KK-Informationen über Proxy

[Fireball89]

Hallo,

ich würde gerne wissen ob es sicher sein kann, Kreditkarteninformation über einen Proxy zu senden oder es generell immer unsicher ist.

MfG,
Fireball89

 

[Benzer]

Generell immer unsicher solange du nicht Besitzer des Proxys bist.

 

[Enigma]

Das Senden an sich ist eigentlich nicht gefährlich, da es meist über SSL läuft und von keinem Dritten abgehört werden kann. Einen Proxy zu verwenden macht es dagegen unsicher, weil der Proxy-Betreiber deine Daten mitlesen kann.

Unsicher ist hingegen oft die Speicherung der Kreditkartendaten beim Anbieter. Also überlege dir genau, wem du deine Kreditkartendaten anvertraust. Eventuell ist es Sinnvoller ihm die Daten nicht zu geben und es über einen Treuhänder wie PayPal zu machen.

 

[Turas]

Du solltest auf jeden Fall darauf achten, dass die Verbindung mit https ist.

 

[Benzer]

Egal welche Verschlüsselung... der Proxyanbieter kann im Endeffekt mitlesen... wer vertrauliche Daten über einen unbekannten Proxy schickt, muss damit rechnen das theoretisch jemand mitgelesen hat.
(aktuelles Beispiel: BF3 im Ausland kaufen um es jetzt schon spielen zu können - was weiß ich wer hinter dem indischen / asiatischen Proxy sitzt?!)

 

[Enigma]

Und mitlesen heisst auch, dass er deine Session klauen kann. Wenn man z.B. auf Computerbase mit einem Proxy surft, kann der Proxy-Betreiber praktisch alles machen was du kannst. Mit der Ausnahme natürlich, dass er dein Kennwort wahrscheinlich nicht kennt Darum muss man beispielsweise bei Amazon vor jeder Bestellung sein Kennwort noch einmal eingeben.

 

[Turas]

Sofern das genutzte Zertifikat zB von EA stammt und vorausgesetzt, dass die entsprechende Verschlüsselung nicht geknackt ist, kann der Proxy nicht mitlesen.

Ergänzung (25. Oktober 2011)

@Enigma: Das wäre möglich

 

[Enigma]

Doch kann er. Lies dir mal durch, wovor dich SSL eigentlich schützen soll: Man in the Middle Angriffe. Aber genau das stellt ein Proxy dar. Darum baust du die verschlüsselte Verbindung immer nur zum Proxy auf.

Alternative wäre OpenVPN. Das Arbeitet auf Layer 2 (tap)/3(tun).

 

[Turas]

Wenn es vor Man-In-The-Middle-Attacken schützen soll, wäre es doch schwachsinnig wenn es das gerade nicht machen würde. Und wenn im als Zertifikat eins von EA steht, dann kann ja auch nur EA die Daten lesen und senden.

Ergänzung (25. Oktober 2011)

Falls du es mir nicht glaubst: Das ist über einen Singapur Proxy im Origin Store

 

[Fireball89]

also bei wikipedia finde ich im Man-in-the-Middle Artikel folgendes:

Anmerkung-SSL: Das bei HTTPS und TLS verwendete SSL beruht auf Zertifikaten; einem Paar (öffentlicher und privater) Schlüssel plus beschreibender Informationen. In der Regel bezieht man ein solches Zertifikat von einer vertrauenswürdigen, dritten Stelle. Jedoch ist zu bedenken, dass lediglich die Übertragung verschlüsselt wird, nicht aber die Datenverarbeitung im System des Clients. Ein weiterer Schwachpunkt: Wenn diese Stelle mit dem Lauscher kooperiert, z. B. auf behördliche Anordnung oder sie wurde kompromittiert, kann der Mann-in-der-Mitte einen SSL-Proxy aufbauen und unbemerkt mithören; natürlich kann er dann auch Inhalte vortäuschen. Wenn man allerdings das Zertifikat manuell prüft (z. B. durch Abgleich des Fingerabdrucks), scheidet diese Möglichkeit aus.

Das würde dann ja Turas Aussagen stützen, oder?

 

[Enigma]

Du müsstest bei jedem (!) Zertifikat davor prüfen, ob der Zertifikat-Fingerabdruck (nicht das was du mit dem Screenshot zeigst!) mit dem Echten übereinstimmt. Auch wenn dein Browser es als gültig einstuft, heisst das lange noch nichts. Das ist ja im Iran passiert, wo die gültige Zertifikate untergeschoben haben, ohne dass es jemand gemerkt hat. Und das war nicht bei jedem Request so, sondern nur bei einigen. Dadurch müsstest du bei jedem Verbindungsaufbau zum Server prüfen, ob du dieses eine mal das richtige Zertifikat hast - und das ist in einem Browser meines Wissens nach nicht möglich.

Ein Proxy ist grundlegend Böse, weil er deinen Datenverkehr mitlesen kann. Wenn du ihm vertraust ist das grob Fahrlässig. Ein Proxy zu betreiben kostet Geld und selten finanzieren welche das aus purer Nächstenliebe aus der eigenen Tasche. Ich würde einem fremden Proxy daher aus Prinzip keine so sensiblen Informationen wie Kreditkarteninformationen anvertrauen.