Jeder von uns kennt „verschlüsselte“ Seiten im Internet, welche mit einem https beginnen und zumeist im Browser druch einen Schlüssel oder Schloss irgendwo in der Statusleiste angezeigt werden, mindestens beim Online-Banking. Das Prinzip funktioniert ja so, dass sich Server und Client (also der Computer) gemeinsam ein Kennwort ausdenken, auf dessen Basis sie jetzt miteinander reden, sodass niemand der in der Leitung dazwischen sitzt verstehen kann, was da geredet wird. So zumindest die Theorie.
Nun ist es so, damit der Browser nicht meckert, muss das Server-Zertifikat von einer Basis-Zertifizierstelle gegengezeichnet werden, dem sogenannten Zertifizierer. Das kann man sich wie ein Schneeballsystem vorstellen. Es wurde zu Urzeiten des Internets mal jemand bestimmt der als Einziger sagen darf: Ja hier hast Du ein vertrauenswürdiges Zertifikat zum zertifizieren weiterer Zertifikate. Mit diesem kann man dann weitere Zertikate erstellen und so weiter und so weiter. Irgendwann kommt dann der Kunde der einen Server betreibt ins Spiel und fragt bei einem der wenigen Zertifierer ein Zertifakt für seinen Server nach: Schwubbs man bezahle minimum 150€ für 60 Sekunden Arbeit und das Zertifkat ist fertig. So weit so gut.
Verchlüsselung von übertragenen und auch sensiblen Daten ist gut! Jedesmal wenn seine Seite aufgerufen wird, wird das hinterlegte Zertikat überprüft und dem Kunden wird signalisiert: Alles ist gut, gib ruhig Dein Leben und Deine Finanzen auf dieser Seite an.
Nun kann geübter Admin des Servers ein solches Zertifikat auch selber erstellen. Es kommt zu keinen Einbußen bei der Sicherheit der übermittelten Daten, es wurde halt nur nicht festgestellt, wer es heraus gegeben hat. Was ja an sich nicht schlimm ist, steht ja im Zertifikat drinnen und ich halte mich als Server-Administrator für meine Server schon als vertauenswürdig. Das man damit aber auch Unfug treiben kann, ist mir klar, daher ist enen Warnung auch korrekt, welche bei Aufruf der Seite erscheint; in Form von: „Der Herausgeber dieses Zertikates ist nicht von einer Gegenstelle überpfüft worden, machen Sie nur weiter wenn Sie sicher sind…“. Alles in Ordnung, weil es stimmt ja so.
Nun haben sich Zertifizierer mit Microsoft huckepack was tolles Neues einfallen lassen ab Internet Explorer 7.0 Leider sind es nicht nur die Warnfarben, die bei einem nicht gegengezeichnetet Zertifikat verwendet werden, wie z.B. stark rot, sondern das Laden der Seite wird verhindert, und es wird empfohlen, die Seite NICHT zu besuchen. Dazu wird dem Betreiber in den weiteren Formulierungen der Hilfe-Dateien EINDEUTIG eine kriminelle Absicht untergeschoben. Einen Benutzer zu warnen ist OK, einen Server-Betreiber wegen dem Nichteinkauf eines teuren Zertikates implizit Betrugsabsichten zu unterstellen hingegen ist ein klarer Ausdruck von einem Oligopol am Markt: Microsoft, Verisign und Thawte ganz vorne an.
KAUF unserer Produkt (Zertifikat) oder Du machst keine Geschäfte mehr, denn als 08/15-User wäre ich von solchen Warnungen so abgeschreckt, dass ich jeden Serverbesuch sein lassen würde.
Letzte Kommentare