Untersuchung von verschlüsselter Verbindungen in aktuellen AV-Programmen

[SEL33]

Ja natürlich,habe ich ja geschrieben.Problem beim Webscanner,die arbeiten auch mit
sogenannten Blacklisten,die relativ selten aktualisiert werden.
Steuert man z.B.eine Seite an,die früher einmal kompromittiert war,heute aber sauber ist,
blockt u.U. der Webscanner diese Seite aufgrund der nicht aktualisierten Blacklist.

 

[purzelbär]

Ja natürlich,habe ich ja geschrieben.Problem beim Webscanner,die arbeiten auch mit
sogenannten Blacklisten,die relativ selten aktualisiert werden.
Steuert man z.B.eine Seite an,die früher einmal kompromittiert war,heute aber sauber ist,
blockt u.U. der Webscanner diese Seite aufgrund der nicht aktualisierten Blacklist.

Stimmt aber generell so auch nicht deine Aussage cc207was du hier beschreibst, sind die Webscanner von zum Beispiel EAM die nach Blacklisten arbeiten. Die Webscanner von Eset, Avast usw. sind jedoch sog. HTTP Scanner die mit Signaturen den HTTP Traffic scannen und zum Beispiel Browserunabhängig sind.

 

[SEL33]

Klar arbeiten Webscanner mit Signaturen,deshalb habe ich geschrieben,das
Webscanner der Hersteller *auch* mit Blacklisten arbeiten.Zumal ich die Arbeitsweise
der reinen HTTP-Scanner nur kurz angeschnitten habe.
Fast jeder Hersteller,der einen Webscanner(auch mit SSL-Unterstützung)anbietet,
arbeitet neben den Signaturen mit Blacklisten.
Andere Wege gehen Kaspersky und Eset die in ihren Webscannern noch eine zusätzliche
Heuristik verbaut haben.

Ergänzung (5. Oktober 2015)

Hier macht dieses sinnlose Scannen in https-Sitzungen wieder Probleme:

https://www.computerbase.de/forum/t...hang-mit-firefox-41-01.1519745/#post-17955066

 

[tiash]

Meistens dürfte das HSTS sein, was im Zusammenhang mit SSL Analyse der Virenscanner Probleme bereitet. Die Technik kennt man auch unter dem Namen "Certificate Pinning". Im Prinzip sagt die Webseite dem Browser beim ersten Aufruf, dass nur dieses eine Zertifikat für die Seite gültig ist. Wenn ein Virenwächter dann dazwischen haut, erkennt der Browser einen Betrugsversuch und stellt die Verbindung nicht her.
Da die Technik immer weiter ausgerollt wird, müssen sich die Antivirenhersteller bald hoffentlich damit auseinander setzen, wie sie mit der Thematik umgehen. Ansonsten riskieren sie ein unbenutzbares Web.