Bequemer als Backup Bequemer als Backup - Wuala

Report | Verschlüsselung bei Firefox 3
Jürgen Schmidt
Firefox und
die Zertifikate
Richtig verschlüsseln mit Firefox 3
Verschlüsselung und Zertifikate sind die Grundlage für
sichere Datenübertragung im Internet. Bei Firefox 3 hat das
Mozilla-Team den Umgang mit Zertifikaten überarbeitet,
leider nicht immer zum Besseren. Doch ein paar Handgriffe
schaffen mehr Komfort und letztlich auch mehr Sicherheit.
Normalerweise geht im
Web erst mal alles im
Klartext über die Leitung
– auch wenn es sich dabei um
kritische Informationen wie Passwörter
oder Kontodaten handelt.
Will man ungewollte Mitleser
aussperren, müssen die
übertragenen Daten verschlüsselt
werden. Im Web erkennt
man den Einsatz von Verschlüsselung
daran, dass die URL in der
Adressleiste mit „https" („s“ wie
sicher) statt „http" beginnt.
Dabei muss man allerdings
ganz sicher sein, dass sich am anderen
Ende der Leitung tatsächlich
der richtige Empfänger befindet.
Die beste 256-Bit-AES-Verschlüsselung
nutzt nichts, wenn
dort der Angreifer sitzt und man
ihm den Schlüssel somit frei Haus
liefert. Deshalb lassen sich Betreiber
eines Servers ihre Identität
von einer vertrauenswürdigen
Zertifizierungsstelle (CA) bestätigen.
Deren digitale Unterschrift
kann der Browser überprüfen
und dann dem Anwender signalisieren,
dass er sich auf der richtigen
Website befindet.
Bis Version 2 tat Firefox dies,
indem er die komplette Adresszeile
gelb einfärbte und mit
einem Schloss versah. Wenn man
das einmal wusste, war es kaum
zu übersehen und das Fehlen von
Gelb und Schloss war ein deutliches
Signal für fehlende Verschlüsselung.
Seit Version 3 konzentriert
sich Mozilla – wie im
Standardmäßig hebt Firefox 3
nur noch die teuren EV-Zertifikate
deutlich hervor. Die Kennzeichnung
von herkömmlichen
SSL-Zertifikaten lässt sich
leicht nachahmen.
Übrigen auch Microsoft mit Internet
Explorer 7 – auf die sogenannten
Extended Validation (EV)
Zertifikate. Bei denen versprechen
die Zertifizierungsstellen,
die Identität des Antragstellers
genauer zu prüfen; technisch
unterscheiden sich EV-SSL-Zertifikate
jedoch nicht von herkömmlichen
SSL-Zertifikaten. Da EV-
Zertifikate recht teuer sind, konnten
sie sich außer bei Banken bislang
nicht durchsetzen. Anfang
2008 zählte Netcraft nur etwas
über 4000 weltweit. Von den
über 800ˇ000 gültigen, also von
Standard-CAs unterschriebenen,
normalen SSL-Zertifikaten sind
das gerade mal 0,5 Prozent.
Die normalen SSL-Zertifikate
kommen somit nach wie vor
beim Gros der Online-Shops zum
Einsatz, bei denen man persönliche
Daten, Kreditkarteninformationen
und Ähnliches eingeben
muss. Trotzdem behandelt Firefox
sie mittlerweile sehr stiefmütterlich.
Das beginnt damit, dass
das Schloss in der Adresszeile
und deren Färbung entfallen.
Was bleibt, ist ein kleiner blauer
Rahmen um das Favicon der
Seite, der sich mit einem gut gemachten
Favicon so nachahmen
lässt, dass die Täuschung zumindest
nicht ins Auge springt.
Es geht weiter mit den sehr
unglücklich gewählten Formulierungen
in den weiterführenden
Informationen zu https-
Sites, die den erweiterten Obulus
an Verisign & Co verweigert
haben. Dort findet der misstrauische
Anwender die widersprüchlichen
Angaben: „Diese Website
bietet keine Informationen an,
um ihre Identität zu bestätigen“
und etwas weiter unten „Diese
Website bietet ein Zertifikat an,
um ihre Identität zu bestätigen“.
Vertrauen vermittelt dieses Hin
und Her nicht. Nützlicher sind da
schon die ebenfalls hinzugekommenen
Informationen, ob
und wie oft man die Seite bereits
besucht hat.
Zumindest die Darstellung
von SSL-URLs kann man unter
der Pseudo-URL „about:config“
ändern, wovor Firefox allerdings
mit einem „Hier endet möglicherweise
die Gewährleistung!“
warnt. Nach dem eingeforderten
Versprechen, vorsichtig zu sein,
führt die Eingabe von „identity“
im Suchfeld zur Einstellung browser.identity.ssl_domain_display,
deren
Wert man von 0 auf 1 setzt.
Damit gleicht Firefox die Adresszeile
von https-Sites der von EV-
SSL-Sites an, verwendet aber die
Farbe Blau statt Grün. Die Verwechslungsgefahr
mit ungesicherten
Seiten ist damit minimal.
Selbstgestricktes
Noch schlimmer als die Sites mit
herkömmlichen SSL-Zertifikaten
trifft es die Betreiber von Servern,
die kein Geld ausgeben
und sich ihr Zertifikat von einer
Community-basierten Zertifizierungsstelle
wie CAcert unterschreiben
lassen oder das einfach
selber tun. Deren Besucher
bekommen mit Firefox 3 nämlich
statt einer Warnung, die
man wegklicken kann, eine Fehlerseite
mit der Überschrift „Sichere
Verbindung fehlgeschlagen“.
Den Versuch, eine Ausnahme
zu definieren, quittiert der
Browser zunächst mit dem Hinweis,
dass man das besser sein
lassen sollte. Damit dürfte ein
Großteil der potenziellen Besucher
abgewimmelt sein.
Nur wer hartnäckig darauf
beharrt, eine Ausnahme hinzufügen
zu wollen, landet beim
nächsten Dialog, wo man das
Zertifikat laden kann. Doch ausgerechnet
hier bleiben die sicherheitsbewussten
Entwickler
auf halbem Weg stehen und versäumen
es, darauf hinzuweisen,
dass man den Fingerabdruck des
Schlüssels überprüfen muss, um
sich Gewissheit über dessen
Echtheit zu verschaffen. Dummerweise
blockiert die Zertifikatsansicht
dann auch noch das
Browser-Fenster, sodass man
sich nicht einmal im Web weitere
Informationen zu den dargestellten
Rohdaten verschaffen
kann. Und obwohl die meisten
Ausnahmen wohl eher „nur mal
eben schnell …“ angelegt werden,
speichert sie Firefox standardmäßig
gleich dauerhaft ab.
Ausnahmsweise
Insbesondere im universitären
Umfeld wird viel mit selbst signierten
Zertifikaten gearbeitet,
162 c’t 2008, Heft 20
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.