https Zertifikate ( Sicherheit ? )
Hi, mein Browser ( Opera 12.16 ) zeigt mir in der Firma zwei Zertifikate: jenes der Pensionsversicherung ( www.pensionsversicherung.at ) und jenes des Webgateways meiner Firma. Der Browser kennt natürlich OFFICE als Unterzeichner des Webgatewayzertifikates nicht und hat daher ein Sicherheitsproblem. Bei Bankseiten gibts das zum Beispiel nicht - wär ja auch unangenehm, wenn die EDV Abteilung den Kontostand vom Herrn Generaldirektor mitlesen könnte... Gehe ich richtig in der Annahme, dass über dieses Webgateway der gesamte Datenverkehr mit der Pensionsversicherung mitgelesen werden könnte? Und wie erklär ich das am Besten einem EDV Laien? Danke A.
Hi, Tritt dies mit Internet Explorer und Chrome (ich frage beabsichtigt NICHT nach Firefox) ebenfalls auf? Oder anders gefragt: Wurde das Root CA Zertifikat des Zertifikats des Webgateways durch deinen Arbeitgeber im Windows Certificate Store hinterlegt? Was meinst Du genau, wenn Du sagst dass Du beide Zertifikate siehst? Wie äußert sich dies genau? Normalerweise wird im Falle von SSL Inspection immer nur das Zertifikat des Gateways angezeigt... LG Arthur 2014-08-21 20:38 GMT+02:00 Andi Stern <astern4metalab@singakademie.at>:
Hi,
mein Browser ( Opera 12.16 ) zeigt mir in der Firma zwei Zertifikate: jenes der Pensionsversicherung ( www.pensionsversicherung.at ) und jenes des Webgateways meiner Firma. Der Browser kennt natürlich OFFICE als Unterzeichner des Webgatewayzertifikates nicht und hat daher ein Sicherheitsproblem.
Bei Bankseiten gibts das zum Beispiel nicht - wär ja auch unangenehm, wenn die EDV Abteilung den Kontostand vom Herrn Generaldirektor mitlesen könnte...
Gehe ich richtig in der Annahme, dass über dieses Webgateway der gesamte Datenverkehr mit der Pensionsversicherung mitgelesen werden könnte?
Und wie erklär ich das am Besten einem EDV Laien?
Danke
A. _______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Hi, also beim IE hat der Arbeitgeber das Zertifikat hinterlegt, und für den Firefox hat der Support eine Anleitung zum Hinterlegen dieses Zertifikats zur Verfügung gestellt. Opera zeigt ein Warnungsfenster an (Zertifikatskette unvollständig oder so ähnlich), der mittlere Reiter ( Sicherheit ) zeigt als Inhaber www.pensionsversicherung.at und als Aussteller Webgateway an. Unter Einzelheiten sehe ich eben jene zwei Zertifikate, nämlich www.pensionsversicherung.at und Webgateway. Zu Hause ist jedoch der Aussteller a-sign-SSL-03, der Inhaber jedoch www.sozialversicherung.at - Hauptverband der Oesterreichischen Sozialversicherungstraeger das zweite Zertifikat, a-sign-SSL-03 ist von A-Trust-nQual-03 ausgestellt und das dritte, A-Trust-nQual-03 von A-Trust-nQual-03 - alle A-Trust Ges. f. Sicherheitssysteme im elektr. Datenverkehr GmbH Das Zertifikat in der Firma ist ganz offensichtlich ein anderes als jenes zu Hause. Was können wir daraus folgern? Ach ja, und bei easybank.at meckert Opera nicht .... Danke & liebe Grüße A. Am 21.08.2014 um 20:58 schrieb Arthur Wist:
Hi,
Tritt dies mit Internet Explorer und Chrome (ich frage beabsichtigt NICHT nach Firefox) ebenfalls auf? Oder anders gefragt: Wurde das Root CA Zertifikat des Zertifikats des Webgateways durch deinen Arbeitgeber im Windows Certificate Store hinterlegt?
Was meinst Du genau, wenn Du sagst dass Du beide Zertifikate siehst? Wie äußert sich dies genau? Normalerweise wird im Falle von SSL Inspection immer nur das Zertifikat des Gateways angezeigt...
LG
Arthur
2014-08-21 20:38 GMT+02:00 Andi Stern <astern4metalab@singakademie.at>:
Hi,
mein Browser ( Opera 12.16 ) zeigt mir in der Firma zwei Zertifikate: jenes der Pensionsversicherung ( www.pensionsversicherung.at ) und jenes des Webgateways meiner Firma. Der Browser kennt natürlich OFFICE als Unterzeichner des Webgatewayzertifikates nicht und hat daher ein Sicherheitsproblem.
Bei Bankseiten gibts das zum Beispiel nicht - wär ja auch unangenehm, wenn die EDV Abteilung den Kontostand vom Herrn Generaldirektor mitlesen könnte...
Gehe ich richtig in der Annahme, dass über dieses Webgateway der gesamte Datenverkehr mit der Pensionsversicherung mitgelesen werden könnte?
Und wie erklär ich das am Besten einem EDV Laien?
Danke
A. _______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
On 2014-08-22 16:40:43 +0200, Andi Stern wrote:
also beim IE hat der Arbeitgeber das Zertifikat hinterlegt, und für den Firefox hat der Support eine Anleitung zum Hinterlegen dieses Zertifikats zur Verfügung gestellt.
Kann man aus der Auslassung schließen, dass für Opera kein Root-Zertifikat hinterlegt worden ist? Dann ist klar, warum Opera als einziger schreit. Allen anderen hat man ja gesagt, dass die Root-CA vertrauenswürdig ist.
Opera zeigt ein Warnungsfenster an (Zertifikatskette unvollständig oder so ähnlich),
Ja, das klingt nach fehlendem Root-Zertifikat.
der mittlere Reiter ( Sicherheit ) zeigt als Inhaber www.pensionsversicherung.at und als Aussteller Webgateway an. Unter Einzelheiten sehe ich eben jene zwei Zertifikate, nämlich www.pensionsversicherung.at und Webgateway.
Das ist eine normale Certificate Chain. www.pensionsversicherung.at wurde von Webgateway zertifiziert. Das hast Du bei jeder Website (Ausnahme: self-signed certificate), oft auch über längere Ketten. Das sind nicht zwei Zertifikate für eine Website, sondern eines für die Website und eines für die CA.
Zu Hause ist jedoch der Aussteller a-sign-SSL-03, der Inhaber jedoch www.sozialversicherung.at - Hauptverband der Oesterreichischen Sozialversicherungstraeger
das zweite Zertifikat, a-sign-SSL-03 ist von A-Trust-nQual-03 ausgestellt und das dritte, A-Trust-nQual-03 von A-Trust-nQual-03 - alle A-Trust Ges. f. Sicherheitssysteme im elektr. Datenverkehr GmbH
Das Zertifikat in der Firma ist ganz offensichtlich ein anderes als jenes zu Hause. Was können wir daraus folgern?
Dass Dein Arbeitgeber eine Man-in-the-Middle-Attacke gegen seine Mitarbeiter fährt. Aber gut, das war ja wohl der offensichtliche Sinn des Proxys.
Ach ja, und bei easybank.at meckert Opera nicht ....
Offenbar haben eure Admins da eine Ausnahme konfiguriert. Aber nichts (außer vielleicht unternehmensinterne Workflows) würde sie daran hindern, diese Ausnahme wieder zu entfernen. Und da das Webgateway-Zertifikat in Firefox und IE als vertrauenswürdig hinterlegt wurde, würden die (im Gegensatz zum Opera) auch nicht meckern. hp -- _ | Peter J. Holzer | I want to forget all about both belts and |_|_) | | suspenders; instead, I want to buy pants | | | hjp@hjp.at | that actually fit. __/ | http://www.hjp.at/ | -- http://noncombatant.org/
Hi, danke für die ausführlichen Antworten! Am 22.08.2014 um 18:41 schrieb Peter J. Holzer: ...
Kann man aus der Auslassung schließen, dass für Opera kein Root-Zertifikat hinterlegt worden ist? Dann ist klar, warum Opera als
Genau, für Opera wurde nichts hinterlegt. ...
Dass Dein Arbeitgeber eine Man-in-the-Middle-Attacke gegen seine Mitarbeiter fährt. Aber gut, das war ja wohl der offensichtliche Sinn des Proxys.
Das Management ist ein "gebranntes Kind" was Kommunikation interner Infos nach draussen betrifft, das können sie via Proxy, wenn schon nicht verhindern, zumindest im Nachhinein nachweisen... ...
Offenbar haben eure Admins da eine Ausnahme konfiguriert. Aber nichts (außer vielleicht unternehmensinterne Workflows) würde sie daran hindern, diese Ausnahme wieder zu entfernen. Und da das
Dass Kontodaten auch vor den Admins zu schützen sind, dürfte Konsens in der Firma sein - bei Pensionsdaten gibts diesen Konsens offensichtlich nicht. ...
hp
-- _ | Peter J. Holzer | I want to forget all about both belts and |_|_) | | suspenders; instead, I want to buy pants | | | hjp@hjp.at | that actually fit. __/ | http://www.hjp.at/ | -- http://noncombatant.org/ _______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Teilnehmer (3)
-
Andi Stern -
Arthur Wist -
Peter J. Holzer