Internet-Dienste, die Anonymität und Verschlüsselung anbieten, sollen als erste eine Chatkontrolle durchführen. Das geht aus Dokumenten der belgischen Ratspräsidentschaft hervor, die wir veröffentlichen. Bürgerrechtsorganisationen aus ganz Europa fordern die Ablehnung des Vorschlags.
Also das sehe ich schon sehr anders, allein, wenn ich an SSH denke. Und ungesichertes HTTP möchte ich - Zertifikatsstelle hin oder her - ganz sicher nicht. Es liegt doch am Nutzer selbst, man kann in den meisten Browsern und Systemen auch die CAs entfernen, die man selbst nicht will.
SSH macht es halt richtig, aber SSH ist keine wirkliche Mainstream-Anwendung.
Der durchschnittliche Nutzer ist bestenfalls gerade mal in der Lage, sein Gerät ohne fremde Hilfe einzuschalten. Irgendwelche CAs zu beurteilen und zu entfernen dürfte deren Fähigkeiten leicht übersteigen.
Das ist korrekt, aber dann zeichnest du für meinen Geschmack das Problem am falschen Ort. TLS kann ja nichts dafür, wenn CAs zu freizügig vertraut wird.
Davon abgesehen, das würde mich wirklich interessieren: welche fragwürdigen CAs meinst du denn, denen vertraut wird?
Alle staatlichen zum Beispiel.
Welche sind das? Will dich nicht mit der Frage hinters Licht führen, aber ich brauche mal nen Anhaltspunkt, damit ich mir das gleich mal ansehen kann anstatt zu arbeiten.
update: also bund.de nutzt z.B. D-Trust, was der Bundesdruckerei gehört. Das halte ich schon für vertrauenswürdig. Ich dachte jetzt eigentlich eher, dass du zwielichtige Privatunternehmen meinst.
Hab da gerade mal in nen Firefox reingeschaut, bin aber nicht mehr zu 100% sicher, ob ich den nicht schon mal ausgemistet hatte, denn da waren nur noch wenige eindeutig staatlichen Zertifizierer drin:
Leider haben auch die kommerziellen Zertifizierer gerne Namen, die irgendwie “offiziell” klingen, ist also teilweise schwierig zu unterscheiden.
Außerdem gibt es ja auch noch staatsnahe gewerbliche Dienstleister, z.B. T-Systems in Deutschland. Bei denen würde es mich sehr wundern, wenn sie nicht auf Zuruf Fake-Zertifikate für diverse Dienste und Polizeien austellen würden.
Update:
Staatliche Zertifizierer sind insofern vertrauenswürdig, dass sie Zertifikate für staatliche Stellen ausstellen. Ob das jetzt für irgendein normales staatliches Angebot ist, oder für irgendeinen Geheimdienst oder sonstige Ermittlungsbehörden,ist aber eine ganz andere Frage.
deleted by creator