IETF 87: Posh gegen Mittelsmänner

Das DANE-Verfahren soll garantieren, dass IP-Verbindungen etwa beim E-Mail-Abholen tatsächlich zum beabsichtigten Server aufgebaut werden. Doch die Umsetzung stockt, weil sich DNSSEC als Basis nur schleppend verbreitet. Nun soll Posh aushelfen.

In Pocket speichern vorlesen Druckansicht 4 Kommentare lesen
Lesezeit: 2 Min.
Von
  • Monika Ermert

Das Verschlüsseln von Internet-Verbindungen per SSL oder TLS wie beim Surfen via HTTPS ist gut und schön. Um jedoch dabei Man-in-the-Middle-Angriffe zu verhindern, wäre es noch schöner, wenn beim Verbindungsaufbau sichergestellt würde, dass die SSL/TLS-Verbindung an der richtigen Stelle endet. Dabei kann die Authentifizierung per DANE helfen: DANE, dessen Entwickler in Berlin auf dem 87. Treffen der Internet Engineering Task Force (IETF) zusammenkommen, erlaubt es, im DNS Informationen über eigene Zertifikate und deren Zertifizierungsstellen (CA, Root-CA) zu hinterlegen. Damit kann etwa der Jabber-Client besser prüfen, ob das von einem Server vorgelegte Zertifikat gültig ist. Doch das dafür als Grundlage nötige DNSSEC verbreitet sich nur schleppend.

Ein neues Protokoll namens Posh (PKIX over Secure HTTP), soll nun zumindest die Authentifizierung von Servern erlauben, die Jabber-, Email- oder SIP-Dienste anbieten. Damit lasse sich dann eine sichere Verbindung starten. Als „leider sinnvollen Hack“ bezeichneten einzelne Beobachter die vorgeschlagene Lösung. Ihre Autoren, Matt Miller und Peter St. André vom Netzwerkausrüster Cisco, halten Posh mindestens solange für notwendig, wie die Endpunkt-Authentifizierung per DANE fehlt.

Posh sieht vor, dass der Hoster dem Kunden via HTTPS ein Posh-Token – für XMPP in Form eines JSON Web Key – ausstellt, das der anfragende Kommunikationspartner prüft, bevor er die sichere Verbindung startet. Das Protokoll sei einfach genug, um es in ganz kurzer Zeit zu implementieren, versichern die ersten, die es in Berlin ausprobiert haben. Damit ist aber nur die Echtheit des Endpunkts sichergestellt. Die Authentizität des für die anschließende SSL/TLS-Verbindung benutzten Zertifikats prüft Posh nicht, die Sicherung erstreckt sich also nicht auf den eigentlichen Datenverkehr. Möglicherweise gebe es aber auch dafür eine Lösung, so St. André, auch wenn dem DANE zuvorkommen könnte.

Die Sensibilität und das Misstrauen von Nutzern und Diensteanbietern sei im Zug der jüngsten Massenüberwachung und Spähaffären jedenfalls noch einmal größer geworden, erklärte Miller. Sichere Delegation sei deshalb das Hauptziel von Posh, so St. André. Alles, was Mittelsmann-Attacken erschwert und für mehr Verschlüsselung an verschiedensten Punkten in der Netzkommunikation sorgt, sei auf jeden Fall gut, meint Wendy Seltzer, Privacy-Expertin des W3C. (ea)