Archive for Juli, 2010

Wie sicher ist SSL wirklich?

Donnerstag, Juli 29th, 2010

SSL (Secure Socket Layer) wurde Mitte der Neunziger Jahre von Netscape entwickelt, um sichere und authentische Internetverbindungen zu ermöglichen.

Viele Webuser verbinden seitdem den Begriff SSL automatisch mit Sicherheit. Das Schloßsymbol im Browser bzw. die grüne Adressleiste, so die gängige Meinung, soll automatisch für eine sichere Verbindung mit einem anderen Server sorgen. Angreifer, die sich dazwischenschalten wollen (Man-in-the-Middle), um Daten, Passwörter etc. abzufangen, sollen durch die Zertifikatsprüfung bei den Zertifizierungsstellen, den sogenannten “Certificate Authorities” (CAs, z.B. Thawte, Verisign usw.), ausgeschaltet werden. Die CAs garantieren, dass das verwendete SSL-Zertifikat authentisch ist.

Aber wie sicher ist SSL wirklich?

Heise griff das Thema in diesem Artikel auf. Schwachpunkt des Verfahrens sind u.a. die Zertifizierungsstellen, auf deren Vertrauenswürdigkeit das ganze System aufbaut. Die CAs prüfen vor Ausstellung, ob das Zertifikat auch zu dem entsprechenden User gehört. Von CAs geprüfte SSL-Zertifikate werden beim Aufruf des Servers dann als “sicher” angezeigt, solange der überprüfte Servername verwendet wird, das Zertifikat gültig und noch nicht abgelaufen ist.

Woher weiß der Browser aber, welchem CA zu vertrauen ist?

Dazu sind sogenannte Root-Zertifikate in allen Browsern bereits vorhanden, die bestimmte CAs vertrauenswürdig erscheinen lassen. Jemand der den privaten Schlüssel dieser CAs vorliegen hätte, könnte beliebige SSL-Zertifikate herausbringen, die dann allgemein als “sicher” angezeigt werden.

Viele dieser CAs sind in den USA beheimatet. Es besteht Grund zu der Befürchtung, dass Regierungsstellen die CAs zwingen könnten, mit Ihnen zusammenzuarbeiten, um verschlüsselte Verbindungen abhören zu können. Einige Firmen bieten diese Dienste bereits auch offiziell an.

Es bestehen aber weitere Gefahren. Moderne Browser zeigen zwar an, wenn die Authentizität eines Zertifikats nicht überprüft werden kann, viele User lassen sich aber dadurch nicht abschrecken. Dadurch kann auch ein nicht vertrauenswürdiger Server vom User als sicher eingestuft werden.

Noch gefährlicher ist eine dritte Variante: Gelingt es einem Angreifer, ein Herausgeberzertifikat zu fälschen, kann er beliebige Zertifikate ausstellen. Bereits 2008 wurden Schwachstellen in den Verschlüsselungsverfahren aufgedeckt. Selbst das Fälschen ist aber nicht unbedingt nötig: CAs können andere Stellen als CAs zertifizieren. Der User hat kaum Möglichkeiten, die gefälschten Zertifikate und die nicht vertrauenswürdigen CAs zu erkennen.

Fazit: Absolute Sicherheit gibt es im Internet nicht. Tools wie dieses AddOn, das die Zertifizierer überprüft, können die Sicherheit verbessern. Meist hilft nur eine gesunde Portion Misstrauen. Jeder User muss selbst abwägen, ob er einer Internetseite trauen will oder nicht.

Postfix und Plesk 9: noch immer Probleme?

Freitag, Juli 23rd, 2010

Die vielfach eingesetzte Serversoftware Plesk hat in Version 9 ein lang erwartetes Feature eingeführt, nämlich Postfix als MTA. Das hat leider auch einige Schattenseiten: die Standardkonfiguration von Plesk führt auf vielen Systemen zu nicht auslieferbaren Mails. Typischer Text einer solchen Mail

Out: 220 bbb.de ESMTP Postfix (Ubuntu)
In: EHLO Arbeitsrechner
Out: 250-bbb.de
Out: 250-PIPELINING
Out: 250-SIZE 30240768
Out: 250-VRFY
Out: 250-ETRN
Out: 250-STARTTLS
Out: 250-AUTH PLAIN DIGEST-MD5 LOGIN CRAM-MD5
Out: 250-ENHANCEDSTATUSCODES
Out: 250-8BITMIME
Out: 250 DSN

In:
Out: 235 2.7.0 Authentication successful
In: MAIL FROM:
Out: 250 2.1.0 Ok
In: RCPT TO:
Out: 250 2.1.5 Ok
In: DATA
Out: 354 End data with .
Out: 451 4.3.0 Error: queue file write error
In: QUIT
Out: 221 2.0.0 Bye

Nach monatelangem Stöbern im Internet (Plesk selbst hat bislang keine Lösung für das Problem) habe ich einen Ansatz hier plesk_postfix_queue_file_write_error.php
gefunden. Leider löst auch das das Problem nicht wirklich. Nachdem Plesk auch keine Version für Ubuntu 10 anbietet, werde ich mich wohl nach einer anderen Software umsehen. Sehr verwunderlich, dass von Parallels nicht mal ein Release-Date für die Ubuntu 10 Version zu erhalten ist.

Syscp macht auf den ersten Blick einen recht guten Eindruck, bietet allerdings nicht den kompletten Funktionsumfang von Plesk.

Einen anderen Ansatz verfolgt webmin, das mehr ein Editor für die Server-Configfiles als ein Administrationstool ist.