Der Video-Stream läuft natürlich nicht stabil. Peinlich, peinlich, der Pfusch beim CCC.
Ui, Dan ist immer noch bei IOActive. Bisher war er jedes Jahr bei einer anderen Firma. Es geht mit Authentisierung los. Authentisierung mit Passwörtern im Internet ist Mist. Aber das ist nichts neues. Die Federation-Ansätze sind jedenfalls alle gescheitert. Zertifikate sind hilfreich und die Unternehmen haben viel investiert. Trotzdem funktioniert irgendwas nicht richtig. Dan meint, das ist X.509. Nebenbei schmeißt er zusammenhanglos ein paar andere Begriffe wie DNSSEC in die Runde.
X.509 wird praktisch für alles (SSL, IPSec, PKI, …) außer SSH verwendet. SSL ist vermutlich eh das beste was in Consumer-Crypto je passiert ist. Jetzt kommt die Analogie zu Reisepässen. Deutschland akzeptiert einen Ausweis der USA für Dan Kaminsky. Eine Webseite erhält den Ausweis von z.B. Verisign. Da hat er bei Dick Hardt geklaut. Der kann das jedoch besser präsentieren.
Es gibt heute ganz viele Zertifizierungsstellen und die prüfen den Eigentümer von Webseiten. Aber das nützt nicht viel, weil ein Browser sehr vielen Zertifizierungsstellen vertraut und nicht alle den gleichen Sicherheitslevel einhalten. Die bösen Jungs holen sich halt ihr Zertifikat von Joe’s Certificate-Shack. Die Gesamtsicherheit des Systems ist deshalb nur so gut wie die Sicherheit des schwächsten Glieds und das ist irgendeine obskure Zertifizierungsstelle.
DNS ist besser, weil es nur eine Root gibt (ok, 13 Root-Server). Den Inhalt kontrolliert die US-Regierung aber Dan ist Amerikaner, der findet das ok. DNS ist auch gut, Ausschlüsse zu definieren. So gibt es für jede Toplevel-Domain nur eine Domain-Registry und nicht mehrere. Das hat Vorteile aber auch Nachteile. Und nun träumt Dan von einer zentralen Stelle, die für praktisch alle Geräte im Internet Zertifikate ausstellt um sich zuverlässig identifizieren zu können.
Viele Zertifikate nutzen immer noch MD5. Inzwischen kann man jedoch recht gut gefälschte Zertifikate mit Hilfe von MD5-Kollisionen ausstellen. Findet man nun eine CA (am besten eine, die zu Verisign gehört) die im CA-Zertifikat MD5 verwendet, hat man einen guten Angriffspunkt. Der Angriff wurde 2008 umgesetzt. Ganz alte CAs verwenden sogar noch MD2.
Ich hab ja langsam den Eindruck, Dan gehen die Themen aus. Darum kramt er immer wieder die alten DNS- und MD5-Themen raus und recycled die. Aber gut, ich bin sicher die amerikanischen Black Hat Kunden lieben das. Das Bashing von ASN.1 BER
ist auch ganz witzig aber ASN.1 funktioniert nunmal und man darf nicht vergessen,
das wurde entwickelt, damit es auf beliebigen Plattformen mit beliebigen
Zeichensätzen funktioniert. Der \0-Bug in Zertifikaten ist meiner Meinung nach auch eher ein Fehler der C-Programmierer. Aber da kann man natürlich unterschiedlicher Meinung sein.
Egal. Bei Dan zählt die Show und die ist Klasse.
Gute Zusammenfassung. Dan ist so penetrant und so laut, dass ich mich am Ende schon gefragt hab, was er jetzt eigentlich gesagt hat. Ok, die Show war gut. Selbst eine so trockene Materie wie ASN.1 encoding von OIDs hat er unterhaltsam präsentiert.
Die X.509-Probleme, die er vorgetragen hat, hängen IMHO im wesentlichen mit der Anwendung von X.509 im Internet zusammen (vom Subject wird nur CN geparst, das enthält den Hostnamen).
Bizarr wurde es beim Thema Client-Zertifikate. Der Webserver akzeptiert angeblich per Default Client-Zertifikate von allen gängigen CAs: häh?
Die einzig sinnvolle Anwendung für Client-Zertifikate ist wohl, dass ich *meine Nutzer* authentifiziere, denen ich ein Zertifikat ausgestellt habe, nicht jeden x-beliebigen Client.
Trotz allem gab es einige Denkanstöße. Ich hoffe, die Folien sind bald online.
Comment by Martin — 30. Dezember 2009 @ 12:19
Naja, wenn der Webserver so konfiguriert ist, daß es keine Einschränkungen für die Client-Zertifikate gibt und gleichzeitig alle Zertifizierungsstellen im Certificate Store akzeptiert werden, dann sit das schon ein Problem. Meines Wissens ist das die Defaulteinstellung des IIS, wenn man Client-Zertifikate nur einschaltet und nichts weiter konfiguriert. Aber das ist m.E. ein Konfigurationsproblem. Das ist genauso wie wenn der DNS-Server im Active Directory Updates von jedem Client akzeptiert und irgendein Luser seinen Rechner WPAD nennt …
Comment by Christian — 31. Dezember 2009 @ 17:57
Also das mit dem „Peinlich, peinlich, der Pfusch beim CCC“ wegen mangelnder Stream-Qualität finde ich ja etwas übertrieben kritisch.
Vorschlag: Du kommst nächstes Jahr vorbei und übernimmst die Organisation der Streams.
Comment by kaner — 1. Januar 2010 @ 18:42
Gegenvorschlag: Fefe und die restlichen CCCler behaupten nicht mehr, bei Wikimedia ist alles schlecht und der CCC könnte alles besser und die Besucher aus Süddeutschland können sich nächstes Jahr ein Ticket für den Congress reservieren. Dann höre ich auf über den Stream zu lästern.
Comment by Christian — 11. Januar 2010 @ 11:50
Kommentare gesperrt wegen Spam
Comment by Christian — 27. Januar 2010 @ 20:18