Re: Sicherheit von TLS

[Danny Edel <mail@xxxxxxxxxxxxx>]

On 10/25/23 22:05, Christian Weisgerber wrote:
> Danny Edel:
> 
>> Schritt 2.2: Zertifikatsvalidierung
>> Das vom (angeblichen) Server empfangene Zertifikat wird jetzt geprüft.
>> * Ist es ausgestellt für meine-bank.de?
>> * Ist es derzeit gültig?
>> * Ist es von einer vertrauten CA ausgestellt?
> 
> Passend dazu die heutige Heise-Meldung:
> "Lauschangriff auf russischen Jabber-Server in Deutschland: Wer steckt
> dahinter?"
> https://www.heise.de/news/Lauschangriff-auf-russischen-Jabber-Server-in-Deutschland-Wer-steckt-dahinter-9343653.html
> 
> Jemand hat sich vor jabber.ru geschaltet, mit einem gültigen
> Zertifikat ausgestellt von Let's Encrypt, und erfolgreich einen
> MitM-Angriff gefahren.

Diese Meldung habe ich auch gelesen, passt wirklich sehr gut zum Thema.

Soweit ich das verstanden habe, hatte dieser "Jemand" physikalischen
Zugriff auf den Server (Netzwerkkabel ziehen und umstecken) im
Rechenzentrum von Hetzner.  Da ich der Firma Hetzner nicht unterstelle,
dass sie "einfach so" jeden ins Gebäude und an die Server lässt, hat es
sich mutmaßlich um eine Polizei- oder Geheimdienstmaßnahme gehandelt.

In meinem Bedrohungsszenario war der "böse" Netzwerkadmin derjenige im
Netzwerk des Clients, also z.B. der WLAN-Betreiber.  Gegen diesen
"verteidigt" TLS meiner Meinung nach sehr gut.  Gegen jemanden, der
Zugriff auf den Server (oder zumindest das Rechenzentrum) hat, im
Regelfall nicht, wie dieses Beispiel wunderschön demonstriert.

Nun aber zur Frage:

Ist diese Bedrohung für Online-Banking relevant?

Meiner Meinung nach:  Nein.  Wenn die Polizei oder der Geheimdienst im
staatlichen Auftrag gegen Sie ermittelt, werden diese regelmäßig direkt
bei Ihrer Bank anfragen und die Daten direkt und vollständig von dort
bekommen.  Die Arbeit, einen TLS-MitM zu installieren, werden solche
Akteure sich nur dann machen, wenn der Serverbetreiber nicht "von
alleine" kooperiert.  Banken sind zur Kooperation (zum Beispiel nach dem
Geldwäschegesetz) regelmäßig verpflichtet.

Vielen Dank für den Aufgriff der Meldung!

- Danny

-- 
Unix User Group Rhein-Neckar e.V.: https://www.uugrn.org
Archiv und An-/Abmeldung:          https://mail2.uugrn.org
Social Media:                      https://social.uugrn.org