt dann also eine "BSI-Zulassung" bis VS-NfD oder meinetwegen GEHEIM. (Das trifft für die Mozilla-Programme nicht zu, denn es gibt dafür zum einen genügend andere zugelassene Soft- und Hardware, und eine Evaluierung ist sehr aufwändig und somit teuer! Auch müsste diese bei jeder neuen Version wiederholt oder zumindest ergänzt werden ... .)

In den USA "kümmert" sich eine dortige Behörde um die Zulassung für die Nutzung im behördlichen Umfeld. Und die dazu erforderlichen Regeln werden eben in den Federal Information Processing Standard (FIPS) genannten Standards beschrieben.

Aber wie der Docc schon völlig richtig sagte, ist FIPS weder ein Kryptoschlüssel noch für dich/uns als private Nutzer irgendwie relevant. Das standardmäßig aktivierte Kryptomodul im Fx und im TB reicht völlig aus.

MfG WK

@Sören:
Du bezeichnest also Leute, die wie gkam (oder auch ich) nicht gleich auf jeden unbekannten Link klicken als "ne unlustige Spaßbremse"?

Ich bezeichne User wie gkam als verantwortungsbewusste und mitdenkende Personen!
Und Leute, die einfach so aus purer Neugier auf einen unbekannten - und zugegebenermaßen oftmals gut gemachten und aufreißerischen - Link klicken, bezeichne ich als Dummklicker.
Die nun schon uralte "Anna Kurnikova nacked.jpg ................................................exe" lässt grüßen. (Ich denke mal, damals hattest du auch schon einen PC und kennst diese Geschichte ... .)

MfG WK

Hallo FoxUser88,

Zitat von c

Kann man diese Meldung abstellen, ... .

Ja sicher kann "man" die abstellen. Wurde ja mittlerweile auch beschrieben und ist durch eigenes Suchen in den Einstellungen auch leicht zu finden gewesen.

Aber ist das denn wirklich der richtige Weg?
Was hältst du davon, wenn du dir diese Warnung mal in aller Ruhe bis zum Ende durchliest und eine Minute darauf herum denkst? Warum warnt dich "der Firefox" und wovor? Ist diese Warnung nicht vielleicht sogar etwas nützliches, was mich evtl. sogar vor Schaden bewahren kann?

Irgendwie erinnert mich dein Wunsch nach Deaktivieren dieser Warnung an den Autofahrer, welcher sich immer über das kleine rote Birnchen mit der Ölkanne aufgeregt hat. Er hat das Birnchen dann auch einfach rausgedreht und war ganz stolz über seinen tollen Einfall ... .

MfG WK

Hi Micodat,

Zitat

wir arbeiten viel mit lokalen Scripten, die auf lokale Server (z.B. einem Service, der unter localhost:51000 ansprechbar ist) zugreifen.

Ist es, wenn ihr wirklich viel mit lokalen Skripten arbeitet, also vermutlich kommerzieller Betrieb, in diesem speziellen Fall nicht besser eure Scripte zu signieren?

Das Anlegen einer kleinen privaten CA ist mit XCA eine Sache weniger Minuten. Und das Signieren der Scripte ist auch kein Hexenwerk. Und schon habt ihr beides: eigene signierte Scripte mit Schutz vor Veränderungen und den Schutz vor den Boshaftigekeiten aus dem Netz.

MfG WK

Dort war er doch schon, und hat auch eine Antwort bekommen:

nervende Meldungen und Popups im Thunderbird abschalten?

Hi Satelismax,

da ich auch ein extremer Fritzbox-Bastler (freetz) bin, kenne ich dieses Problem. Es ist also nichts ungewöhnliches, wenn sich der Fx beim Wechsel der Box etwas störrisch benimmt. Mitunter wird sogar beim Anschluss einer 7390 immer wieder die vorher genutzte 7270 angezeigt. Und ich wechsele oft, wenn ich mir die Box wegen Übertreibung zerflashe ... .

Möglichkeiten (!) zum Suchen, in dieser Reihenfolge:
- alle Einstellungen überprüfen - JS muss möglich sein, Cookies zulässig (jeweils alles für die Box, vorh. Cookies löschen)
- es hat auch schon geholfen den Cache zu leeren (speziell bei Anzeige der GUI der falschen Box)
- bis hin zur gesamten Chronik
- bewusstes Löschen des Passwortspeichers, dazu folgende Möglichkeiten:

- Mit Bordmitteln ... > Einstellungen > Sicherheit > Passwörter, die betreffenden löschen
- mit dem Add-on "Saved Passwords Button" (sehr zu empfehlen!)
- nach der brutalen Methode durch Löschen (besser: umbenennen!) der "signons.sqlite", damit sind alle PW garantiert weg.
(dabei den Fx vorher beenden, falls du dir nicht die anderen PW irgendwo notiert haben solltest, kannst du ja wieder retour umbenennen ...)

Dass du den Fx vorher mal im erwähnten abgesicherten Modus gestartet haben solltest, um Nebenwirkungen diverser Add-ons zu eleminieren, setze ich voraus. Sehr oft sind es nämlich die kleinen Sicherheits-Helferlein, welche dich ausbremsen.

MfG WK

Zitat

Ich arbeite mit einem Mac, daher ist das mit dem abgesicherten Modus schlecht möglich.

Wie das?
Verbietet dir etwa dein Apfelrechner, auf einen Link zu klicken, hinter dem (netterweise!) sogar noch eine Erklärung angeboten wird?

MfG WK

Hallo,

ich möchte doch noch mit ein paar Worten zum Thema ergänzen bzw. meine persönliche Meinung (!) posten.
Gleich vornweg: der Beitrag von bluemule ist der beste Beitrag (nicht nur) zum Thema https, den ich hier seit langem gelesen habe! Sowohl, was die Formulierung, aber auch die Recherche/ den Inhalt betrifft. Danke!

Zur Frage von MountainDreamer:
Tippe doch einfach mal bei allen Seiten "https://" ein. Du wirst staunen, wie viele Fehlermeldungen du bekommst.
Es ist nun mal so, dass nur ein sehr geringer Prozentsatz der Webseiten eine verschlüsselte Verbindung anbietet. Das macht ja auch nur Sinn, wo Daten übertragen werden, welche nicht "offen" übertragen werden sollen. Ich nenne nur Homebanking, Onlineshopping und Webmail, wo Benutzername und Passwort oder andere sensible Daten übertragen werden. Da ist die Relevanz der Suchdaten von gg schon fast grenzwertig. Und https:// macht für die Betreiber der Server einen nicht unbeträchtlichen Aufwand. Vom teuer einzukaufenden Zertifikat bis hin zu höherer Serverlast. Und über den Ärger bzw. die Blamage beim verpennten Zertifikatswechsel ganz zu schweigen.
Selbst wenn da ein Add-on es erst mit https:// versucht und dann nach entsprechendem Fehler auf "offen" zurückschaltet, ist das ganze kontraproduktiv.

Ich nutze selbst auch schon ein Weilchen das Add-on "HTTPS Everywhere". Ich nutze es bewusst, weil auch ich ein Mensch bin, der großen Wert auf Privatsphäre legt, aber auch sehr gut zwischen Aufwand und Nutzen abschätzen kann.
Wenn ich mir die gelieferten Seitenregeln ansehe, muss ich aber feststellen, dass diese erwartungsgemäß nicht für unseren Bedarf aufgestellt sind. Ist ja auch logisch => wer bzw. wo ist die EFF ... .
Im Ergebnis dessen habe ich schon ein paar Regeln für den "dt. Bedarf" erstellt.

Wenn ich aber hier Aufwand und Nutzen gegenüberstelle, sehe ich eine gewisse Schieflage ... .

Mein Tipp für ONU:
Brain-01 => ON, und testen, ob eine bestimmte Webseite https:// anbietet. Wenn "ja" ist gut und merken bzw. Lesezeichen anpassen, wenn "nein" entscheiden, ob ich meine Daten "offen" senden will oder es lieber lasse. Und bei sehr vielen Seiten wird ja schon sehr oft beim Link auf die Eingabeseite für sensible Daten automatisch auf https:// umgeschaltet.

MfG WK

Diese Meldung ist nicht nur "nicht so erbaulich", sondern echt eine Sauerei!
Wenn einem schon etwas derartiges widerfahren ist (was heutzutage leider schon fast keine Schande mehr ist), dann sollte der Anbieter der Seite auch eine gewisse Ehrlichkeit zeigen. Nur mit Ehrlichkeit kann ein derartiger Anbieter wieder Vertrauen aufbauen. Ein Anbieter, welcher versucht einen gelungenen Angriff wegzumogeln, verliert Vertrauen.

Aber, jetzt das Positive, einige hier aus dem Forum haben immerhin erkannt, dass man Fehlermeldungen nicht einfach so wegklickt, sondern man zumindest nachdenken und evtl. auch etwas recherchieren solllte.
Wie mit dem bewussten Birnchen ...

MfG WK

Zitat von wkraemer

gerade gelesen:

http://www.heise.de/security/meldu…om-1575304.html

bisschen spät ... .
(Ich hatte den gleichen Link schon um 18:39 gepostet)

=> Virenalarm auf Wetter.com

Das ist wie mit dem "Birnchen" für die Öldruckkontrolle. Manchmal ist es besser, man lässt sie drin und sucht nach der Ursache ... .

MfG WK

=> Re: Sicherheit der gespeicherten Passwörter ?

Zitat

dann ist es nur eine Frage der Zeit (und Komplexität des Passwortes) um die Datei zu entschlüsseln. Die Verschlüsselung ist nicht unknackbar.

ack.
Jede (!) Verschlüsselung, außer dem Onetimepad, ist per brute-force zu brechen.
Und wie bugcatcher schon richtig schrieb, ist es eine Frage der Zeit (, der verfügbaren Rechenleistung und sonstigen, dem Angreifer verfügbaren Ressourcen.)

MfG WK

Selbstverständlich ist auch unter "dem guten alten" XP eine ordentliche Rechtevergabe möglich.
Wenn du ein neues Konto einrichtest, wirst du irgendwann gefragt, ob die Dateien dieses Nutzers ausschließlich für diesen Nutzer zugänglich sein sollen (vermutlich bei der Vergabe des Passworts für diesen Benutzer, ich kann das aber mangels WinDOSe nicht mehr nachvollziehen.)
Wenn du das Konto so eingerichtet hast, dann sind die Daten dieses Nutzers für alle anderen (außer natürlich dem Administrator) tabu.
Und wenn dann dieser Nutzer "seinen" Firefox und "seinen" Thunderbird einrichtet, dann kann auch nur dieser Nutzer darauf zugreifen (*). Das gleiche trifft auch für alle eigenen Dateien, den Desktop usw. zu.
(*) Ich spreche hier über normale familienübliche Verhältnisse und nicht über die Anwendung "krimineller Energie".
Und JA, der Nutzer muss dann seinen eigenen Desktop und diverse Programme selbst neu einrichten (nicht installieren!). Aber ein vorhandenes ehemals gemeinsam genutztes Fx- bzw. TB-Benutzerkonto kann selbstverständlich auf das neue Systemkonto übertragen (kopiert), und von den Daten des "anderen Nutzers" befreit werden, so dass nur noch die Daten (Fx: vor allem Favoriten usw.) dort vorhanden sind.

Meine Vermutung:
Du hast das neue Konto der Tochter richtig eingerichtet, aber bei der Einrichtung deines eigenen Kontos nicht aufgepasst.
Vermutlich habt ihr (wie bei der Masse der mir unter die Finger gekommenen privaten Rechner leider üblich ...) ewig allesamt mit einem einzigen passwortlosen Adminkonto gesurft ... .
Sollte das zutreffen, würde ich dir empfehlen, auch für dich ein eigenes, passwortgeschütztes eingeschränktes Userkonto anzulegen. Damit trifft das ganz oben genannte für beide angelegten Konten zu. Auch hier Übernahme deiner Dateien und Profile in das neue Konto. Das vorhandene Adminkonto wird dann ausschließlich zum Administrieren genutzt.

Zitat von Zeitmaschine

Um es so einrichten, wie mein Profil aussieht, würde Stunden dauern.

Ja, wer das eine will, muss das andere mögen. Es braucht aber weniger Zeit, als wenn "die Kids" massenhaft wichtige Dateien oder Mails ihrer Eltern löschen. Du kannst mir glauben, ich wurde einige male zu Leuten gerufen und durfte diese Dateien wieder "zurückholen". (Der Papierkorb war natürlich auch schon geleert.)

Zitat

Alles andere Programme (Photoshop, Word etc.) soll sie ja auch benutzen dürfen können.

Programme werden grundsätzlich (durch den Administrator) ein mal installiert. Und jeder Nutzer kann darauf zugreifen. Es handelt sich bei den Nutzerkonten lediglich um die eigenen Dateien, Einstellungen, Desktop usw. der Nutzer.
Und selbstverständlich gibt es auch die Möglichkeit, eine gemeinsame Dateiablage zu nutzen, wo alle Nutzer gleichberechtigt darauf zugreifen können.

Ich muss ehrlicherweise noch sagen, dass es (zumindest für den Thunderbird, aber bestimmt auch für den Fx), ein Add-on gibt, mit welchem man das TB-Userprofil ein klein wenig mit einem PW schützen kann. Ich betrachte ein derartiges Add-on als sinnfrei, Begründung siehe oben!
Ich erwähnde das nur, damit nicht jemand sagt, wieso hat der das nicht gewusst ... .l

MfG WK

Hallo Zeitmaschine,

ganz einfach: Du richtest, so wie es sich gehört, für deine Tochter ein eigenes eingeschränktes Benutzerkonto im Betriebssystem ein, vergibst für dein eigenes Benutzerkonto ein Passwort, und schon ist das Problem gelöst.

MfG WK

[OT]
Die Arbeit von bird ist so intelligent, dass das Theme selbst erkennt, ob <user> das Changelog bereits gelesen hat.
Warum also 2x übertragen?
[/OT]

In eigener Sache:
Bitte nicht prügeln, war nicht ganz ernst gemeint!

MfG Peter

Hallo Vandid,

Lightning ist ein Add-on für Thunderbird und wird mit dem Fx nicht laufen (runterladen > versuchen, im Fx zu installieren > wissen. Passieren kann nichts).

Mir ist kein Kalender-Add-on für den Fx bekannt. Es gibt aber sicherlich auch für dein geheimes Betriebssystem Programme, welche mit den Standard-Kalenderformaten (z. Bsp. .ics) arbeiten. Oder du suchst das Programm "Sunbird" (http://www.sunbird-kalender.de), welches nichts anderes als ein ohne Thunderbird zu betreibendes Lightning ist. Sunbird wird allerdings schon lange nicht mehr weiterentwickelt - denn wir haben ja Thundbird+Lightning.

MfG WK

Hallo netfreak,

ich komme leider erst jetzt dazu, dir wieder zu schreiben. Aber in der Zwischenzeit hast du ja schon weitere Antworten bekommen, welche eigentlich ausreichen müssten. Aber trotzdem:

Du willst also einen berechtigten Nutzer auf seinem eigenen Betriebssystem-Konto und somit in seinem eigenen Firefox-Userprofil vor sich selbst schützen?

Aus den gegebenen Antworten konntest du bereits herauslesen, dass dieses nicht möglich ist, bzw. max. bei Kindern bis 10 Jahren temporär funktioniert. Und selbst diese sind schon sehr pfiffig, besonders beim Umgehen von Verboten ... .

Innerhalb des eigenen Fx-Userprofils ist da also nichts mit dauerhafter Sicherheit zu machen. Solche Tricks wie verbogene hosts-Dateien sprechen sich schnell herum und werden mit direkter Eingabe der IP übergangen. Gleiches trifft für sehr viele so genannte "Kinderschutzprogramme" zu. Der alternateve Browser, auch auf dem Stick, wurde schon erwähnt.

Eine kleine Chance hast du mit den bereits erwähnten "Kinderschutzprogrammen", wenn du sie als Administratur installierst und entsprechend mit einem PW sicherst. (Ich hoffe mal, dass der betreffende user keine Adminrechte besitzt, wie es leider auf privaten Rechnern im allgemeinen üblich ist ... .)

Die einzige funktionierende Lösung ist eine vorgeschaltete Hardware mit entsprechenden Sperren. Es muss ja nicht ein kompletter Proxy sein, auch moderne Fritz-Boxen mit ihrer Kindersicherung machen das schon recht gut.

Nur, was bringt das alles?
Ich weiß ja nicht, wer deine "Zielperson" ist und kenne auch deine konkreten Gründe nicht. Aber wenn "er" zu Hause zu sehr eingeschränkt wird, geht er zu Freunden, ins Internet-Cafe, holt sich einen UMTS-Stick vom Kaffeeröster usw.
Meine eindeutige Meinung (auch als Vater und Großvater) => Menschliche Probleme sind nicht mit technischen Mittel zu lösen.

MfG WK

Hallo netfreak,

vor wem willst du dich denn mit diesem Passwort schützen?

MfG WK

Salz????

Ich dachte immer Salzsäure