28
Modernes Dating: Reka sucht die Liebe (www.taz.de)
submitted 4 months ago by to c/dach@feddit.org
28 comments fedilink hide all child comments
you are viewing a single comment's thread
view the rest of the comments
[–] 11 points 4 months ago* (last edited 4 months ago) (12 children)

Also, ja, aber jede vernünftige Seite hat doch auch automatische redirects von nicht-SSL auf SSL?

Edit: Ich lernte dazu, vielen Dank :)

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 12 child comments
    •
  • [–] 22 points 4 months ago (8 children)

    Betonung liegt auf "vernünftige".

    Trotzdem ist es immens wichtig bereits mit HTTPS die Anfrage zu beginnen. Mal angenommen ich rufe die fiktive Seite http://feddit.org/login?username=einkorn&password=hunter2 auf. Da ich kein HTTPS verwendet habe, weiß jeder Server, über den meine Anfrage an feddit.org weitergeleitet wurde nun, dass mein Nutzername einkorn und mein Passwort hunter2 ist. Erst wenn die Anfrage beim Zielserver ist, sagt dieser dann "Ich nehme keine HTTP Anfragen an, versuchs mal mit HTTPS". Wird von Anfang an HTTPS verwendet ist der erste Schritt immer eine sichere Verbindung herzustellen, bevor anderweitige Daten übertragen werden.

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 8 child comments
    •
  • [–] -4 points 4 months ago (4 children)

    die Daten in der URL sind bei https auch nicht verschlüsselt also ist dein Beispiel nicht korrekt

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 4 child comments
    •
  • [–] 13 points 4 months ago (2 children)

    Dachte das lange Zeit auch, aber doch, die Query-Parameter sind verschlüsselt.

    Bei so einer URL:

    https://example.com/hallo.html?name=welt

    ...wird der Hostname, also example.com, über DNS aufgelöst. Wenn die DNS-Anfrage nicht verschlüsselt ist, dann kann man den Hostnamen sehen. Der Rest ist aber teil des HTTP Protokolls. Und HTTP findet auf der Anwendungsschicht statt:

    Schaubild des OSI-Modells. In der Reihenfolge vom Kabel zur Applikation sind die Schichten des Modells: Bitübertragungsschicht, Sicherungsschicht, Vermittlungsschicht, Transportschicht, Sitzungsschicht, Darstellungsschicht, Anwendungsschicht

    HTTPS ist ja HTTP+TLS. Und TLS findet auf der Transportschicht statt (deswegen auch "Transport Layer Security"). Also ist alles, was in den Schichten darüber passiert verschlüsselt, inklusive dem HTTP-Zeug.

    Oder vielleicht noch anders ausgedrückt:
    Das Konzept einer URL existiert erst in HTTP. (Und unabhängig davon auch in FTP und Co.) Die Schichten darunter interessieren sich nur für Hostnamen+Port.

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 2 child comments
    •
  • [–] 14 points 4 months ago (1 child)

    Bei einem Artikel über Beziehungen lacht mir das OSI Modell entgegen? Sowas gibts nur auf feddit 👍

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 1 child comment
    •
  • [–] 4 points 4 months ago*

    Tatsächlich, nachdem ich den Kommentar verfasst habe, bin ich zurück zu meinem Post-Feed gewechselt und hab mich erstmal gefragt, welchen Technik-Post ich gerade kommentiert hatte. Hat dann 'ne Weile gedauert bis ich drauf gekommen bin. 😅

  • permalink
  • fedilink
  • source
  • parent
  • [–] 5 points 4 months ago

    Ist egal. Die erste verbindung zum server und die antwort darauf (mit der weiterleitung) ist unverschlusselt und manipulierbar. Ein Machine-in-the-middle Angreifer kann die Antwort abfangen und die Weiterleitung dropen. Du hast dann zum Angreifer ne unverschlüsselte Verbindung und der leitet das dann in ner verschlüsselten Verbindung zum Server weiter. Nennt sich SSL stripping.

  • permalink
  • fedilink
  • source
  • parent
  • [–] 4 points 4 months ago (1 child)

    Mit HTTPS wüsste ein potentieller Mann-in-der-Mitte aber nur die IP-Adresse, mit der du kommunizierst, nicht den Gastgebername oder Pfad. Zumindest wenn auf dem Servierer noch andere Seiten liegen, ist das schon eine Stufe datensparsamer.

  • permalink
  • fedilink
  • source
  • parent
  • hideshow 1 child comment
    •
  • [–] 5 points 4 months ago

    Hostname kann meist auch außerhalb gesehen werden, weil die DNS-Anfrage meist unverschlüsselt ist. Also das passiert halt noch bevor der HTTPS-Teil los geht und müsste unabhängig verschlüsselt werden.

    DNS verschlüsseln ist seit ein paar Jahren möglich, aber hat auch Nachteile, daher wird es bisher nicht standardmäßig gemacht.

  • permalink
  • fedilink
  • source
  • parent