Chrome 70 - Zertifikate

[asdwetgtrhe5sre]

In einem anderen Forum habe ich gerade eine Fragestellung gefunden, die mich auch interessiert:

"Chrome 70 - Tausende Webseiten gelten nächste Woche als unsicher -
Dazu habe ich 2 Fragen. Ist diese Zertifikation des Netz eine Art Zensur ("mal davon abgesehen, dass es Sicherheit bringen soll") im Internet? Heißt das, dass man Seiten mit dem Chrome-Browser nicht ansurfen kann und ggf. in der Google-Suche nichts findet, was nicht zertifiziert ist?"

Sicherlich ziehen hier dann auch die Antivirus-Suiten mit. Kann jemand dazu etwas sagen?

 

[frkazid]

Also Seiten ohne https rutschen im Ranking schon seit einiger Zeit etwas nach unten.

Eine Zensur würde ich das aber nicht nennen. Die Seiten lassen sich ja noch normal aufrufen, nur das sie aufgrund der fehlenden verschlüsselung als unsicher gelten und auch gekennzeichnet werden. Solange Chrome den Seitenaufruf nicht automatisch verhindert ist doch alles gut.

Ich muss ganz ehrlich gestehen, dass ich keine von mir aufgerufene Seite kenne, die noch kein Zertifikat bereitstellt. Ob da evtl. auch die alten von Symantec (vor 2016) dazu gehören wird man dann sehen.

 

[Saao]

Die andere Frage hat mein Vorposter schon beantwortet, aber was meinst du genau mit...

Sicherlich ziehen hier dann auch die Antivirus-Suiten mit. Kann jemand dazu etwas sagen?

Womit sollen die konkret mitziehen? Fast jede Suite installiert ein Zertifikat und prüft (blöderweise) in den Standardsettings auch die https Anbindung.

 

[Hauro]

Mit der Version 70 entzieht Google den Zertifikaten das Vertrauen, die auf Symantec-Zertifikaten basieren, die vor dem Juni 2016 ausgestellt wurden. Einen entsprechenden Schritt hatte Google schon vor längerer Zeit angekündigt und damit auf wiederholte Sicherheits-Probleme.

Siehe auch ComputerBase: Firefox Warnung bei TLS-Zertifikaten von Symantec

Eine Beispiel:
https://www.paypal.com
This server's certificate will be distrusted by Google and Mozilla from September 2018. MORE INFO »
Google and Mozilla are Deprecating Existing Symantec Certificates

www.paypal.com uses an invalid security certificate. The security certificate for www.paypal.com is not trustworthy because the issuing organization failed to follow security practices. Certificates issued by Symantec, including the Thawte, GeoTrust, and RapidSSL brands, are not considered safe.

Error code: MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED

Haben wie noctua.at jetzt auf DigiCert Inc (digicert). umgestellt.

Sicherlich ziehen hier dann auch die Antivirus-Suiten mit. Kann jemand dazu etwas sagen?

Ja, was ganz schlechtes einen Man in the middle attack.

Dieser Eingriff durch die Add-Ons/Plugins der Antiviren-Software macht Browser unsicher. Die Antiviren-Software hat Eingriffe in die gesichere Kommunikation zu unterlassen - es ist nichts anderes als ein Man-in-the-Middle Angriff.

In der Kryptographie und Computersicherheit ist ein man-in-the-Middle-Angriff (MITM) ein Angriff, bei dem der Angreifer heimlich Relais und möglicherweise die Kommunikation zwischen zwei Parteien ändert, die glauben, dass Sie direkt miteinander kommunizieren.

Sicherheitsforscher an AV-Hersteller: "Finger weg von HTTPS" [heise.de, 08.02.2017]

So erlaubten gemäß der Studie Produkte von Avast, Bitdefender, Bullguard, Dr.Web, Eset und Kaspersky direkte Angriffe auf die gesicherten Verbindungen.

Älter aber es zeigt die Probleme:
Studie: TLS-Proxies bringen Sicherheitsprobleme
Unter 14 Antivirus- und Kinderschutzprodukten, die Inhalte in gesicherten TLS-Verbindungen filtern, fand sich kein einziges, das dabei keine zusätzlichen Sicherheitsprobleme verursachte.

 

[leipziger1979]

Theoretisch sollte es reichen wenn man dem entsprechenden RootCA per Hand im Chrome wieder das Vertrauen gibt:

https://praxistipps.chip.de/chrome-zertifikate-verwalten-und-speichern-so-gehts_40081

Einen entsprechenden Schritt hatte Google schon vor längerer Zeit angekündigt und damit auf wiederholte Sicherheits-Probleme.

Ja, die Moralapostel von Google. Selber Sicherheitslücken bei Google+ vertuschen aber anderen in den Garten...

 

[Samurai76]

Naja, wenn ich als Betreiber eines nicht kleinen Serverparks plötzlich ein gefälschtes Zertifikat meiner Firma finde, würde ich dem Aussteller wohl auch das Vertrauen entziehen.