HTTPS und Zertifikate - wie mache ich es richtg?

[DeddyH]

Man könnte auch bei einem ungültigen Zertifikat den Kunden darauf hinweisen, ihm aber die Möglichkeit bieten, es auf eigene Gefahr trotzdem zu akzeptieren. Wenn man sehr freundlich ist, kann man auch einen Abschnitt in die Doku schreiben, der den Sachverhalt erklärt.

[Mavarik]

Zitat von DeddyH:

Man könnte auch bei einem ungültigen Zertifikat den Kunden darauf hinweisen, ihm aber die Möglichkeit bieten, es auf eigene Gefahr trotzdem zu akzeptieren. Wenn man sehr freundlich ist, kann man auch einen Abschnitt in die Doku schreiben, der den Sachverhalt erklärt.

Bei jeder offenen Schnittstelle läuft man Gefahr, dass diese Missbraucht wird.
Warum soll man eine SQL Server nicht öffentlich ins Netz hängen? Damit keiner damit Mist baut.
Wenn ich aber einen REST-Service für die gleichen Funktionalitäten einsetze, möchte ich auch nicht, dass ein 3. den Traffic abhört und dann die Schnittstelle nutzt um genau das gleiche zu machen.

Jetzt könnte man sagen, Kaspersky kann man vertrauen, aber wie weit soll man gehen... Fiddler sicherlich nicht.

Mavarik

[Der schöne Günther]

Ich verstehe noch nicht so ganz weshalb der gute Mann normal im Internetz-Surfen kann, aber deine Anwendung streikt. Hast du im Event-Handler hartkodiert dass das Zertifikat von "Lets's Encrypt" ausgestellt sein muss? Ich hätte mich auf den Boolean-Parameter "Accepted" verlassen, denn ob das ok ist oder nicht (z.B. abgelaufen oder dem Zertifikat vertraut das System nicht) prüft ja das Betriebssystem.

[CCRDude]

Das Betriebssystem prüft nur, ob die Kommunikation verschlüsselt ist.

Erst mit Certificate Pinning stellt man sicher, dass man mit der bekannten Gegenseite kommuniziert. Da gibt es auf diversen Ebenen Möglichkeiten; dass es ein Zertifikat von Lets Encrypt sein muss, kann man etwa auch per DNS einstellen, dann prüft es das Betriebssystem auc.

Wenn man niemanden auf der Leitung schnüffeln haben möchte, ist ein Pinning auf ein konkretes Zertifikat hilfreich. Sei es um Reverse Engineering zu erschweren oder tatsächlich Daten zu schützen.

[Der schöne Günther]

Danke für das Fachwort. Wenn man in der Suchmaschine seines Vertrauens nach "Certificate Pinning" sucht findet man ja doch hilfreiche Infos und Meinungen von verschiedenen Seiten. Seinen persönlichen Schluss muss man wohl selber ziehen.