In den letzten Monaten hat eine Technik Einzug gehalten, die Verbindungen zu Onlineshops, Banken u.ä. sicherer machen soll.
Voraussetzung dafür ist ein neues Zertifizierungsverfahren namens EV SSL (= Extended Validation SSL ). Die neuen Zertifikate sollen garantieren, dass der Surfer auch wirklich auf der richtigen Seite ist, weil die Seite von einer unabhängigen Instanz genauestens geprüft wurde. ( heisst wohl, bisher wurde kaum, gar nicht oder nur schlampig geprüft!? )
Diese neuen Zertifikate enthalten nämlich Infos zur eindeutigen Identifizierung des jeweiligen Unternehmens.
Das Ganze ist nicht eine neue Verschlüsselung, sondern eigentlich handelt es sich nur um eine strengere Vergabepraxis für die jeweiligen Zertifikate – zumindest hab ich das Ganze mal so verstanden. Bin aber lernfähig, sollte ich mit dieser Meinung ganz daneben liegen.
Hätte es vielleicht nicht auch ausgereicht, die Vergabekriterien für die bestehenden SSL Zertifikate strenger und genauer zu definieren? So müssen alle die jetzt als supersicher gelten wollen mal rund 1200 € an Verisgn berappen, um an ein neues EV – SSL Zertifikat zu gelangen, was angeblich bereits mehr als 1000 grosse Unternehmen getan haben sollen.
Frage: Was bringts? und wem vor allem? Also erst mal profitiert Verisign , wenn die Akzeptanz bei den Unternehmen hoch genug ist.
Firmen die Zertifikate kaufen sind vertrauenswürdiger, weil sie von unabhängiger Stelle genauestens geprüft wurden?
Das zieht wohl nur, wenn die User das Ganze annehmen und begreifen. So wie derzeit mit Zertifikaten umgegangen wird, ist das eher zu bezweifeln. Warnmeldungen der Browser werden meist ignoriert und weggeklickt, wozu leider auch oft abgelaufene Zertifikate beitragen. Nicht nur, dass viele User nicht prüfen, ob eine Verbinndung gesichert ist, ein nicht zu kleiner Anteil hat keine Ahnung, wozu das Schlosssymbol da ist.
Mag ja sein, dass es mit dem neuen EV-SSL Verfahren für den Benutzer ein wenig einfacher wird, da vertrauenswürdige Sites bereits in der Adressleiste grün hinterlegt sind und Daten zu Zertifizierungsstelle und Zertifikatsinhaber eingblendet werden.
Allerdings wird der neue Standard derzeit nur vom Internet Explorer 7 unterstützt.
Firefox und Opera sollen EV – SSL in den nächsten Versionen einbauen, wenns wahr ist!?
Für kleinere Shopbetreiber kann es bei breiter Akzeptanz durch die grossen globalen Player schon ein Problem werden, wenn ohne das Zertifikat ihre Seiten in den Adressleisten plötzlich rot hinterlegt sind, weil sie „nur“ über ein normales SSL Zertifikat verfügen.
Denn 1200 € pro Jahr für die neuen Zertifikate sind ja kein Schnäppchen.
Und gegen Phishing per Cross Site Scripting hilft auch das neue Verfahren nicht, da dabei ja gefälschte Inhalte in eine echte Seite eingeblendet werden.
Ach ja meinem Internet Explorer 7 auf WinXP Prof. sind die neuen Zertifikate ziemlich egal. Die Loginseite von Ebay soll ja schon so ein EV-SSL Zertifikat haben, aber bei mir ist nix davon zu merken. Keine grüne Adressleiste nur das bekannte Schlosssymbol.
Wir leben in unsicheren Zeiten. Gottseidank gibt es deutsche Minister und österreichische Nachplatterer, die das „bevorzugte Medium der Terroristen“ zu unserem Schutz dergestalt überwachen wollen, indem sie einfach jeden PC mit Trojanern verseuchen, um jederzeit unsere Privatsphäre verletzen zu können. Jeder der Dienste im Internet regelmässig nutzt ist verdächtig. Unter dem Deckmantel der Terrorbekämpfung wird versucht mit Polzeistaatmethoden und konsequenter Vorverurteilung ALLER, die Bevölkerung zu verunsichern und zuguterletzt zu entmündigen.
Wozu also sich Gedanken machen um vertrauenswürdige und sichere Websites, solange Innenminister mit besonderen Bedürfnissen demokratische Werte und die Rechte der Einzelnen bedenkenlos überrollen.
