Alternativen zu SSL

Question

In den letzten Jahren scheint SSL von der Sicherheitsgemeinschaft ziemlich viel Prügel bezogen zu haben. Während die technischen Gründe jenseits meines Verständnisses liegen, verstehe ich die Konzepte und weiß, dass SSL immer unsicherer wird, da neue Schwachstellen gefunden werden.

Meine Frage an euch ist folgende: Wenn SSL "kaputt" ist, gibt es dann eine Technologie, die seinen Platz einnehmen kann? Gibt es eine sicherere Alternative?

Wir sind für jeden Gedanken dankbar! :)

(ps, ich spreche nicht speziell von HTTPS - ich meine jede SSL-Technologie)

Answer 1

SSL ist nicht kaputt . Das Protokoll ist so konzipiert, dass es robust ist, Probleme können in einer bestimmten Chiffriersuite gefunden werden, und ein Patch ist so einfach wie eine einzeilige Konfigurationsänderung unter Verwendung einer neuen Chiffriersuite. Es gibt Angriffe wie SSLStrip und Möglichkeiten der Vorbeugung, wie zum Beispiel HTTP-STS .

Das größte Problem ist, dass die Menschen HTTPS nicht oft genug benutzen. Dies führt zu Problemen wie OWASP a9 die von Tools wie Feuerschaf .

Answer 2

Ich würde den vorangegangenen Antworten widersprechen, dass SSL nicht kaputt ist - eines der Hauptprobleme in letzter Zeit waren die CAs (Zertifizierungsstellen), die kompromittiert wurden. SSL ist darauf ausgelegt, vertrauenswürdige Dritte einzusetzen - für immer. Wenn eine dieser vertrauenswürdigen Parteien kompromittiert wird, haben sie die Schlüssel zum Schloss.

Wir haben bereits gesehen, dass eine Reihe namhafter CAs wie Comodo und DigiNotar kompromittiert wurden. Das Problem ist so groß geworden, dass das NIST eine ITL-Bulletin zur Reaktion auf CA-Kompromittierungen . Ich würde also behaupten, dass, obwohl einige SSL/TLS-Implementierungen technisch einwandfrei sind, der "defekte" Teil ein Designproblem ist, das mit der Quelle des "Vertrauens" zu tun hat.

Answer 3

OpenSSL hat einige Sicherheitslücken, und es gibt einen Vorschlag, diese zu beheben. TACK baut auf einer Technik namens Pinning auf, die von Google eingeführt wurde. Hier ist die Vorlage für die TLS-Arbeitsgruppe.

http://tack.io/draft.html