Dämliche Frage zu HTTPS

die Frage klingt vielleicht dämlich, aber ich finde nicht wirklich eine Antwort dazu im Netz. Wenn ich mit einem Browser eine Website mit HTTPS aufrufe, baue ich ja einen Tunnel auf, d.h. von meinem Browser zu Webserver ist die Verbindung verschlüsselt in weder mein Router, noch mein ISP, noch irgendwelche Men in the Middle Attacken können sehen, welche Daten übertragen werden. Soweit müsste das doch richtig sein?

Wenn ich jetzt eine Datei im Browser vom Server runterlade, also zum Beispiel von Computerbase einen Treiber oder ein Ubuntu Image, ist diese Downloadverbindung dann auch per HTTPS verschlüsselt? Und gilt das auch, wenn ich eine Datei von dem Server via wget oder curl runterlade?

Die Daten über https werden schon gesehen nur sind sie eben verschlüsselt. Bei http kann man das Password in Klartext abfangen: test123 und bei https sieht man man eben die verschlüsselte Version: XghGhHfC mit dem man ohne passende Entschlüsselung nichts anfangen kann.

Schau dir den Pfad an von den Downloads, sollten aber http sein.

-Razzer- schrieb:

Schau dir den Pfad an von den Downloads, sollten aber http sein.

Zum Vergrößern anklicken....

D.h. wenn der Pfad ebenfalls mit HTTPS anfängt, ist alles sicher? Also https://www.computerbase.de/downloads/ausgedachte_datei.img wäre vor MITM sicher?

Wenn ich das Zertifikat von Computerbase ergattere, kann ich theoretisch immer noch eine MITM-Attacke durchführen. Dazu müsste ich aber erreichen, dass deine DNS-Auflösung nicht auf deren originale IP zeigt (hosts-Datei modifizieren, Angriff auf die DNS-Server, Angriff auf deinen DNS-Cache,...), sondern auf einen Host, den ich kontrolliere. Alternativ kann ich auch deinen CA-Store (von Betriebssystem und/oder Browser) verschmutzen und mir selbst beliebige, gültige Zertifikate erstellen. Dann kannst du nicht mehr erkennen, dass ich dir was unterschiebe. TLS vertraut darauf, dass der Endpunkt seine Zertifikate sicher verwahrt.
Sollte so ein Zertifikatsverlust bekannt werden, kann man Zertifikate übrigens als ungültig deklarieren. Das führt aber für die Erklärung hier zu weit. Sollte dich das interessieren, schau mal nach "ocsp".

Die Downloads sind nicht unbedingt von Computerbase ausgeliefert. Ubuntu z.B. zeigt auf http://de.releases.ubuntu.com/17.10/ubuntu-17.10.1-desktop-amd64.iso und das siehst du auch im Download-Fenster. Wäre das eine https-URL, hättest du die gleiche Sicherheit wie sonst bei HTTPS. Um die Integrität von Downloads zu überprüfen, solltest du die Hashes vergleichen. Diese werden (sollten zumindest) per https ausgeliefert, was dir wiederum theoretisch (s.o.) garantiert, dass die Hashes nicht kompromittiert wurden.

curl und wget benutzen natürlich auch TLS, wenn du eine https-URL nutzt.

Wie Tumbleweed schon geschrieben hat auf den Dateipfad schauen:

vielen dank für Eure Erklärungen, das beantwortet meine Frage

Das war eine super Erklärung - vielen Dank

Tumbleweed schrieb:

Wenn ich das Zertifikat von Computerbase ergattere, kann ich theoretisch immer noch eine MITM-Attacke durchführen.

Zum Vergrößern anklicken....

Kleine Korrektur: Du musst den Private Key von Computerbase ergattern, das Zertifikat ist ja bereits öffentlich. Ich weiß, Klugscheißerei, aber bei Crypto-Zeugs muss man pingelig sein…

Ist korrekt. Ich weiß nicht mehr, ob ich das damals absichtlich vereinfacht ausgedrückt habe oder das einfach ein Flüchtigkeitsfehler war. Tatsächlich ist das im täglichen Umgang zumindest bei SSL-Zertifikaten fürs Web meistens eine einzelne Datei, die beide Teile des Schlüsselpaars enthält, daher spreche ich meist auch nur von "Zertifikat" und die Leute, mit denen ich rede wissen, wovon die Rede ist.