• Zacryon@feddit.de
    link
    fedilink
    Deutsch
    arrow-up
    39
    ·
    8 months ago

    Die Regierung will mal wieder Gesetze durchboxen, welche Massenüberwachung ermöglichen und es juckt nicht viele. Aber wehe sie zwingt einen eine Maske zu tragen, dann hat sich auf ein Mal die ganze Welt verschworen und will einem Böses. Dann spricht man von Unterdrückung und staatlicher Einmischung in das Privatleben und und und…

    • spitouttheboneOP
      link
      fedilink
      Deutsch
      arrow-up
      23
      ·
      8 months ago

      Es juckt auch deshalb nicht viele, weil man es einfach nicht mitbekommt. Ich habe das gestern erst per Mastodon zum ersten Mal nach langer Zeit wieder gesehen und war unangenehm überrascht, wie weit das schon gediehen ist.

  • state_electrician
    link
    fedilink
    Deutsch
    arrow-up
    22
    ·
    8 months ago

    Ich habe vor Jahren mal damit experimentiert, allen CAs im Browser das Vertrauen zu entziehen und dann nur die zu erlauben, die ich wirklich brauche. Waren am Ende, soweit ich mich erinnere, 12 CAs die ich wirklich brauchte. 12 von 150 oder so. Und jede einzelne CA ist ein potentielles Sicherheitsrisiko, wenn man sich an Diginotar erinnert.

    Am Ende habe ich damit aufgehört, weil es inbesondere mit Android echt anstrengend ist herauszufinden, welche CA eine App braucht. Ich wünsche mir sehr, dass es für Nutzer erheblich einfacher wird, Vertrauen explizit auszusprechen.

    • cron@feddit.de
      link
      fedilink
      Deutsch
      arrow-up
      3
      ·
      8 months ago

      IMO ist das CA System ohnehin … bescheiden. Technisch bessere Lösungen gäbe es am Papier, haben sich aber nie durchgesetzt (DNSSEC/TLSA ).

      • teichflamme@lemm.ee
        link
        fedilink
        Deutsch
        arrow-up
        4
        ·
        edit-2
        8 months ago

        DNSSEC löst aber nicht das Problem der CA,oder?

        Die Signatur im Record erfolgt mit einem Zertifikat und dieses wird ja auch ausgestellt von einer CA. Irgendwo muss die Chain of Trust eben starten.

        • rentar42@kbin.social
          link
          fedilink
          arrow-up
          2
          ·
          8 months ago

          No, DNSSEC simply moves the trust problem around a bit, but there’s no fundamentally different answer to the question of “who do I trust to verify who someone is on the internet”.

          The CA system is terrible, but I’m not aware of any system thats a.) technically “better” by some relevant measure and b.) still sufficiently convenient (a technically perfect system that no one can use correctly is still pointless).

          There’s several steps to make the CA system less terrible with things like certificate transparency logs, but those really only help to find out if a CA was abused, not really to avoid it. It’s an improvement, but it’s of the “we can kick out untrustworthy/incompetent CAs after they abused their power/messed up their security” kind and not of the “this prevents abuses of CA power” kind.

        • cron@feddit.de
          link
          fedilink
          Deutsch
          arrow-up
          2
          ·
          8 months ago

          Die Idee war ja, die Fingerprints der Zertifikate im DNS abzulegen, und diese Einträge über DNSSEC zu signieren. Eine CA wäre nicht notwendig.

          Die Chain of Trust wäre im DNS System, irgendeine Art Trust wird immer erforderlich sein.

          • teichflamme@lemm.ee
            link
            fedilink
            Deutsch
            arrow-up
            1
            ·
            8 months ago

            Sorry wenn ich jetzt auf dem Schlauch stehe.

            Deine Signatur der fingerprints im DNS führst du dann womit durch?

            Weil wenn die Antwort dann wieder ist mittels Zertifikat, dann hast du immer noch das Problem die Vertrauenswürdigkeit dieses Zertifikats nachzuweisen. Und da käme traditionell eine CA ins Spiel.

            • cron@feddit.de
              link
              fedilink
              Deutsch
              arrow-up
              3
              ·
              8 months ago

              Mit dem Signing Key von DNSSEC. Der wird von der übergeordneten Zone signiert (also für example.com wäre das der Betreiber von .com). Damit wären CA und DNS in einer Stelle zusammengefasst, separate CAs gäbe es nicht mehr.

              Aber die Sache ist ohnehin gestorben und das CA System bleibt auf absehbare Zeit erhalten.

  • aaaaaaaaargh@feddit.de
    link
    fedilink
    Deutsch
    arrow-up
    15
    ·
    8 months ago

    Ein Vorschlag: Lasst mich doch einfach mal in Ruhe auf diesem verfickten Planeten leben, ohne alle zwei Wochen alles überwachen zu wollen.