Die US-Universität hatte ihren Fachbereich für Computerwissenschaften mit der Lösung des Problems beauftragt. Bereits gestern stellten Studenten und Dozenten den Patch online. Er kann hier heruntergeladen werden.
Der Patch geht auf die Frage ein, wie der Browser mit abgelaufenen und selbst bewilligten SSL-Zertifikaten umgehen soll. Die meisten Websites, die im Geschäftsbereich tätig sind, haben bei dem ein oder anderen Trusted Center ein Zertifikat für ihre Verschlüsselung in Secure Socket Layer (SSL) hinterlegt. Wenn dieses nicht aktuell ist oder nicht durch einen kleinen Kreis von besonders vertrauenswürdigen Organisationen abgesegnet ist, schlug bisher im Firefox 3.0 ein digitaler Wachhund an.
Dieser wies die Nutzer in einem Pop-up-Fenster darauf hin, dass die nächsten Schritte gefährlich sein können. Schließlich sind abgelaufene SSL-Zertifikate eine willkommene Einstiegsmöglichkeit für Hacker. Außerdem können Zertifikate, die nicht von einer Handvoll wirklich vertrauenswürdiger Organisationen stammen, eventuell nicht so gut abgesichert werden. Dadurch können sie auch dem Site-Betreiber nicht die ausreichende Sicherheit bieten, was sich wiederum auf die Nutzer der Site niederschlagen kann.
Page: 1 2
Ein elementarer Bestandteil einer effektiven Cloud-Strategie ist nach erfolgter Implementierung die künftige Verwaltung des Dienstes.
Die Neuerungen sollen den Digital Thread, die Low-Code-Entwicklung, die Visualisierung komplexer Baugruppen und das Lieferantenmanagement…
Eine Bitkom-Umfrage attestiert der Datenraum-Initiative des Bundes hohe Bekanntheit in der Industrie. Doch noch ist…
Ransomware-as-a-Service ist ein lukratives Geschäft und in den Händen professionell organisierter Gruppen. Jetzt können Kriminelle…
Bad Bots richten nicht nur wirtschaftlichen Schaden an. Laut dem Bad Bot Report von Imperva…
Studie von OVHcloud verdeutlicht Stellenwert von Datenresidenz und Datensouveränität bei KI-Anwendungen.
View Comments
?
Es gab kein "gefährliches Leck", keinen "Einstiegspunkt für Hacker", sondern Firefox hat sich lediglich zu heftig beschwert, wenn der Aussteller eines Zertifikates nicht zu den von Firefox (oder seinem Benutzer, der konnte auch vorher schon selbst entscheiden, wem er vertraut) akkreditierten gehörte.
Begriffe wie "wirklich vertrauenswürdig" sind in dem Zusammenhang absolut unsachlich.
Zertifikate müssen auch nicht "abgesichert" werden, auch der Site-Betreiber hat kein Sicherheits-Problem, das ist Humbug.
Fakt ist: egal was für ein Zertifikat verwendet wird, die Verbindung ist verschlüsselt. Passwörter, Daten, die ich in ein Formular eingebe, Seiten die ich abrufe, sind verschlüsselt, niemand kann sie mitlesen. Alles weitere in der Diskussion um Zertifikate dreht sich darum, ob die Seite, die ich sehe, tatsächlich die richtige ist. Hierfür gibt es die "Notare" - im Amtsdeutsch (SigG) Zertifikatsdiensteanbieter - die über ihre Geschäftsprozesse dafür sorgen sollen, dass nur der ein Zertifikat für http://www.meine-firma.de bekommt, der dazu auch berechtigt ist. Das klappt ganz gut, kostet aber nach meiner Erfahrung mehr als "15 Dollar". Die größten Anbieter sind in Firefox "schon drin". Die Probleme treten nur dann auf, wenn jemand ein Zertifikat von einem anderen Anbieter, oder z.B. ein eigenes verwendet. Mozilla steckt viel Mühe in die Auswahl der mitgelieferten Wurzel-Zertifikate. Die Idee dabei ist, dass Mozilla anhand fester Kriterien entscheidet, welche Anbieter "vertrauenswürdig" sind - im Übrigen gilt das dann noch lange nicht für die WWW-Seiten der Kunden.