linksunten Archiv

de.indymedia benutzt fürs surfen bisher überhaupt kein ssl.

da kann insofern auch nix kompromitiert sein ;)

die mirror wiederum sind nur fürs surfen.

bisher wird ssl bei de.indymedia nur fürs veröffentlichen benutzt, daher reicht dort ein zertifikat aus.und das ist jetzt leider kompromitiert gewesen über zwei jahre. das ist das eigentlich schlimme an der sache.

der leak aber sollte kein grund sein, auf de.indymedia rumzuhacken. die sicherheitslücke hat so gut wie alle progressiven seiten betroffen.

(war de.indymedia überhaupt betroffen? bei derem alten system kann ich mir vorstellen, dass deren open-ssl version nicht mal betroffen war ;-) )

die frage, ob ein selbstgezeichnetes zertifikat benutzt wird oder auf eine kommerzielle zertifizierungsstelle zurück gegriffen wird ist eine politische.

einzig cacert ist wirklich unkommerziell, bietet aber kaum vorteile, da das cacert root-zertifikat nicht in browsern standard-mäßig installiert ist.

nur weil eine zertifizierungsstelle nix kostet ist sie noch lange nicht unkommerziell.

sicherer wird es durch die zertifizierungsstelle nicht wirklich - nur praktischer weil keine warnmeldung des browsers mehr erfolgt und du nicht mehr selbst den key überprüfen musst. das web-of-trust bei ssl-zertifizierungsstellen ist allerdings derart löchrig, dass das imho eher unter praktisch als unter sicherer fällt.

bei de.indymedia war die sicherheitspolice daher bisher so, dass ja nur leute, die veröffentlichen wollen sich damit auseinander setzen müssen.

und da die anonymisierung den nutzenden nicht abgenommen werden kann wurde bisher immer darauf verwiesen, dass sich gedanken gemacht werden muss, wie anonymisiert wird und dazu gehörte auch der abgleich des ssl-zertifikats.

ich denke aber, dass de.indymedia in zukunft einen anderen weg einschlagen wird, da sie ja auch bald verschlüsselt surfen anbieten wollen - und da ist die warnmeldung ein zu großes hindernis, ssl zu benutzen für unbedarfte nutzende. daher wird wohl auch hier auf ein kommerzielles, aber kostenloses angebot aus dem web-of-trust zurückgegriffen werden. alternativ wurde (wird?) diskutiert, ob nicht progressive seiten wie riseup, indymedia, nadir, activix etc. ein gemeinsames root-zertifikat aufsetzen. das würde aber das problem nicht wirklich lösen, da es wieder ein außerhalb des web-of-trust stehendes root-zertifikat wäre und damit wieder die warnmeldung kommt solange das entsprechende root-zertifikat nicht installiert wird.

danke für diese erklärung, sie zeigt schön auf, worin das dilemma liegt.

die admins von riseup, indymedia und co können euch nicht sicher machen!

sie können nur es von ihrer seite "so sicher wie möglich" machen. wenn ihr mit einem alten browser surft, euer betriebssystem offen wie ein scheunentor ist, gleichzeitig natürlich auch skype läuft weil ja so praktisch etc. pp. dann kann all das all die sicherheitsbemühungen der admins ad absurdum führen.

die informationspolitik sollte das immer im auge haben, da sich nutzende sonst in falscher sicherheit wiegen.

und genau da liegt die krux:

je sicherer es von admin-seite gemacht wird, desto unkomfortabler wirds für die nutzenden.

das sicherste für eine seite wie indymedia wäre, alles nur noch über das tor-netzwerk zu erlauben (mindestens das veröffentlichen von beiträgen) und da dann dementsprechend restriktiv vorgehen. z.b. über einen hidden-service (die aber durch heartbleed auch betroffen sind).

das allerdings würde so viele nutzende ausschließen, dass der anspruch, möglichst viele nutzende zu erreichen, aufgegeben werden muss. nur ein bruchteil der nutzenden benutzt doch überhaupt tor, davon wiederum ein bruchteil weiß, was ein hidden service ist.

und dann macht indymedia keinen sinn mehr.

das beispiel mit rc4 ist da geradezu ein paradebeispiel für. die nachteile wurden ja vom linksunten admin schön veranschaulicht mit dem internet-cafe.

allerdings ists fraglich, ob dann überhaupt noch verschlüsselt werden braucht und ob nicht eine warnmeldung im browser reichen würde, dass entgegen der sicherheitsrichtlinien gerade unverschlüsselt gepostet wird weil das eigene system (bzw. der browser im internetcafe) es nicht zulässt zu verschlüsseln.

quintessenz: die verantwortung der nutzenden über ihr verhalten im netz kann nicht von admins aufgefangen werden.

Ob man sich nun an den unvorsichtigsten Zeitgenossen im Kundenkreis orientieren sollte, die mit TOTAL unsicheren Clients an TOTAL unsicheren Orten unterwegs sind? Wer mit einem Fahrrad mit abgefahrenen Reifen und vorne und hinten jeweils nur einer Bremsbacke am Straßenverkehr teilnimmt handelt auf eigene Verantwortung und es besteht kein Grund wegen ihm die Höchsgeschwindigkeit auf 10km/h abzusenken

Heartbleed hat nun immerhin bewirkt das ihr ein neues Zertifikat ausgestellt habt. Im vorherigen war nämlich der RC4 Rotz als "Preffered" eingestellt, was dazu führte, das man diese unsichere Methode im Browser nicht ausstellen konnte, weil man ansonsten auf linksunten gar nicht mehr zugreifen konnte. Fakt ist das ihr das Problem Monate ignoriert habt.