TLS des tages

Verschlüsselt alles, benutzt überall TLS, betrachtet alles andere als ein großes sicherheitsproblem, haben sie uns gesagt. Schon schade, wenn diese verschlüsselung dann keine sicherheitsprobleme (sehr wohl aber vertraulichkeitsprobleme) löst, aber dafür ein paar neue sicherheitsprobleme schafft, so übel, dass eine wördpress-webseit schon gepwnt ist, bevor sie überhaupt onlein geht:

WordPress ist ein prominentes Beispiel dafür: Man lädt die Basis-Installation auf den Server und startet den Installer auf https://mysite.irgend.wo/wp-admin/setup-config.php, um gleich ein neues Passwort zu setzen. Doch da kommt man vielleicht schon zu spät. Denn typischerweise hat man kurz zuvor einen neuen Server eingerichtet und für diesen auch ein neues Zertifikat erstellt. Dieser Vorgang wird im öffentlich einsehbaren Protokoll der Certificate Transparency dokumentiert. Diverse Angreifer monitoren diese CT-Änderungen und liegen dann schon auf der Lauer, wenn der Eigentümer dort etwas installiert. Dazu warten sie etwa auf das Auftauchen der typischen WordPress-Installer-URLs. Typischerweise 4 Minuten dauerte es in Smitkas Selbstversuchen, bis die ersten Hintertüren auf dem System waren; ein Angreifer benötigte weniger als 1 Minute. Das als Gegenprobe ohne HTTPS eingerichtete WordPress-System blieb hingegen völlig unbehelligt

Bwahahahaha! 😂️

Das ist doch sicherlich nur eine obskure teoretische möglichkeit, die ganzen sicherheitsexperten raten doch alle zu TLS?

Smitka gelang es, zumindest eine Angreifergruppe bei ihrem Tun zu beobachten. Innerhalb weniger Tage kaperten die über 800 WordPress-Systeme, deren Eigentümer er direkt benachrichtigte. Doch es ist davon auszugehen, dass dieses Problem noch viel größer ist und tausende WordPress-Systeme auf diesem Weg kompromittiert wurden

Bwahahahaha! 🤣️

Leute, glaubt niemals, dass eine erhöhung der komplexität die sicherheit von kompjutern erhöht! Auch nicht, wenn es ein „experte“ für irgendwas sagt. Und erst recht nicht, wenn es ein scheißjornalist sagt, der von nix eine ahnung hat. Was die sicherheit eines kompjuters erhöht, ist nicht die erhöhung von komplexität, sondern die redukzjon von komplexität. Im idealfall eine so weitgehende redukzjon von komplexität, dass man alles noch selbst verstehen kann.

Gut, wenn man TLS braucht — etwa, weil man güter, geld oder abhör- und zensurgefährdetes zeug aller art ins web stellen will — dann kommt man nicht umhin, TLS zu benutzen, es gibt im moment nix besseres. Aber einfach TLS als schlangenöl aufzutragen oder „weil es alle so machen“, wird leicht kontraproduktiv. Zumal die zentralistische organisazjon mit im brauser hinterlegten CAs — ein faktisch sichereres selbstsigniertes zertifikat wird ja seit vielen vielen jahren jedem seit-besucher von brauser als ganz gefährliches sicherheitsrisiko angezeigt, für das er erstmal unter genuss von großen warnungen eine ausnahmeregel konfigurieren muss, was jeden unerfahrenen menschen abschrecken dürfte — eine zusätzliche möglichkeit für manipulazjonen durch staatliche oder große wirtschaftliche organisazjonen darstellt. Ich habe jedenfalls kein vertrauen zu den CA-klitschen, die ab werk im brauser als sicher betrachtet werden. Und wer sich diese insgesamt mehr als nur etwas gruselige liste mal angeschaut hat…

…wird mir in meinem vertrauensmangel hoffentlich zustimmen.

Security des tages

Lenovo, Dell und HP setzen in der UEFI-Firmware ihrer Geräte teilweise auf mehr als 10 Jahre alte Versionen von OpenSSL. Damit sind natürlich auch all die Sicherheitslücken mit an Bord, die in der Zwischenzeit geschlossen wurden

Jornalistische glanzleistung des tages

Golem, nach eigener einschätzung „IT-njuhs für profis“ (leider nicht von profis), hat prof. dr. Offensichtlich um beratung für neue temen gebeten und hat jetzt voll investigativ rausgekriegt, dass TLS mit seiner in jedem scheißbrauser werksseitig gepflgten, absurden liste von zentralen zertifizierungsstellen oft riesiger staatsnähe und korrupzjon nicht die überwachung erschwert [archivversjon].

Berichte, dass Trustcor auch sein in den Browsern integriertes Root-Zertifikat missbraucht haben sollte, gibt es bisher jedoch nicht. Mit diesen könnten beispielsweise gefälschte Zertifikate für Webseiten ausgestellt und so Machine-in-the-Middle-Angriffe (MITM) durchgeführt werden

Wer mal sehen möchte, was da alles für staatsnahe und korrupte klitschen bei sind, kann sich ja mal anschauen, was sein webbrauser alles klaglos akzeptiert, weil man die zertifikate dieser oft staatsnahen und korrupten klitschen lt. feierfox angeblich selbst gespeichert hat. Der feierfox, das ist übrigens dieser scheißbrauser, der unverschlüsseltes HTTP am liebsten ganz abschaffen möchte und deshalb einen nur-HTTPS-modus eingeführt hat. Damit auch wirklich jeder webseitbetreiber dahin gegängelt wird. TLS ist tot. Schon seit den neunziger jahren. Es gibt nur zurzeit nix besseres. 😐️

Wenn ihr als betreiber einer webseit überwachung erschweren wollt, müsst ihr selbstsignierte zertifikate benutzen und euren besuchern ermöglichen, diese zertifikate selbst zu überprüfen… und damit leben, dass euer webbrauser jedem besucher eine ganz schlimm aussehende warnung präsentiert, dass es sich um eine unsichere webseit handelt und dass man dafür — mit klick auf gefährliche knöpfe mit texten wie „ich kenne das risiko und will da trotzdem hin“ — eine ausnahmeregel abnicken muss. Was meint ihr wohl, warum dieser hirnpflug schon seit jahrzehnten läuft und so tut, als sei er wirklich um eure sicherheit und privatsfäre bemüht? (Das ist natürlich eine verschwörungsteorie von mir…) Angebote wie let’s encrypt sind für einen angreifer in der mitte (vor allem polizeien, zugangsproweider, staaten und große kriminelle organisazjonen) genau so mit gefälschten zertifikaten überwachbar wie das teure schlangenöl für die gefühlte sicherheit. Und da gibts dann keine warnung, die ja auch wachmacht und problembewusstsein schafft, da gibts dann ein schönes schlösschen in der adresszeile, von dem euch scheißjornalisten seit jahrzehnten erzählen, dass es die hl. ikone der sicherheit im internet sei. Damit ihr euch sicher und unüberwacht fühlt. Nicht, damit ihr sicher und unüberwacht seid.

Kryptografie macht alles sicherer!

Wenn man kunde bei t-offlein ist und wegen deren verkacker mit einem abgelaufenen TLS-zertifikat nicht mehr an sein seine mäjhl kommt [archivversjon], kann man schließlich auch keine schadsoftwäjhr, spämm und betrugsversuche mehr mit der mäjhl zugestellt kriegen. Ein großer gewinn für die kompjutersicherheit. Da zahlt man die selbst für BRD-verhältnisse sehr gesalzenen mondpreise für das T-offlein-internetz doch gleich doppelt so gern.

Bitte so lassen, telekomiker! Oh, ein admin hats schon behoben…

Ihr sollt alles verschlüsseln…

Let’s Encrypt, hier „vertreten“ durch den Certbot, meldet immer mal wieder für die eine oder andere (Sub-)Domain, daß eine Erneuerung des Zertifikats nicht möglich sei, weil die Bots, die die Challenge überprüfen, in einen Timeout gelaufen seien […] Das Problem löst sich manchmal von selbst, indem Let’s Encrypt dann doch irgendwann nach Tagen oder Wochen die Erneuerung durchführt, als wäre nichts gewesen. Aber manchmal will es gar nicht funktionieren, dann muß man etwas nachhelfen – so wie ich heute bei einer Subdomain, bei der sich der Certbot bereits seit 40 Tagen vergeblich um eine Erneuerung bemühte

Schlangenöl des tages

Aufgrund einer Schwachstelle in der Safepay-Komponente der Antiviren-Software Bitdefender Internet Security für Windows könnten Angreifer in Computer eindringen und Schadcode ausführen […] Safepay soll eigentlich dafür sorgen, dass Internetbanking in einer sicheren Umgebung abläuft. Dafür prüft die Komponente beispielsweise in einer Man-in-the-Middle-Position TLS-Zertifikate von Banking-Websites und bringt Sicherheitsmechanismen gegen Keylogger mit, mit denen Angreifer Passwort-Eingaben mitschneiden wollen. Safepay ersetzt bei der HTTPS-Untersuchung die interne Zertifikatsprüfung von beispielsweise Chrome, Firefox & Co

Auch weiterhin viel spaß beim festen glauben an die kompjutersicherheit durch irgendwelche antivirus-programme, die sich tief in eure betrübssysteme und webbrauser festsetzen, die eh schon hohe komplexität noch weiter erhöhen und versprechen, dass dadurch alles sicherer wird! Vor allem, wenn man an der brauser-implementazjon vorbei an der TLS-kryptografie rumfummelt, kann ja eigentlich gar nichts gut gehen. Immer schön den kompjuter mit schlangenöl einreiben und ganz feste glauben! Komm, der stinkende onkel werber hat gesagt, dass das hilft und sein bruder, der scheißjornalist, der hats auch gesagt, also muss der hokus pokus technikzauber doch helfen. Was macht es denn schon, wenn jedes häckkind auf eurem rechner beliebigen kohd ausführen kann, während ihr eure fernkontoführung macht…

Security des tages

Ich hoffe mal, es handelt sich nicht um einen aprilscherz, sondern um das erwartungsgemäße totalverkacken der deutschen telekomiker:

Die COVID-19-App der Telekom soll Patienten einen schnellen Zugang zum Ergebnis ihrer Coronatests verschaffen. Sie funktioniert folgendermaßen: Nachdem der Hausarzt einen Patienten an ein Testzentrum überwiesen hat und dort ein Abstrich genommen wurde, erhält der Patient einen QR-Code. Sobald das Testergebnis vorliegt, kann er diesen Code mit der COVID-19-App scannen und erfährt im Anschluss des Ergebnis direkt aus der „Telekom Healthcare Cloud“ […] Die Übertragung ist zwar verschlüsselt, die App patzt jedoch bei der Überprüfung des SSL-Zertifkats. Ein Angreifer in der Position eines Man-in-the-Middle kann das Testergebnis abrufen und den Patienten sogar ein falsches Ergebnis unterjubeln

Wenn ich schon klaut höre, sage ich ja aufgrund meines bewährten und nur mit mühe korrigierbaren vorurteilssystemes: lasst die finger davon weg! Ihr werdet von reklameheinis geblendet und sollt das alles für großen technikzauber halten, den ihr oder andere normalsterbliche eh nicht verstehen können. Und in der tat:

Die Kontaktaufnahme erfolgt zwar verschlüsselt über eine HTTPS-URL […]

Die klaut scheint ein websörver zu sein. Versteht ihr: ein wersörver! So etwas wie das, wovon ihr gerade dieses blog abruft, bei dem ihr sicherlich noch nie an das wort „klaut“ gedacht habt, wenn sie von eurem brauser abgeholt wird. Aber klaut klingt halt viel mystischer. Genau wie äpp viel mystischer als anwendung klingt. Und wenn in erster linje auf so eine psychomanipulative hirnfickwirkung geachtet wird, bin ich mir immer völlig sicher, dass auf andere dinge — wie sagen wir mal: datensicherheit — eher weniger geachtet wird. Das wort „klaut“ bedeutet auf hochdeutsch: lasst die finger davon! Ihr werdet von reklameheinis, also von professjonellen lügnern und hirnfressern, verarscht.

Einmal ganz davon abgesehen, dass ich den deutschen telekomikern niemals irgendwelche gesundheitsdaten anvertrauen würde. Und in der tat, die deutschen telekomiker erfüllen alle meine erwartungen:

So liefert der Server, mit dem die App kommuniziert, ein katastrophales Zertifikat, das nicht von einer einer vertrauenswürdigen CA stammt und bereits seit 4. April 2015 – also seit fast fünf Jahren – abgelaufen ist

Hl. hölle, dabei sind die deutschen telekomiker selbst eine CA und könnten sich das zertifikat für ihren schrottdienst sogar selbst machen. 🤦

Na, freut ihr euch schon alle darauf, dass eure gesundheitsdaten ins internetz sollen, so wie es euch von kompetenzgranaten wie Jens „deutschland ist bestens vorbereitet“ in komplizenschaft mit euren scheißkrankenkassen aufgetischt wird?

Hej, ihr idjoten!

Jetzt habt ihr euch in eurer dummen angst alle von diesem unsäglichen, beschissenen, nervtötenden, menschenvertreibenden, widerwärtigen „cloudflare“ abhängig gemacht, das leute wie mich mit mindestens vier CAPTCHAs der weltwanze guhgell nervt, mit denen ich beweisen soll, dass ich ein mensch bin; jetzt ist es euch inzwischen so völlig scheißegal geworden, dass ihr alle eure webseitbesucher mal eben an zwei unternehmen verhökert, die darüber pseudonyme STASI-akten anlegen können, die eventuell einmal einer person zugeordnet werden können; jetzt habt ihr das eh schon fragwürdige TLS für dieses nach vergorener scheiße stinkende scheiß-„cloudflare“ völlig unwirksam gemacht und das schlösschen im brauser hat so viel wert für die anzeige einer abgesicherten verbindung wie ein auf den rechner geklebtes heiligenbildchen für die kompjutersicherheit; jetzt könnt ihr selbst mal in aller ruhe kacken gehen. 🚽

Natürlich macht der zentrale dienstleister, von dem ihr euch da abhängig gemacht habt (und an den ihr alle eure webseitbesucher so weit verhökert habt, dass diese scheißklitsche sogar den angeblich „verschlüsselten“ träffick mitlesen könnte) eine zentrale zensur eurer webseits viel einfacher, und so etwas weckt begehrlichkeiten, vor allem unter diesen ganzen eigentümlichen geistigen eigentümern. Hier habt ihr eure erste zensur einer webseit über „cloudflare“! Es wird ganz sicher nicht die letzte derartige zensur bleiben.

Herzlich glückwunsch! 👍

Dafür, dass es so weit kommt, hat die kombinierte idjotie ganz vieler unternehmen und privatmenschen lange zusammenarbeiten müssen, um in idjotischen synergieeffekten „cloudflare“ zu einem flaschenhals des internetzes zu machen. Ganz schön doof! Und da bezahlt ihr auch noch für! 💸

Ich wünsche euch idjoten auch weiterhin viel spaß dabei, „cloudflare“ dafür geld zu geben, dass „cloudflare“ irgendwelchen juratrollen die bekweme zensur eurer webseits ermöglicht. Das ist eine echt kluge entscheidung von euch! Na, zu ende gekackt? Ist hirn in der schüssel? Ach, da war keins mehr. Na, dann ist ja alles gut. 💩

💩 GAU des tages: magenta TV 🛑

„Magenta TV“ von den deutschen telekomikern. Da kriegste die hand nicht mehr aus dem gesicht! 🤦

Der ganze zwitscherchen-strang ist eine fundgrube des schrotts, der unfähigkeit und der unternehmerischen kriminalität gegenüber den eigenen kunden. Hier nur die gleißenden goldstückchen für alle, die keinen bock auf einen klick zum zwitscherchen haben:

Diese schmerzen! 💊

Was zur erekzjon des heilandes am kreuze! Hl. hölle! Das würde ich als kriminellen eingriff in die integrität meines kompjuters betrachten, und ich sehe gute schangsen, dass ein richter das genau so sieht, wenn man ihm ein paar dinge erklärt.

Wenn ihr glotzen wollt, nehmt eine glotze, aber keinen derartigen scheißdreck von der deutschen telekom — die übrigens als früheres staatsunternehmen eine gehörige regierungsnähe haben wird. Vielleicht handelt es sich hier um einen vorsätzlichen, von verfassungsfeinden wie BRD-innenministern und BRD-geheimdiensten „angeforderten“ versuch, künstlich sicherheitslöcher zu schaffen, um MITM-attacken auf TLS-verschlüsselte verbindungen durchführen zu können. Aber wisst ja: wer so etwas für möglich hält, ist ein so genannter „verschwörungsteoretiker“, ganz pfui und vermutlich nazi. Immer schön weiter dran glauben, dass in der scheiß-BRD alles in bester ordnung ist!

An fahrlässigkeit glaube ich jedenfalls nicht. Und irgendwelchen kohd von der deutschen telekom würde ich niemals an einen kompjuter lassen, nachdem ich

Krüpplografie des tages

In Kasachstan müssen Internetnutzer ab sofort ein spezielles TLS-Zertifikat installieren, um verschlüsselte Webseiten aufrufen zu können. Das Zertifikat ermöglicht eine staatliche Überwachung des gesamten Internetverkehrs in dem Land

Das haben wir hier auch bald. Schlösschen wird im brauser angezeigt, aber der staat und seine hochkriminellen geheimdienste können alles mitlesen, verändern und zensieren. Müsst ihr verstehen:

Die Nutzer würden durch das Zertifikat vor Identitätsdiebstahl, Hackern und anderen digitalen Gefahren geschützt

Wer könnte dazu „nein“ sagen?! Mitmensch blöd sagt ganz sicher nicht „nein“. Der lässt sich sogar antivirus-schlangenöl andrehen, weil es ihm ein bisschen gefühlte sicherheit gibt. Ein schlangenöl von der polizei nimmt der erst recht. In vielen fällen völlig freiwillig. Blitzeblank datennackig zu sein, ist den meisten menschen egal geworden, wenn es nur abstrakt genug ist, also für diese idjoten nicht unmittelbar sichtbar wird. Da muss es erstmal richtig knallen und ein faschistischer staat mordknastlager für irgendwelche anhand von datensammlungen ermittelte menschengruppen — wie zum beispiel schwule, kommunisten, milchtrinker, autoliebhaber, fleischesser, radfahrer, kartenspieler oder religjöse — bauen, bis wenigstens ein paar menschen wieder begreifen, dass zentrale datensammlungen eine ganz große und hochgefährliche scheiße sind, die man vermeiden muss. Aber nachdem sie von scheißjornalisten genug propaganda ins hirn gestopft bekommen haben, werden viel zu viele menschen erst einmal daran glauben, dass schwule, kommunisten, milchtrinker, autoliebhaber, fleischesser, radfahrer, kartenspieler und religjöse schuld an allem sind, was ihnen im leben fehlt — ganz anders als der gütige und heilige und mit gutem recht vom gewaltstaat vollumfänglich geschützte und gernbereit mittätliche scheißausbeuter, der ihnen keinen lohn mehr für ihre arbeit geben will, gepriesen sei seine gnade, gelobt und gefördert sei sie! 😦

Schade, dass der Erich Mielke nicht mehr lebt. Der wäre sicherlich begeistert von diesem neuland gewesen…

TLS des tages

Übrigens: wenn man ein TLS-zertifikat verwendet, damit man HTTPS machen kann, damit der brauser ein schlösschen anzeigt, von dem die meisten menschen denken, dass es „sicherheit“ bedeute (es bedeutet in wirklichkeit „nur“, dass die kommunikazjon mit dem websörver verschlüsselt ist und so lange man sich nicht die einzelheiten explizit anzeigen lässt, bedeutet es nix anderes), dann legt man mit leichtigkeit ein unsichtbares verzeichnis an, das vom administrator schnell vergessen werden kann und das sich als idealer ort für cräcker erweist, um ihre schadsoftwäjhr auf einem websörver abzulegen.

Oder wie ich es immer wieder so gern sage: es gibt keine automatische sicherheit, es gibt nur ständige aufmerksamkeit und vorsicht, und dann kann man immer noch eine menge verkacken. Ich empfehle, wenn sich nicht mehrere leute einen root teilen (was eine ganz schlechte idee ist, guckt lieber mal man 8 sudo), sowieso eine zeile in der .bashrc…

alias ls='ls -Fah'

…damit man unsichtbare dateien immer sieht, wenn man ls absetzt. (Das -a listet unsichtbare dateien, das -F hängt ein zeichen an den dateinamen, das den dateityp kennzeichnet, und das -h sorgt für eine ausgabe von dateigrößen in leichter lesbaren byte-, kibibyte- und mebibyte-einheiten.) Schon kann man unsichtbare dateien und verzeichnisse nicht mehr so leicht übersehen und vergessen. 😉

Und wenns darauf ankommt und praktizierbar ist (sich also nicht viele dateien dauernd ändern): ein IDS erschwert es angreifern, dateien unerkannt abzulegen. Schon so ein kleines mönsterchen wie tripwire reicht dafür aus. Natürlich ist dann der angriff schon geschehen, wenn der alarm losgeht. Aber das ist immer noch besser als ein unerkannter angriff. Allein schon aus datenschutzgründen und um betroffene nutzer ganz schnell informieren zu können.

TLS des tages

Die mozilla foundation, wohlbekannt für ihre meilenweit neben jedem benutzerwunsch liegenden entscheidungen und die umwandlung des leider immer noch viel zu beliebten webbrausers feierfox¹ in eine distribuzjonsplattform für schadsoftwäjhr, spielt gerade mit dem gedanken, TLS-zertifikate aus unsicherer kwelle zu importieren, damit es für feierfox-nutzer nicht mehr so viele sicherheitswarnungen gibt, wenn so ein dahergelaufenes antivirus-schlangenöl für meikrosoft windohs die TLS-sicherheit einfach untergräbt, um besser schlangen ölen zu können.

Ja! Ernsthaft!

Nein, echt jetzt, es ja auch noch nicht der erste april. Das ist leider kein witz. Das ist leider keine fäjhknjuhs. Und ja, es geht um den gleichen feierfox, der euch jedes mal vor riesen sicherheitsproblemen warnt, wenn ihr einmal eine unverschlüsselte webseit darstellt. Der meint jetzt, dass das mit dem TLS schließlich doch nicht so wichtig ist. Dann gibts halt mal manipulierte fernkontoführung, ist ja ein problem anderer leute…

Ich wünsche euch auch weiterhin ganz festen glauben an die gefühlte sicherheit, wenn ihr ein schlösschen in eurem webbrauser seht! Und natürlich, wenn ihr so ein antivirus-schlangenöl

¹Nehmt etwas anderes, aber bloß nicht ausgerechnet die krohm-wanze von guhgell! Probiert es zum beispiel mal mit brave!

TLS des tages

Na, fühlt ihr euch immer noch sicher und unbelauscht, weil im webbrauser ein schlösschen angezeigt wird? Dann lest mal auf heise weiter!

Danach ist ein guter moment, sich mal die ganzen CAs im webbrowser anzeigen zu lassen. Ich zum beispiel traue weder guhgell oder irgendwelchen anderen unternehmen aus dem totalüberwachungs-, kriegs- und folterstaat USA, noch traue ich der deutschen telekom AG mit ihrer nähe zum bundestrojaner-staat BRD. (Der im link erwähnte verfassungsschutz ist übrigens die gleiche BRD-behörde, die gewaltbereite neonazis schützt und finanziert, bis hin zu verflechtungen in die NSU-mordserie.) Aber hej, euer brauser vertraut ja für euch. Und zeigt ein schlösschen an, damit ihr auch seht, dass der brauser für euch vertraut und beruhigt seid. Immer schön feste daran glauben, dass da niemand mitlesen kann und sich niemand als jemand anders ausgeben kann! Was kann da schon passieren?

Security des tages

Hej, die website hat TLS, die ist sicher. Kannst sogar aufs schlösschen klicken, das ist wirklich ih-bäh, nicht irgendein phisher. Gut, dass inzwischen alles so klicki-klicki sicher ist, sonst gäbe es ja richtig viel kriminalität:

Denn die gefälschten Login-Seiten sehen dem Original nicht nur zum verwechseln ähnlich – die Betrüger haben diese auch auf einem eBay-Server abgelegt. Dazu nutzen sie die Artikelbeschreibung

😯

Diese Masche ist bereits seit 2015 bekannt und gegenüber heise Security sprach auch eBay von einer gängigen Methode. Neu ist die Nutzung von SSL, welche Sicherheit suggeriert

Ah, ich verstehe, kennt man schon ein paar jährchen bei ih-bäh, den trick. Na, dann ist es ja völlig verständlich, dass ih-bäh da gar nix machen kann. Nicht.

Auch weiterhin viel spaß mit dieser obersten priorität, welche die sicherheit und der schutz von… ähm… vor trickbetrügern bei den großen, milljardenschweren internetzklitischen hat! Gefühlte sicherheit fühlt sich doch gut an, und das schlösschen im brauser stimmt auch. Was will man da noch mehr?

Prof. dr. Offensichtlich

Prof. dr. Offensichtlich hat einen neuen dschobb in der karl-wiechert-allee und für heise onlein eine erschütternde neuigkeit entdeckt:

Wer sich auf das grüne Schloss in der Browser-Leiste verlässt, um herauszufinden ob eine Webseite sicher ist, der lebt sehr gefährlich

Komisch, vor rd. zwei jahren klang das ehemalige fachmagazin aus hannover doch noch völlig anders.

TLS des tages

Abt.: einfach, schnell, gefährlich und ahnungslos bei sennheiser.

Bei der Installation legt die Software zwei Root-Zertifikate im Zertifikatsspeicher von Windows ab. Das ist Sennheiser zufolge nötig, um zum Beispiel ein Softphone im Webbrowser über eine gesicherte HTTPS-Verbindung zu nutzen. Zusätzlich gelangt jedoch auch ein privater Schlüssel auf Computer, der sich ebenfalls in einigen .exe-Dateien von HeadSetup befinden soll […] Der Schlüssel ist bei allen Installationen identisch und das Passwort könne man extrahieren

Autsch!

Ich wünsche auch weiterhin viel spaß beim festen glauben an die leichte kryptografie und die sicherheit, wenn man im webbrauser ein schlösschen an der adresszeile sieht. Haben euch ja jahrelang die idjoten mit jornalismushintergrund erzählt, dass das „sicherheit“ ist. Dank eines root-zertifikates könnt ihr sogar klicki-klicki auf das schlösschen klicken und „überprüfen“, dass die webseit von kriminellen wirklich die webseit der… sagen wir mal… deutschen bank ist. Und als kleiner bonus kann da dann gleich eine „bänking-schutz-softwäjhr“ zum daunlohd angeboten werden, die signiert ist und von windohs völlig anstandslos installiert wird.

Es gibt übrigens diesmal einen schutz: einfach einen webbrauser verwenden, der…

Firefox-Nutzer sind nicht gefährdet, da der Browser seinen eigenen Zertifikatsspeicher mitbringt

…weder von scheißguhgell noch von scheiß-meikrosoft gemacht wurde. Aber von einem feierfox oder generell von einem webbrauser der mozilla-foundation würde ich auch eher abraten. Ich nutze immer noch den palemoon. Inzwischen seit über einem jahr. Völlig ohne probleme, wenn man einmal davon absieht, dass scheiß-guhgell-dienste mir immer sagen, dass ich gefälligst einen anderen brauser (am besten scheißguhgells scheiß-krohm) nehmen soll, um sie überhaupt nutzen zu können. Ja, guhgell, ihr könnt mich auch mal am arsche lecken! Macht einfach webseits, die mit brausern funkzjonieren, und das von euch behauptete problem existiert nicht mehr! Euer scheißträcking und eure scheißreklame und eure scheißdatensammelei funkzjoniert doch auch mit jedem brauser.

Wie eine klitsche wie sennheiser aber auch die völlig bescheuerte idee kommt, dass sie ein root-zertifikat installieren müsse, um kopfhörerfunkzjonen zu realisieren, bleibt das geheimnis von sennheiser. Bislang kannte ich solche wahnsinnsideen nur von antivirus-schlangenöl, damit sich irgendwelche webseit-überwachungsdinger in den weg stellen konnten und hokus pokus security machen konnten — um den preis, dass andere die so geschaffene infrastruktur für angriffe missbrauchen könnten.

TLS ist unrettbar im arsch. Seit jahren schon. Wir haben nur noch nix besseres.

TLS des tages

Ausgerechnet die immer weiter um sich greifende Verschlüsselung der Daten mit TLS ermögliche es, die Anwender beim Surfen im Internet zu verfolgen

Aber gegen seit-übergreifendes träcking gibt es ein einfach anzuwendendes mittel, das der ehemalige fachverlag heise onlein mit keinem wort in seinem artikel erwähnt: ein wirksamer werbeblocker, der niemals, niemals, niemals ausgeschaltet wird ist nach wie vor die wirksamste schutzsoftwäjhr gegen kriminalität und gegen das privatsfären-stalking durch halbseidene bis grenzkriminelle scheißträcker und scheißwerber — denn auch das TLS-träcking würde über inhalte von dritten, also über werbebanner laufen. Der werbeblocker ist schnell installiert und kostet nichts. 😉

Wer mag, kann zur ergänzung noch noscript verwenden.

Es ist übrigens erstaunlich, wie viel schneller das web ohne die ganze reklame und träckingscheiße wird.

Security des tages

Die Webseite des Bundesamts für Sicherheit in der Informationstechnik ist zur Zeit nicht erreichbar. Dort hat man offenbar vergessen, sich rechtzeitig um ein neues TLS-Zertifikat zu kümmern

Moment… was?!
Bwahahahahahaha!