Deutschsprachige CAcert Support Liste

[Jörg Kastning <joerg.kastning AT my-it-brain.de>]

Am 11.12.18 um 00:51 schrieb Andreas Boehlk:
> Mach Dir mal den Spaß und nimm aus deinem Browser alle Zertifikate raus, 
> außer diejenigen, denen Du wirklich vertraust. Danach grenzt das Surfen 
> wirklich an Arbeit, öffnet einem aber die Augen, wie verletzlich dieses 
> System ist.

In meinen Augen ist dieses System nicht nur verletzlich, es ist kaputt.
Mein Browser vertraut den Zertifikaten, deren Kette er zu einem
CA-Root-Zertifikat in seinem Zertifikatsspeicher zurückverfolgen kann.
Ich persönliche vertraue diesen Zertifizierungsstellen so weit, wie ich
ein Klavier werfen kann (und das ist nicht sehr weit).

Mein Vertrauen in CAcert ist jedoch nicht größer als bspw. in Let's
Encrypt. Das liegt daran, dass ich die meisten von euch genausowenig
kenne, wie die Mitarbeiter und Prozesse bei Let's Encrypt oder
irgendeiner anderen CA.

Vertrauen tue ich nur Personen, die ich persönlich kenne. Personen denen
diese wiederum vertrauen, vertraue ich ggf. nur noch eingeschränkt, wenn
überhaupt. Vertrauen ist also bestenfalls symmetrisch, nicht jedoch
transitiv.

Bezogen auf die Verbindung Client <-> TLS-Webserver bedeutet dies, dass
meine Daten zwar auf dem Übertragungsweg geschützt sind, ob ich mit der
richtigen Gegenstelle verbunden bin, steht jedoch auf einem ganz anderen
Blatt. Und während uns Interessierten noch Mittel und Wege offen stehen,
dieses Problem zu mitigieren, ist der normale Anwender hoffnungslos
verloren.

Selbstverständlich existieren hier bereits technische Lösungen wie z.B.
HTTP Public Key Pinning (RFC 7469) oder TLSA (RFC 7671 und RFC 7673),
doch sind diese Techniken kompliziert in der Implementierung und bisher
nur sehr wenig verbreitet.

Gleichzeitig halte ich CAcert für eine wichtige Einrichtung im Bereich
der Internet-PKI. CAcert hat mir vor Jahren einen tieferen Einstieg in
die Thematik X.509-Zertifikate und PKI ermöglicht. Auch heute nutze ich
diese CA noch für Testumgebungen, in Workshops und zu Schulungszwecken.

Viele Grüße
Jörg

-- 
E-Mail: 
joerg.kastning AT my-it-brain.de
Twitter: https://twitter.com/JoergKastning
Internet: https://www.my-it-brain.de
OpenPGP-ID: 7A302E30
OpenPGP-Fingerabdruck:
2026 DF56 89B6 F79A E776  B15B 55E2 83FB 7A30 2E30

Attachment: signature.asc
Description: OpenPGP digital signature