Moin,
so langsam nervt micht die Haltung im Heise-Verlag ja schon ganz
schön. Da wird kein Stück weit differenziert, wann und wo
verschlüsselung sinnvoll ist, siondern nach dem einfachen Schema
Verschlüsselung=gut, Roh=schlecht geblubbert.
So leicht geht das aber nicht. Die "Genußmittel-Händler" hinterm
Hauptbahnhof sind auch immer ganz "vertraulich", trotzdem würde ich
denen nie über den Weg trauen. Aber sobald Heise "Israel" hört denkt
er gleich "Mossat". Mensch! Das ist ja fast so simpel wie
amerikanische Politik! Sehr schön!
SSL aber war noch nie sicher. Und den Eindruck zu erwecken, ein
Betreiber eines https-Servers sei vertrauenswürdiger als ohne, ist
schlicht naiv. nein dumm, dämlich, hin bis idiotisch. Alleine gegen
MITM hilft das. Weiters kann ich nicht nachvollziehen, dass Heise den
Eindruck erweckt, Verisign sei ein vetrauenswürdiger Aussteller von
Zertifikaten, insbesondere, wo doch Heise selbst mehrfach auch die
falschen Miscrosoft-Zert. hingewiesen hat. (Und mir ihrem DNS-Scheiss
vor ein paar Monaten haben die eh bei mir verschissen.)
Eine CA taugt m.E. nur im engeren Umfeld, d.h. nur soweit der Arm des
Verantwortlichen reicht. Also Unternehmensweit, vielleicht auch nur
Abteilungsweit. Denn: Ist das Cert erstmal ausgestellt bringt auch
eine 4-wöchentlich aktualisierte CRL nichts mehr. Nicht zu vergessen
der nervige Traffic beim Verifiziern einer endlos langen
CA-Hierarchie. Ach ja: Und die Extensions kann man trotzdem
ignorieren.
Insofern sind die Web-Of-Trust Ideen etwa von Thwate eine
Katastrophe. Mich würde mal interessiern, was Volker Weber als
Haus-Autor und Thwate-Notary dazu zu sagen hat...
Verabschiedet euch von der Idee, 20-50 Root-CA in euren Cert-Stores
zu halten und damit auf der sicheren Seite zu sein. GERADE DIESE CAs
sind für mich am wenigsten vertrauenswürdig, weil zu groß.
Vielleicht sollte Heise mal wieder anfangen nachzudenken und aufhören
sich als deutsches Kompetenzzentrum in Sachen IT zu sehen. Das seit
ihr schon lange nicht mehr.
--
so langsam nervt micht die Haltung im Heise-Verlag ja schon ganz
schön. Da wird kein Stück weit differenziert, wann und wo
verschlüsselung sinnvoll ist, siondern nach dem einfachen Schema
Verschlüsselung=gut, Roh=schlecht geblubbert.
So leicht geht das aber nicht. Die "Genußmittel-Händler" hinterm
Hauptbahnhof sind auch immer ganz "vertraulich", trotzdem würde ich
denen nie über den Weg trauen. Aber sobald Heise "Israel" hört denkt
er gleich "Mossat". Mensch! Das ist ja fast so simpel wie
amerikanische Politik! Sehr schön!
SSL aber war noch nie sicher. Und den Eindruck zu erwecken, ein
Betreiber eines https-Servers sei vertrauenswürdiger als ohne, ist
schlicht naiv. nein dumm, dämlich, hin bis idiotisch. Alleine gegen
MITM hilft das. Weiters kann ich nicht nachvollziehen, dass Heise den
Eindruck erweckt, Verisign sei ein vetrauenswürdiger Aussteller von
Zertifikaten, insbesondere, wo doch Heise selbst mehrfach auch die
falschen Miscrosoft-Zert. hingewiesen hat. (Und mir ihrem DNS-Scheiss
vor ein paar Monaten haben die eh bei mir verschissen.)
Eine CA taugt m.E. nur im engeren Umfeld, d.h. nur soweit der Arm des
Verantwortlichen reicht. Also Unternehmensweit, vielleicht auch nur
Abteilungsweit. Denn: Ist das Cert erstmal ausgestellt bringt auch
eine 4-wöchentlich aktualisierte CRL nichts mehr. Nicht zu vergessen
der nervige Traffic beim Verifiziern einer endlos langen
CA-Hierarchie. Ach ja: Und die Extensions kann man trotzdem
ignorieren.
Insofern sind die Web-Of-Trust Ideen etwa von Thwate eine
Katastrophe. Mich würde mal interessiern, was Volker Weber als
Haus-Autor und Thwate-Notary dazu zu sagen hat...
Verabschiedet euch von der Idee, 20-50 Root-CA in euren Cert-Stores
zu halten und damit auf der sicheren Seite zu sein. GERADE DIESE CAs
sind für mich am wenigsten vertrauenswürdig, weil zu groß.
Vielleicht sollte Heise mal wieder anfangen nachzudenken und aufhören
sich als deutsches Kompetenzzentrum in Sachen IT zu sehen. Das seit
ihr schon lange nicht mehr.
--