- cross-posted to:
- privatsphaereimnetz
- cross-posted to:
- privatsphaereimnetz
Das nächste Überwachungsgesetz wegen dem wir die EU-Parlamentarier anschreiben sollten.
You must log in or register to comment.
Die Regierung will mal wieder Gesetze durchboxen, welche Massenüberwachung ermöglichen und es juckt nicht viele. Aber wehe sie zwingt einen eine Maske zu tragen, dann hat sich auf ein Mal die ganze Welt verschworen und will einem Böses. Dann spricht man von Unterdrückung und staatlicher Einmischung in das Privatleben und und und…
Es juckt auch deshalb nicht viele, weil man es einfach nicht mitbekommt. Ich habe das gestern erst per Mastodon zum ersten Mal nach langer Zeit wieder gesehen und war unangenehm überrascht, wie weit das schon gediehen ist.
Ich habe vor Jahren mal damit experimentiert, allen CAs im Browser das Vertrauen zu entziehen und dann nur die zu erlauben, die ich wirklich brauche. Waren am Ende, soweit ich mich erinnere, 12 CAs die ich wirklich brauchte. 12 von 150 oder so. Und jede einzelne CA ist ein potentielles Sicherheitsrisiko, wenn man sich an Diginotar erinnert.
Am Ende habe ich damit aufgehört, weil es inbesondere mit Android echt anstrengend ist herauszufinden, welche CA eine App braucht. Ich wünsche mir sehr, dass es für Nutzer erheblich einfacher wird, Vertrauen explizit auszusprechen.
IMO ist das CA System ohnehin … bescheiden. Technisch bessere Lösungen gäbe es am Papier, haben sich aber nie durchgesetzt (DNSSEC/TLSA ).
DNSSEC löst aber nicht das Problem der CA,oder?
Die Signatur im Record erfolgt mit einem Zertifikat und dieses wird ja auch ausgestellt von einer CA. Irgendwo muss die Chain of Trust eben starten.
No, DNSSEC simply moves the trust problem around a bit, but there’s no fundamentally different answer to the question of “who do I trust to verify who someone is on the internet”.
The CA system is terrible, but I’m not aware of any system thats a.) technically “better” by some relevant measure and b.) still sufficiently convenient (a technically perfect system that no one can use correctly is still pointless).
There’s several steps to make the CA system less terrible with things like certificate transparency logs, but those really only help to find out if a CA was abused, not really to avoid it. It’s an improvement, but it’s of the “we can kick out untrustworthy/incompetent CAs after they abused their power/messed up their security” kind and not of the “this prevents abuses of CA power” kind.
Die Idee war ja, die Fingerprints der Zertifikate im DNS abzulegen, und diese Einträge über DNSSEC zu signieren. Eine CA wäre nicht notwendig.
Die Chain of Trust wäre im DNS System, irgendeine Art Trust wird immer erforderlich sein.
Sorry wenn ich jetzt auf dem Schlauch stehe.
Deine Signatur der fingerprints im DNS führst du dann womit durch?
Weil wenn die Antwort dann wieder ist mittels Zertifikat, dann hast du immer noch das Problem die Vertrauenswürdigkeit dieses Zertifikats nachzuweisen. Und da käme traditionell eine CA ins Spiel.
Mit dem Signing Key von DNSSEC. Der wird von der übergeordneten Zone signiert (also für example.com wäre das der Betreiber von .com). Damit wären CA und DNS in einer Stelle zusammengefasst, separate CAs gäbe es nicht mehr.
Aber die Sache ist ohnehin gestorben und das CA System bleibt auf absehbare Zeit erhalten.
Ah, verstehe. Danke für die Erklärung!
Ein Vorschlag: Lasst mich doch einfach mal in Ruhe auf diesem verfickten Planeten leben, ohne alle zwei Wochen alles überwachen zu wollen.
Vorschlag abgelehnt. Überwachungsintervall auf 1x wöchentlich erhöht.
1x wöchentlich wäre ja fast schon schön.
Engmaschiger ist mit unseren behördlichen Strukturen nicht möglich. Aber fühl dich ja nicht zu sicher, Freundchen! Wir finden letztlich alles raus!