Schlechter Scherz, oder?

[Orchidee]

Es soll ja Menschen geben, die einen schlechten Scherz sehr spaßig finden. Ich nicht.

Ich habe durch Zufall entdeckt, dass mein
G Data AntiVirus Proxy Service
C:\program files (x86)\common files\g data\avkproxy\avkproxy.exe, Signaturgeber ist VeriSign.
zu einer Webseite IP: xxx verbindet, die von FF WOT als schlecht bewertet wird. Besser gesagt einer hat da eine schlechte Bewertung abgegeben.

Die IP gehört zu VeriSign, siehe http://whois.domaintools.com/

Was haltet ihr davon?

 

[RolleRK]

Bei WOT kann halt jeder bewerten, wie er möchte.
Für Firefox und Internet Explorer kann man aber zusätzlich noch McAfee SideAdvisor installieren.
http://www.siteadvisor.com/download/windows.html
Der ist zwar nicht immer aktuell aber gibt doch nützliche Hinweise.

 

[Orchidee]

Ok, probiere ich mal. Stimmt, dann kann man gegenprüfen. Ich habe eh standardmäßig alle Skripte und iFrames deaktiviert, dann sollte eigentlich weniger passieren. Oder?

Ergänzung (20. Februar 2010)

SiteAdvisor sagt: "Wir haben diese Site getestet und keine schwerwiegenden Probleme gefunden".
Norton Website-Sicherheit sagt: "Website ist sicher".
Das ist wie bei Wikipedia, es gibt immer Spielverderber.

Und die nächste Frage ist. Warum treibt sich G Data AntiVirus Proxy Service auf solchen Seiten rum?

 

[Boogeyman]

Dann wende dich doch an den Support von Gdata:
http://www.gdata.de/support/kontaktdaten.html

 

[Scheinweltname]

Windows selbst verbindet sich regelmäßig mit Verisign, z.B. wenn man etwas installiert (vermutlich, um die Signatur zu prüfen). Ich vermute mal, dass ein anderes Programm (z.B der svchost) über den GDATA-Proxy kommuniziert hat (bei Kaspersky wird auch alles über die eigene avp.exe umgeleitet).

Web of Trust ist sowieso Müll.

Edit: Ist das eine Website oder lediglich ein Server von VeriSign? (werde ich nicht selbst ausprobieren ). D.h. ging irgendwann ein Browserfenster auf, oder wurde nur eine Verbindung zu der IP hergestellt, und du hast zum Test die IP im Firefox geöffnet?

 

[Orchidee]

Ich habe nur die IP raus bekommen, es ging keine Seite auf, und in den FF eingegeben. Es ist eine FTP Seite. Im Bild (.png) oben sieht man noch gerade den Hintergrund.

Mich wundert es nur, das einer so eine Mist-Bewertung abgibt, oder ob auf der Seite wirklich etwas ist. Weiter geöffent habe ich die Seite noch nicht nur bis zur WOT Meldung. Die IP habe ich in der W7 Firewall mal geblockt. Mal weiter schauen.

Ach, der Link oben ist nur eine Seite wo man einen DNS Namen zu einer IP bekommt. Die IP, die ich meine habe ich nicht direkt angegeben.

 

[Scheinweltname]

Mich wundert es nur, das einer so eine Mist-Bewertung abgibt, oder ob auf der Seite wirklich etwas ist. Weiter geöffent habe ich die Seite noch nicht nur bis zur WOT Meldung. Die IP habe ich in der W7 Firewall mal geblockt. Mal weiter schauen.

ich würde die IP wieder ent-blocken oder aber konsequent alles von Verisign sperren. Ich habe meine Firewalls (Win7 und Kaspersky) per Whitelist auf ganz bestimmte, sehr wenige IPs beschränkt (alles andere wird geblockt); aber die wichtigsten IP-Bereiche /CIDRs von VeriSign sind dabei!
199.7.71.0/22 (in dieser CIDR befindet sich "deine" Adresse)
199.7.48.0/20
199.16.80.0/20

Ich vermute mal, dass die WoT-Bewertung von einem einzigen erschreckten User gemacht wurde, der durch irgendeinen Link auf die Seite kam (z.B. in einem Forum über digitale Zertifikate oder so) (bzw. die IP-Adresse eingegeben hat, nachdem er sie im Firewall-Log oder sonstwo gesehen hat) und konnte sich aus den Dateien auf dem Server keinen Reim machen und hat sie deswegen schlecht bewertet. Hast du dir mal die "Bewertungsdetails und Kommentare" angesehen? Ich wette, dass das nur ein User bewertet hat.

Wenn VeriSign nicht vertrauenswürdig ist, dann muss man allem Digitalen misstrauen, denn alle wichtigen Software-Hersteller nutzen Signaturen von VeriSign bzw. lassen die Echtheit ihrer Zertifikate von VeriSign bestätigen.

Komisch finde ich nur, dass man offensichlich problemlos per HTTP (port 80!) auf Server von VeriSign zugreifen kann; ob das so gewollt ist?
EDIT: Offenbar lässt sich keine andere IP-Adresse von VeriSign per HTTP öffnen ... vielleicht hat es mit dieser einen Adresse eine bestimmte Bewandtnis. Außerdem bestärkt mich das weiterhin in dem Glauben, dass dieser Link in irgendeinem Forum aufgetaucht ist, ein unbedarfter User draufgeklickt hat und vor Schreck bei WoT eine schlechte Bewertung abgegeben hat.

Kannst dem VeriSign-Kundenservice ja mal schreiben

p.s. Ein einfacher Test:
Suche dir eine *.exe mit digitaler Signatur von VeriSign (z.B. firefox.exe) --> Rechtklick Eigenschaften --> Digitale Signaturen --> Klicke auf den Signaturgeber und dann "Details". Dann sollte es einen kurzen Moment dauern, und das nächste Fenster ("Die Signatur ist gültig") erscheint; im Fenster "Gegensignaturen" steht Verisign. Um zu prüfen, ob die Signatur nicht ungültig ist, verbindet sich der svchost (vermutlich über deinen GData-Proxy) zu einem VeriSign-Server; alle unter dem Namen crl.verisign.net [*]. Das gleiche passiert, wenn du in Task-Monitoren (z.B. ProcessExplorer von Sysinternals) die Signaturen prüfen lässt. Das Programm verbindet sich dann zu VeriSign-Servern.


[*] CRL steht für Certificate Revocation List: http://de.wikipedia.org/wiki/Zertifikatsperrliste. Die Verbindung wird aufgebaut, um zu prüfen, ob die Signatur noch gültig ist. Wenn du die IPs von VeriSign sperrst, würdest du nicht erfahren, ob ein Zertifikat, z.B. wegen Missbrauchs, gesperrt ist.

 

[Orchidee]

ich würde die IP wieder ent-blocken...

Schon erledigt. Auf http://www.robtex.com/dns/crl.verisign.net.html sind auch andere IPs aufgeführt, darunter auch "meine". Da hat schon einer gegen-Bewertet (Bild).
Wenn das ein VeriSign Certificate Revocation Server/List ist, dann hat ein Programm dort nachgeschaut, über Gdata Proxy, ob ein Zertifikat aufgeführt ist. Wenn das stimmt habe ich es jetzt verstanden.

Ich habe meine Firewalls (Win7 ...) per Whitelist auf ganz bestimmte, sehr wenige IPs beschränkt (alles andere wird geblockt)...

Ja, das geht wunderbar einfach.(*)

Ich vermute mal, dass die WoT-Bewertung von einem einzigen erschreckten User gemacht wurde...

Mittlerweile hat sich die Bewertung geändert. Zu Beginn war es wirklich nur einer, der "WOT Expert". Siehe Bild". Jetzt sind an den Pfeilen weitere Bewertungen hinzugekommen.

Wenn VeriSign nicht vertrauenswürdig ist, dann muss man allem Digitalen misstrauen...
Komisch finde ich nur, dass man offensichlich problemlos per HTTP (port 80!) auf Server von VeriSign zugreifen kann; ob das so gewollt ist?
EDIT: Offenbar lässt sich keine andere IP-Adresse von VeriSign per HTTP öffnen ...

Genau dasselbe hat mich auch gewundert. Auf http://www.robtex.com/dns/crl.verisign.net.html sind auch andere IPs genannt.

...Um zu prüfen, ob die Signatur nicht ungültig ist, verbindet sich der svchost (vermutlich über deinen GData-Proxy) zu einem VeriSign-Server; alle unter dem Namen crl.verisign.net [*]. Das gleiche passiert, wenn du in Task-Monitoren (z.B. ProcessExplorer von Sysinternals) die Signaturen prüfen lässt. Das Programm verbindet sich dann zu VeriSign-Servern...

Der netstat Befehl hat mir da auch sehr weiter geholfen.

Danke für alle Antworten, besonders die ausführlichen von Scheinweltname
und Gruß.

Edit: (*)Dieses Verfahren ist natürlich nur für diejenigen, die genau wissen welche IPs absolut notwendig sind. Ich z.B. hätte z.B. die IPs von VeriSign einfach ignoriert. Fatal !