HTTPS Everywhere

Verschlüsselt das Web, wo es nur geht!

Andreas Proschofsky, 20. Juni 2010, 13:43
  • Artikelbild
    screenshot: andreas proschofsky

    HTTPS Everywhere leitet auch Suchanfragen bei Google automatisch auf eine verschlüsselte Seite weiter.

Neue Firefox-Erweiterung will das Surfen sicherer machen - Gemeinsame Entwicklung von EFF und Tor-Projekt

Gerade in den letzten Wochen wurde - nicht zuletzt anhand der Affäre rund um die Aufzeichnung von WLAN-Traffic durch Googles Street View-Autos - auch in der breiteren Öffentlichkeit ausführlicher über die Gefahren der Aushöhlung der Privatsphäre durch das Mitlesen des Internetverkehr diskutiert. Was dabei jedoch gern übersehen wird, ist die der ganze Affäre eigentlich zugrunde liegenden Problematik, der Umstand, dass ein Großteils des Internetverkehrs vollkommen unverschlüsselt übertragen wird und so leicht von Dritten mitgelesen werden kann - so sie denn Zugriff auf den Datenstrom haben.

Traffic

Besonders schlagend wird diese Problematik bei ungesicherten WLAN-Netzen, kann hier doch jeder typischerweise den gesamten Traffic in der Umgebung - also etwa von anderen NutzerInnen im gleichen Kaffeehaus - mitlesen. Aber auch bei anderen Netzanschlüssen wandern die eigenen Suchanfragen und andere private Daten meist unverschlüsselt über das Netz - im schlimmsten Fall auch sensible Daten wie Passwörter. Informationen, die dann etwa - zumindest theoretisch - beim Provider mitgelesen werden können, ob von privater oder staatlicher Seite.

SSL

Dabei gibt es durchaus zahlreiche Möglichkeiten mit denen die NutzerInnen die eigene Online-Privatsphäre besser schützen können, ein Beispiel dafür ist der Umstand, dass zahlreiche oft genutzte Services alternativ auch Versionen ihrer Webseite anbieten, die den Datenstrom per SSL verschlüsseln, und so für Außenstehende unkenntlich macht. Allerdings müssen die NutzerInnen - wie etwa bei der vor kurzem gestarteten verschlüsselten Google-Suche - erst einmal von dieser Option wissen, und sie dann gezielt ansteuern.

Automatisch

Eine zusätzliche Komplexität, die nun eine neue Firefox-Erweiterung den NutzerInnen abnehmen will: HTTPS Everywhere wählt bei Seiten, die sowohl den "normalen" als auch den SSL-Zugang anbieten, automatisch die verschlüsselte Variante aus. In der ersten Version funktioniert dies neben der erwähnten Google Suche unter anderem mit Wikipedia, Twitter und Facebook. Auf einer eigenen Seite gibt man zudem Tipps, wie die NutzerInnen über einfache Regeln weitere Seiten diesem Automatismus hinzufügen können.

Verfügbarkeit

HTTPS Everywhere kann von der Seite der Electronic Frontier Foundation heruntergeladen werden, die Bürgerrechtsbewegung hat das Add-On gemeinsam mit dem für anonymes Surfen bekannten TOR-Projekt entwickelt. (apo, derStandard.at, 20.06.10)

Kommentar posten
Posting 1 bis 25 von 51
1 2
Stoppt den ZENSURWAHN der Politiker - JETZT
01
21.6.2010, 15:44
SSL bringt meistens nichts...

1: Trafficverschwendung wenn ich nur dumme Katzenbilder anschauen will.

2: ME <-> Google: das problem ist google, nicht dass der böse sysadmin von nebenan mitliest - wenn er wert drauf legen würde, könnte er auch trotz SSL mitlesen...

3: SSL != Das Allheilmittel: lokalgespeicherte Daten können übers WLAN immer noch ausgelesen werden.
Das selbe mit Online-Daten.

Viel wichtiges wäre es, den Leuten zu zeigen, dass sie Wlan verschlüsseln (oder erst garnicht nutzen) sollen.
Und allgemeint ein Verständnis für Sicherheit aufbauen und nicht sagen: toll SSL ist alles was ihr braucht.
Dann verwenden alle SSL und fühlen sich 100% sicher, was eine Täuschung ist!
SSL = Transportsicherheit und sonst nichts!

dr.no3
02
21.6.2010, 12:33
SSL bis zu GOOGLE

nutzt genau garnix

dmos
00
21.6.2010, 09:20
Dysfunktional mit Google

Dieses Addon funktioniert aber nur korrekt, wenn man englisch unterwegs ist. Wenn in der URL der Suchergebnisse von .com auf .at (oder.de) und die Sprache von hl=en auf hl=de geändert wird, dann springt Google auf die leere SSL beta Startseite zurück und die Suchergebnisse sind weg.

Da laß ich lieber TMN laufen, das im Hintergrund beispielsweise minütlich bis zu 10 sinnlose und zufällige Suchanfragen an verschiedene Suchmaschinen rausschießt.

Dazu noch Ghostery und gut is...

meinrad
10
21.6.2010, 12:14

einfach gleich auf https://www.google.com gehen, dann bleibts auch auf https.

Schlafsackerl
00
21.6.2010, 11:52
AFAIK

liegt das an Google, weil sie HTTPS noch nicht für die lokalen Suchen anbieten...warte auch darauf.

puzzled
00
21.6.2010, 11:07

Sie können recht einfach selber Regeln definieren:

https://www.eff.org/https-eve... e/rulesets

:)

dmos
00
21.6.2010, 11:10

hab ich - und auch dann kommt wieder .com, selbst wenn die regel für .at geschrieben ist.

ü-strichal
02
21.6.2010, 06:44
"Verschlüsselt das Web, wo es nur geht!"

und vergesst mir bitte aber nicht, auch den eigenen pc zu verschlüsseln ...

FSK
41
20.6.2010, 20:39
Schwachsinn

Da werden von prakitisch allen Leuten Lebensläufe (also wirklich sensible Daten) online verschickt und auf fragwürdigen sites hinterlegt, und dann hat man angst weil vielleicht noch!!wer sieht welche harmlosen sites man liest.

©
00
20.6.2010, 21:27

Warum sollte mein Lebenslauf sensibel sein? Hab kein Problem damit wenn den wer liest.

Redwraithvienna
00
21.6.2010, 00:41
Kommt drauf an wo man gerarbeitet hat ... bzw als was ...

Also ich kenn zumindest zwei Leute die nicht wollen das ihr lebenslauf irgendwo öffentlich aufscheint... und die haben nicht bei irgendwelchen illegalen firmen oder geschäften gearbeitet.

Wicked Vienna
00
21.6.2010, 12:52

Dann kanns nur das schlechte Gewissen sein.

Redwraithvienna
00
21.6.2010, 13:12
Definitiv :)

Sagen wir so die firmen bei denen sie arbeiten / gearbeitet haben stehen nicht hoch im kurs des öffentlichen ansehens und ihre position noch viel weniger ...

Aber im prinzip ist das egal : Punkt ist - Ich kann absolut nachvollziehen warum es Leute gibt die nicht wollen das ihr CV öffentlich wird.

chefverhandler
00
20.6.2010, 18:26
GTK Theme

ich weiß es ist off-topic, aber kann mir jemand verraten, wie das gtk theme im screenshot heißt?

Redaktion derStandard.at/Web
01
20.6.2010, 18:35

Das ist der aktuelle Stand des kommenden offiziellen GNOME3-Themes, gibt's derzeit nur direkt aus dem Code-Repository...

apo

©
00
20.6.2010, 18:04

Wo bleibt eigentlich die HTTPS Version vom Standard?

/. nerd
 
01
20.6.2010, 19:10
Die haben doch heute schon komplett überlastete Server

Wenn die dann auch noch verschlüsseln müssen, packens ungefähr ein Zehntel der User.

Abgesehen davon, dass das Verschlüsseln eines Massenmediums irgendwie sinnwidrig ist.

©
01
20.6.2010, 19:13

Wenn ich während der Arbeitszeit surfe hätte ich durchaus dran Interesse, zumindest zu verhindern dass mein Arbeitgeber weiss für welche Artikel ich mich interessiere. ;)

Al Bundy
00
20.6.2010, 20:30
ich kläre sie kurz auf:

Ohne jetzt die näheren Umstände in Ihrer Firma zu kennen:
Mit einer Firewall können sie verschlüsseln was Sie wollen. Es wird alles aufgezeichnet, ob HTTP oder HTTPS....

datenbauer
01
21.6.2010, 13:41

https://youp*rn.co-m ist verschlüsselt oder unverschlüsselt verräterisch ;)

sttereo3
01
20.6.2010, 21:08

Die Firewall selbst nützt gar nix. Der kann alles mitlesen, wenn er SSL Interception verwendet. Dabei wird von einem Proxy die SSL-Verbindung aufgebaut, dort wird entschlüsselt, und dann wird über eine weitere SSL-Verbindung zum Client weitergeleitet. Der Client muss der CA vertrauen, die das auf dem Proxy verwendete Zertifikat signiert hat. Wer das signiert hat, lässt sich natürlich im Browser begutachten, wenn man die Zertifikat-Details anzeigt. Ich bin kein Profi auf dem Gebiet, aber ich denke dass das nicht (oder nicht zur Gänze) legal ist, dass Arbeitgeber das Surfverhalten ihrer Arbeitnehmer mitverfolgen.

©
00
20.6.2010, 21:29

"Der Client muss der CA vertrauen, die das auf dem Proxy verwendete Zertifikat signiert hat."

Und genau das ist der springende Punkt. Nachdem ich sehr gut weiss was auf meinem Rechner läuft, und auch sonst niemand Zugriff drauf hat, wird der Client dem Proxy auch nicht vertrauen.

sttereo3
00
23.6.2010, 06:47

Wenn du den Rechner selbst unter Kontrolle hast, ist das was anderes. Allerdings ist das bei den wenigsten Arbeitnehmern der Fall, die kriegen einen fertig aufgesetzten Rechner von ihrem Arbeitgeber vorgesetzt und haben darauf auch in den seltensten Fällen die Rechte, auf solche Einstellungen Einfluss zu nehmen.

©
01
20.6.2010, 20:32
dann kläre ich sie auch einmal kurz auf:

Über den Client habe ich selber volle Kontrolle weil von mir aufgesetzt.

Damit wird bei einer HTTPS Connection garnix aufgezeichnet, wenn der Zertifikatcheck erfolgreich ist. Das einzige was man von aussen feststellen kann ist wohin eine Connection aufgebaut wird (z.B. zu den Servern vom Standard), welche Website jetzt genau übertragen wird findet man aber nicht heraus.

Da können sie eine noch so teure Firewall kaufen...

Kommentar posten
Posting 1 bis 25 von 51
1 2

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.