Am 02.03.2015 um 15:34 schrieb Jochen Fahrner:
Am 02.03.2015 um 14:56 schrieb Michael Ströder:
Hat halt schon auch was mit der mangelnden Auditierbarkeit von CACERT zu tun. Ich habe mir Details nicht durchgelesen, aber der Auditor war da ziemlich lange geduldig.
Naja, also wenn man sowas hier liest:
http://www.heise.de/security/meldung/Indien-stellte-falsche-Google-Zertifika... http://www.gulli.com/news/22932-google-ertappt-ssl-faelscher-franzoesisches-...
muss man feststellen dass man sowieso keiner CA mehr trauen kann. Von daher kann man sich die ganze Auditiererei auch gleich sparen, ist nur Geldmacherei.
Im Prinzip hat so ein Zertifikat 2 Funktionen: 1. enthält es den Public Key des Inhabers, und 2. soll es die Identität des Inhabers beglaubigen.
Zum verschlüsseln ist es egal ob ein Zertifikat beglaubigt ist, da reicht auch ein selfsigned Zertifikat. Und wie Fälle wie obige immer wieder zeigen, kann man sich auf die Beglaubigung auch nicht verlassen.
Ich würde das ganz anders lösen, ich würde die CA's komplett abschaffen. Jeder soll sich Zertifikate nach Belieben ausstellen (wie bei PGP), und Browser oder Mailclients sollen zunächst mal alle Zertifikate akzeptieren, aber als "unbestätigt" anzeigen. Da wo es mir auf die Identität des Inhabers ankommt (z.B. Online-Banking) muss der Anbieter halt den Fingerprint seines Zertifikats irgendwo angeben (z.B. auf seinem Briefpapier oder EC-Karte), und ich muss das in meinem Client prüfen und bestätigen.
Also im Prinzip die gleiche Vorgehensweise wie bei PGP, nur mit der S/MIME Infrastruktur. Und es wäre sicherer als das heutige System mit den CA's.
Also ich muss mich outen , ich bin weder Fan von s/mime oder gpg.
Um Massentauglichkeit zu erlangen, darf ein Standard zunaechst mal nichts kosten ( bzw ist in den Kosten fuer das Mailangebot bereits enthalten ) Er sollte mit/auf allen grossen Mailclients und Betriebsystemen lauffaehig sein, dazu natuerlich sicher und frei. Und er darf nicht komplizierter in der Bedienung werden als die Einrichtung eines Mailktos an sich, evtl sogar mir dieser verschmelzen.
Derweil sind alle Verbesserungen an s/mime und/oder pgp egal welcher Art willkommen. Ich teile nicht die Meinung das dies andere Entwicklungen per se behindert.
Allerdings halte ich es fuer wahrscheinlich das es ein "Neudenken" bei dem Thema bedarf..., jeden Gedankenaustausch etc der in diese Richtung geht wuerde ich aktiv unterstuetzen.
Best Regards MfG Robert Schetterer