Debatte um Firefox-SSL-Erkennung neu angeheizt
Der Firefox 3.0 hat nach Ansicht vieler Nutzer einen Fehler in der Erkennung von Secure Socket Layer (SSL). Diese Verschlüsselung wird auch bei Websites verwendet. Doch die Erkennung bei Firefox reagiert angeblich zu empfindlich. Nun erbosen sich seit Wochen die Nutzer über angeblich gehackte Sites, die einfach nur eine “unbekannte” SSL verwenden.
Das neue Sicherheitswerkzeug in Firefox 3.0 von Mozilla bringt ein Pop-up-Fenster, das Nutzer im Falle von nicht verwendeter oder abgelaufener SSL-Verschlüsselung warnt. Sie können dann auf eigenes Risiko eine angeblich nicht geschützte Website betreten. Dass diese Information auch schädlich sein kann, behaupten jetzt einige Nutzer in den USA.
Zum einen verunsichere die Information viele Nutzer unnötig. Und zum anderen schlage der Firefox-Wachhund auch dann an, wenn ein SSL-Zertifikat vorhanden ist. Ist dies aber von einer Firma, mit der Mozilla keinen Vertrag hat, so wird die ganze Site quasi als “hackbar” oder gehackt gebrandmarkt, hieß es jetzt.
Mozilla – der Hersteller des Gratis-Browsers – hat sich inzwischen verteidigt. Zum einen berücksichtige die SSL-Einschätzung der Firma die aktuellen Sicherheitsfragen. Es würden nur die SSL-Partner berücksichtigt, die in der Self Signed Certificate-Gruppe sind – also eine Art von gegenseitiger und von Selbstkontrolle pflegen. Das habe nichts mit bevorzugten Partnern, sondern mit Sicherheit zu tun. Zum anderen rechtfertigte der Konzern die Missachtung abgelaufener Lizenzen durch das Tool. Schließlich stellten abgelaufene SSL-Zertifikate eine der einfachsten Einfallstore für Hacker dar. SSL wird aufgebaut, sobald eine Site eine verschlüsselte Verbindung verlangt, etwa beim Online-Banking.
Die Debatte wird jetzt mit neuer Heftigkeit geführt. Teilweise wird Mozilla indirekt Dummheit und Gier vorgeworfen. Die gemäßigten Attacken sprechen davon, dass die SSL-Erkennung in Firefox “weit von Perfektion entfernt” sei.
