Debatte um Firefox-SSL-Erkennung neu angeheizt

Das neue Sicherheitswerkzeug in Firefox 3.0 von Mozilla bringt ein Pop-up-Fenster, das Nutzer im Falle von nicht verwendeter oder abgelaufener SSL-Verschlüsselung warnt. Sie können dann auf eigenes Risiko eine angeblich nicht geschützte Website betreten. Dass diese Information auch schädlich sein kann, behaupten jetzt einige Nutzer in den USA.

Zum einen verunsichere die Information viele Nutzer unnötig. Und zum anderen schlage der Firefox-Wachhund auch dann an, wenn ein SSL-Zertifikat vorhanden ist. Ist dies aber von einer Firma, mit der Mozilla keinen Vertrag hat, so wird die ganze Site quasi als “hackbar” oder gehackt gebrandmarkt, hieß es jetzt.

Mozilla – der Hersteller des Gratis-Browsers – hat sich inzwischen verteidigt. Zum einen berücksichtige die SSL-Einschätzung der Firma die aktuellen Sicherheitsfragen. Es würden nur die SSL-Partner berücksichtigt, die in der Self Signed Certificate-Gruppe sind – also eine Art von gegenseitiger und von Selbstkontrolle pflegen. Das habe nichts mit bevorzugten Partnern, sondern mit Sicherheit zu tun. Zum anderen rechtfertigte der Konzern die Missachtung abgelaufener Lizenzen durch das Tool. Schließlich stellten abgelaufene SSL-Zertifikate eine der einfachsten Einfallstore für Hacker dar. SSL wird aufgebaut, sobald eine Site eine verschlüsselte Verbindung verlangt, etwa beim Online-Banking.

Die Debatte wird jetzt mit neuer Heftigkeit geführt. Teilweise wird Mozilla indirekt Dummheit und Gier vorgeworfen. Die gemäßigten Attacken sprechen davon, dass die SSL-Erkennung in Firefox “weit von Perfektion entfernt” sei.