Die US-Universität hatte ihren Fachbereich für Computerwissenschaften mit der Lösung des Problems beauftragt. Bereits gestern stellten Studenten und Dozenten den Patch online. Er kann hier heruntergeladen werden.
Der Patch geht auf die Frage ein, wie der Browser mit abgelaufenen und selbst bewilligten SSL-Zertifikaten umgehen soll. Die meisten Websites, die im Geschäftsbereich tätig sind, haben bei dem ein oder anderen Trusted Center ein Zertifikat für ihre Verschlüsselung in Secure Socket Layer (SSL) hinterlegt. Wenn dieses nicht aktuell ist oder nicht durch einen kleinen Kreis von besonders vertrauenswürdigen Organisationen abgesegnet ist, schlug bisher im Firefox 3.0 ein digitaler Wachhund an.
Dieser wies die Nutzer in einem Pop-up-Fenster darauf hin, dass die nächsten Schritte gefährlich sein können. Schließlich sind abgelaufene SSL-Zertifikate eine willkommene Einstiegsmöglichkeit für Hacker. Außerdem können Zertifikate, die nicht von einer Handvoll wirklich vertrauenswürdiger Organisationen stammen, eventuell nicht so gut abgesichert werden. Dadurch können sie auch dem Site-Betreiber nicht die ausreichende Sicherheit bieten, was sich wiederum auf die Nutzer der Site niederschlagen kann.
Page: 1 2
Wo es früher auf Buchhalter, Schreiber und Boten ankam, geht es heute vor allem um…
Mit KI-Technologien lässt sich das Einkaufserlebnis personalisieren und der Service optimieren, sagt Gastautor Gabriel Frasconi…
Ein Großteil der weltweiten KI-Gelder fließt in den Finanzsektor. 2023 wurden in der Branche 87…
Die Übernahme des US-amerikanischen Anbieters Altair Engineering soll die Position im Markt für Computational Science…
Ein deutsch-französisches Projekt hat hybride Operationssäle entwickelt, die durch 5G-Netz und KI neue Anwendungen ermöglichen.
Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…
View Comments
?
Es gab kein "gefährliches Leck", keinen "Einstiegspunkt für Hacker", sondern Firefox hat sich lediglich zu heftig beschwert, wenn der Aussteller eines Zertifikates nicht zu den von Firefox (oder seinem Benutzer, der konnte auch vorher schon selbst entscheiden, wem er vertraut) akkreditierten gehörte.
Begriffe wie "wirklich vertrauenswürdig" sind in dem Zusammenhang absolut unsachlich.
Zertifikate müssen auch nicht "abgesichert" werden, auch der Site-Betreiber hat kein Sicherheits-Problem, das ist Humbug.
Fakt ist: egal was für ein Zertifikat verwendet wird, die Verbindung ist verschlüsselt. Passwörter, Daten, die ich in ein Formular eingebe, Seiten die ich abrufe, sind verschlüsselt, niemand kann sie mitlesen. Alles weitere in der Diskussion um Zertifikate dreht sich darum, ob die Seite, die ich sehe, tatsächlich die richtige ist. Hierfür gibt es die "Notare" - im Amtsdeutsch (SigG) Zertifikatsdiensteanbieter - die über ihre Geschäftsprozesse dafür sorgen sollen, dass nur der ein Zertifikat für http://www.meine-firma.de bekommt, der dazu auch berechtigt ist. Das klappt ganz gut, kostet aber nach meiner Erfahrung mehr als "15 Dollar". Die größten Anbieter sind in Firefox "schon drin". Die Probleme treten nur dann auf, wenn jemand ein Zertifikat von einem anderen Anbieter, oder z.B. ein eigenes verwendet. Mozilla steckt viel Mühe in die Auswahl der mitgelieferten Wurzel-Zertifikate. Die Idee dabei ist, dass Mozilla anhand fester Kriterien entscheidet, welche Anbieter "vertrauenswürdig" sind - im Übrigen gilt das dann noch lange nicht für die WWW-Seiten der Kunden.