Die US-Universität hatte ihren Fachbereich für Computerwissenschaften mit der Lösung des Problems beauftragt. Bereits gestern stellten Studenten und Dozenten den Patch online. Er kann hier heruntergeladen werden.
Der Patch geht auf die Frage ein, wie der Browser mit abgelaufenen und selbst bewilligten SSL-Zertifikaten umgehen soll. Die meisten Websites, die im Geschäftsbereich tätig sind, haben bei dem ein oder anderen Trusted Center ein Zertifikat für ihre Verschlüsselung in Secure Socket Layer (SSL) hinterlegt. Wenn dieses nicht aktuell ist oder nicht durch einen kleinen Kreis von besonders vertrauenswürdigen Organisationen abgesegnet ist, schlug bisher im Firefox 3.0 ein digitaler Wachhund an.
Dieser wies die Nutzer in einem Pop-up-Fenster darauf hin, dass die nächsten Schritte gefährlich sein können. Schließlich sind abgelaufene SSL-Zertifikate eine willkommene Einstiegsmöglichkeit für Hacker. Außerdem können Zertifikate, die nicht von einer Handvoll wirklich vertrauenswürdiger Organisationen stammen, eventuell nicht so gut abgesichert werden. Dadurch können sie auch dem Site-Betreiber nicht die ausreichende Sicherheit bieten, was sich wiederum auf die Nutzer der Site niederschlagen kann.
Page: 1 2
Angriffe auf APIs und Webanwendungen sind zwischen Januar 2023 und Juni 2024 von knapp 14…
Mit täglich über 45.000 eingehenden E-Mails ist die IT-Abteilung des Klinikums durch Anhänge und raffinierte…
Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…
Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…
DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).
Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.
View Comments
?
Es gab kein "gefährliches Leck", keinen "Einstiegspunkt für Hacker", sondern Firefox hat sich lediglich zu heftig beschwert, wenn der Aussteller eines Zertifikates nicht zu den von Firefox (oder seinem Benutzer, der konnte auch vorher schon selbst entscheiden, wem er vertraut) akkreditierten gehörte.
Begriffe wie "wirklich vertrauenswürdig" sind in dem Zusammenhang absolut unsachlich.
Zertifikate müssen auch nicht "abgesichert" werden, auch der Site-Betreiber hat kein Sicherheits-Problem, das ist Humbug.
Fakt ist: egal was für ein Zertifikat verwendet wird, die Verbindung ist verschlüsselt. Passwörter, Daten, die ich in ein Formular eingebe, Seiten die ich abrufe, sind verschlüsselt, niemand kann sie mitlesen. Alles weitere in der Diskussion um Zertifikate dreht sich darum, ob die Seite, die ich sehe, tatsächlich die richtige ist. Hierfür gibt es die "Notare" - im Amtsdeutsch (SigG) Zertifikatsdiensteanbieter - die über ihre Geschäftsprozesse dafür sorgen sollen, dass nur der ein Zertifikat für http://www.meine-firma.de bekommt, der dazu auch berechtigt ist. Das klappt ganz gut, kostet aber nach meiner Erfahrung mehr als "15 Dollar". Die größten Anbieter sind in Firefox "schon drin". Die Probleme treten nur dann auf, wenn jemand ein Zertifikat von einem anderen Anbieter, oder z.B. ein eigenes verwendet. Mozilla steckt viel Mühe in die Auswahl der mitgelieferten Wurzel-Zertifikate. Die Idee dabei ist, dass Mozilla anhand fester Kriterien entscheidet, welche Anbieter "vertrauenswürdig" sind - im Übrigen gilt das dann noch lange nicht für die WWW-Seiten der Kunden.