browser
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.
Beide Seiten, vorherige ÜberarbeitungVorherige ÜberarbeitungNächste Überarbeitung | Vorherige Überarbeitung | ||
browser [2014-05-27 05:15] – Formatierung verbessert thomasm | browser [2014-06-02 10:46] (aktuell) – moved CA, CRL and OCSP down to "Erklärungen" thomasm | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
- | ====== | + | ====== CryptoParty |
+ | |||
+ | * Datum: Montag 26. Mai 2014, ab 19:00 Uhr | ||
+ | * Ort: Metalab, | ||
+ | * Thema: Webbrowser und Sicherheit. Einstellungen, | ||
Ursprüngliches Titanpad [[http:// | Ursprüngliches Titanpad [[http:// | ||
Zeile 16: | Zeile 20: | ||
* wie erkenne ich, ob ich mich auf der richtigen seite befinde? (also nicht erstebank.at.phishing.com) | * wie erkenne ich, ob ich mich auf der richtigen seite befinde? (also nicht erstebank.at.phishing.com) | ||
- | Was heißt "Private Mode"? Und wie wird der in den unterschiedlichen Browsern genannt? | + | ==== Private-Mode ==== |
- | ==== Was ist eine Certificate-Authority (CA, Zertifizierungsstelle für digitale Zertifikate)? | + | Browser speichern üblicherweise Cookies von geöffneten Websites und tragen alle aufgerufenen Adressen |
+ | in den Verlauf ein. Außerdem werden geöffnete Seiten im Cache zwischengespeichert, um sie bei erneutem | ||
+ | Öffnen schneller zu laden. | ||
- | Eine Firma/ | + | Der Private-Mode löscht all diese Daten, wenn das Browserfenster geschlossen |
- | Beim Aufruf einer Webseite über https überprüft Dein Browser den „Ausweis“ (das Zertifikat der Seite) anhand dieser Liste. Wird ein Zertifikat als gültig erkannt | + | eines Gerätes nicht erfahren, welche Websites vorher angesehen |
- | ==== Was ist eine CRL? ==== | + | **Der Private-Mode macht einen nicht anonym und verhindert auch nicht, dass Verbindungen überwacht werden |
+ | oder dass der Browser getrackt wird. Der Private-Mode verhindert nur Spuren am eigenen Gerät.** | ||
- | Certificate Revocation List. Manchmal müssen Zertifikate vor ihrem eigentlichen Ablaufdatum zurückgezogen werden. Beispielsweise wenn ein Webserver kompromittiert wurde wie es beispielsweise bei der Heartbleed Sicherheitslücke der Fall war. | + | Der Private-Mode |
- | Dein Browser holt sich regelmäßig eine Liste an solchen zurückgezogenen (revokten) Zertifikaten. Bei einer https Verbindung | + | |
- | ==== Was ist OCSP? ==== | + | **Firefox: Privates Fenster** |
- | Um dem Problem länger werdender CRLs entgegenzuwirken wurde OCSP entwickelt. Dein Browser fragt dazu bei jedem https Aufruf bei der CA nach ob das jeweilige Zertifikat zurückgezogen wurde. Dies verlängert die Zeit die eine Seite zum Aufrufen benötigt und bringt auch Privatsphäre Probleme mit sich da die CA nun von allen https Seiten erfährt die aufgerufen werden. | + | * Im Menü (drei horizontale Striche rechts oben): Privates Fenster |
- | In vielen Browsern/ | + | * oder: Datei > Neues Privates Fenster |
- | Was ist OCSP-Stapling? | + | |
- | Beim OCSP-Stapling liefert die Webseite die Antwort für die OCSP Überprüfung gleich mit damit ein Browser nicht extra nachfragen muß. Dies beschleunigt den Aufruf von https Webseiten und verhindert, dass die CA erfährt, wer wann welche HTTPS-Seite aufruft. | + | |
- | OCSP-stapling wird unterstützt von: | + | **Safari: Privates Surfen** |
- | | + | |
- | | + | |
- | * Opera (21) | + | |
- | * Opera Next (21) | + | |
- | * Chromium (34) | + | |
- | | + | |
- | | + | |
- | OCSP-stapling wird nicht unterstützt von: | + | |
- | | + | |
- | * Google | + | **Chrome: Inkognito-Fenster** |
- | * Opera Mini für Android (7.5) | + | * Im Menü (drei horizontale Striche rechts oben): Neues Inkognito-Fenster |
- | * Tor Browser 3.6.1 (24.5.0 ESR) | + | |
- | * Gnome Web (was: Epiphany) | + | |
- | * Midori | + | **Opera: Privates Fenster** |
+ | |||
+ | * Mac OS X: Ablage > Neues Privates Fenster | ||
+ | * Windows: Opera-Button (links oben) > Neues privates Fenster | ||
+ | |||
+ | **Internet Explorer: InPrivate** | ||
+ | * Extras (Zahnrad-Symbol) > Sicherheit > InPrivate-Browsen | ||
==== Was kann mein Browser? ==== | ==== Was kann mein Browser? ==== | ||
Zeile 65: | Zeile 68: | ||
* Flash-Cookies / Plugins allgemein (siehe auch Verhalten von TOR) | * Flash-Cookies / Plugins allgemein (siehe auch Verhalten von TOR) | ||
* Evercookie | * Evercookie | ||
- | * Browser-Fingerprint | + | * Browser-Fingerprint: |
- | | + | * Panopticlick ( https:// |
- | | + | * JonDonym ( http:// |
- | + | | |
- | Plug-Ins | + | * Flash |
- | * Flash | + | * Java / IcedTea |
- | * Java / IcedTea | + | * Flip4Mac |
- | * Flip4Mac | + | * iPhoto Plug-In |
- | * iPhoto Plug-In | + | * Unity Web Player |
- | * Unity Web Player | + | * Acrobat PDF Viewer |
- | * Acrobat PDF Viewer | + | * MS Office Connect |
- | * MS Office Connect | + | * QuickTime |
- | * QuickTime | + | * DiVX |
- | * DiVX | + | * Windows Media |
- | * Windows Media | + | * Microsoft Silverlight |
- | * Microsoft Silverlight | + | * ActiveX Controls? |
- | * ActiveX Controls? | + | |
Grundsätzlich solltest Du alle Plug-Ins abschalten. | Grundsätzlich solltest Du alle Plug-Ins abschalten. | ||
Zeile 267: | Zeile 269: | ||
Ein Lesezeichen in dem keine Web-Adresse drinnen steht, sondern ein Javascript Programm welches beim Anklicken im Kontext der aktuellen Webseite ausgeführt wird. | Ein Lesezeichen in dem keine Web-Adresse drinnen steht, sondern ein Javascript Programm welches beim Anklicken im Kontext der aktuellen Webseite ausgeführt wird. | ||
+ | |||
+ | ==== Was ist eine Certificate-Authority (CA, Zertifizierungsstelle für digitale Zertifikate)? | ||
+ | |||
+ | Eine Firma/ | ||
+ | Beim Aufruf einer Webseite über https überprüft Dein Browser den „Ausweis“ (das Zertifikat der Seite) anhand dieser Liste. Wird ein Zertifikat als gültig erkannt und kann überprüft werden kommt die Verbindung zustande. In anderen Fällen gibt es eine Fehlermeldung. | ||
+ | |||
+ | ==== Was ist eine CRL? ==== | ||
+ | |||
+ | Certificate Revocation List. Manchmal müssen Zertifikate vor ihrem eigentlichen Ablaufdatum zurückgezogen werden. Beispielsweise wenn ein Webserver kompromittiert wurde wie es beispielsweise bei der Heartbleed Sicherheitslücke der Fall war. | ||
+ | Dein Browser holt sich regelmäßig eine Liste an solchen zurückgezogenen (revokten) Zertifikaten. Bei einer https Verbindung wird geprüft ob das vom Server präsentierte Zertifikat in dieser Liste enthalten ist. Wenn sehr viele Zertifikate zurückgezogen werden, dann werden diese Listen sehr lange was sich als probematisch erwiesen hat. | ||
+ | |||
+ | ==== Was ist OCSP? ==== | ||
+ | |||
+ | Um dem Problem länger werdender CRLs entgegenzuwirken wurde OCSP entwickelt. Dein Browser fragt dazu bei jedem https Aufruf bei der CA nach ob das jeweilige Zertifikat zurückgezogen wurde. Dies verlängert die Zeit die eine Seite zum Aufrufen benötigt und bringt auch Privatsphäre Probleme mit sich da die CA nun von allen https Seiten erfährt die aufgerufen werden. | ||
+ | In vielen Browsern/ | ||
+ | Was ist OCSP-Stapling? | ||
+ | Beim OCSP-Stapling liefert die Webseite die Antwort für die OCSP Überprüfung gleich mit damit ein Browser nicht extra nachfragen muß. Dies beschleunigt den Aufruf von https Webseiten und verhindert, dass die CA erfährt, wer wann welche HTTPS-Seite aufruft. | ||
+ | |||
+ | OCSP-stapling wird unterstützt von: | ||
+ | * Firefox (29) | ||
+ | * Firefox für Android (29) | ||
+ | * Opera (21) | ||
+ | * Opera Next (21) | ||
+ | * Chromium (34) | ||
+ | * Chrome (34) | ||
+ | * Internet Explorer (11) | ||
+ | |||
+ | OCSP-stapling wird nicht unterstützt von: | ||
+ | * Safari 7.0.3 (OS X 10.9.2, iOS 7.1.1) | ||
+ | * Google Chrome auf Android (34) | ||
+ | * Opera Mini für Android (7.5) | ||
+ | * Tor Browser 3.6.1 (24.5.0 ESR) | ||
+ | * Gnome Web (was: Epiphany) | ||
+ | * Midori | ||
browser.1401167738.txt.gz · Zuletzt geändert: 2014-05-27 05:15 von thomasm