Zugschlusbeobachtungen (Entries tagged as pki)

PKI-loses TLS

nospam@example.com (Marc 'Zugschlus' Haber) — Sat, 05 Jan 2008 12:00:19 +0000

Florian hat im April 2007 eine Notiz über PKI-loses TLS unter Verwendung von selbstsignierten Zertifikaten veröffentlicht. Er ist ja immer für provokative Aussagen gut, und in der Notiz erklärt er seine Beweggründe gut und hat bei mir einen Denkprozess ausgelöst.

Ich werd das in den nächsten Monaten mal für den einen oder anderen Dienst, z.B. OpenVPN, ausprobieren und gucken, ob dieser Ansatz in der Praxis funktionieren könnte. Für die Anwendung im Webumfeld sehe ich ja eher schwarz, weil dank der verDAUung des Internets ein https-Server mit selbstsigniertem Zertifikat gemeinhin als unsicherer angesehen wird wie ein Server mit unverschlüsseltem http. Weil bei Ersterem der Browser weint, und bei Zweiterem nicht.

EasyRSA on Debian for an OpenVPN CA

nospam@example.com () — Tue, 06 Mar 2007 12:50:53 +0000

After asking for useable CA Software, I have finally settled on using EasyRSA. This is what I did to come across the packaging shortcomings of EasyRSA in Debian.

Continue reading "EasyRSA on Debian for an OpenVPN CA"

X509 Certification Authority

nospam@example.com () — Fri, 14 Apr 2006 13:44:00 +0000

In diesem Artikel samme ich Links zu Literatur und HOWTOs über den Aufbau lokaler X.509 Certification Authorities.

Continue reading "X509 Certification Authority"

Looking for useable CA software

nospam@example.com () — Fri, 03 Mar 2006 22:22:09 +0000

To support my experiments with OpenVPN, I have been trying to evaluate different CA software packages in Debian. With devastating results.

I tried

pyca
tinyca
easy-rsa (from the openvpn package)

Continue reading "Looking for useable CA software"

To self-signed or not to self-sign?

nospam@example.com () — Thu, 08 Dec 2005 13:52:05 +0000

Auf der Nesus-Mailingliste fand ich heute eine Mail, deren Autor sich darüber wundert, dass
Nessus bei einem Self-Signed Certificate keine Warnung wirft.

Schließlich ist das eine schlechte Security-Maßnahme weil auf diese Weise Man-in-the-Middle-Attacken möglich werden. Das sei insbesondere im kommerziellen Umfeld ein Problem.

Nun, meine Meinung dazu ist, dass es sicherer sein kann, ein selbstsigniertes Zertifikat selbst zu verifizieren als sich blind auf die durchaus durchwachsenen Prozesse einer kommerziellen CA zu verlassen.

Ach ja, die oben zitierte Mail kam von einem Verisign-Mitarbeiter.