DNS-Server - Übersicht

Für ein offizielles Cert sind die öffentlichen CAs verantwortlich und da ist man leider von denen abhängig was man für Certs kriegt. Für OpenVPN sollte es mit Ausnahme des Arbeitsaufwands allerdings kein Prob sein, das sowohl Zertifikats- als auch Datenseitig auf SHA512 umzustellen. Neue Zertifikate erzeugt und "auth SHA512" in die ovpn rein und gut ists.
 
Naja, ganz so einfach ist das auch nicht. Wenn wir neue Certs bauen, müssen alle Nutzer wieder neu laden und das ist jedesmal ein Akt. 80 Prozent der Nutzer lesen weder Forum noch auf unserer Seite. Das müssen wir erstmal diskutieren.
 
Man könnte es mit Vorlauf auf der Webseite und im Forum ankündigen, beispielsweise drei Monate vorher, dass ab Stichtag soundso wegen Umstellung der Certs neu geladen werden muss. Der Rest ist dann auch mal ein bisschen Eigenverantwortung der User. Es ist ja schon wichtig, damit die PP-Verbindungen auch wasserdicht sind. Immerhin berührt das den Punkt VPN-Sicherheit, der im Interesse aller Nutzer liegen dürfte - auch um den Preis einer kleinen Unbequemlichkeit.
 
Wobei ich grad nicht weis in wie weit das tatsächlich ein Problem ist und ob da ernsthaft Handlungsbedarf besteht. Die tatsächliche Verschlüsselung ist davon ja nicht betroffen. Das müsste ich auch erstmal die Kollegen fragen, die kennen sich da deutlich besser aus.
 
PP Frank;n4778 said:
Naja, ganz so einfach ist das auch nicht. Wenn wir neue Certs bauen, müssen alle Nutzer wieder neu laden und das ist jedesmal ein Akt. 80 Prozent der Nutzer lesen weder Forum noch auf unserer Seite. Das müssen wir erstmal diskutieren.
Click to expand...
Ich denke auch dass hier die Sicherheit Vorrang haben muss. Die Sicherheit ist das "A" und "O" für einen VPN Anbieter wie ihr es seid.
 
Ja natürlich. Das ist schon klar. Darüber brauchen wir auch nicht diskutieren. Aber dennoch ein wenig aufpassen müssen wir schon. Aber wie gesagt: Ich muss eh erstmal mit den Kollegen reden, ob das überhaupt kritisch ist bei HMAC. Aus dem Stehgreif weis ich das persönlich jetzt nicht. Wenns kritisch ist, müssen wa natürlich aus de Pötte kommen. Wenn es nicht kritisch ist, dann sollten wa das auf jeden Fall auf die ToDo setzen und gucken das wir das mit anderen Sachen wo man eventuell die Configs neu machen muss in einen Abwasch packen.

Muss ja schon alles Sinn machen und das man die User wegen "Aluhut" stresst, tut ja echt nich Not :D
 
Es ist mit Sicherheit nix zum übers Knie brechen, der Trend und Aufruf geht ja schon lange dorthin, nur werden die Rufer in letzter Zeit auch immer lauter diesbezüglich und es wird so langsam daran gearbeitet, dass SHA1 endlich von der Bildfläche verschwindet. Wie gesagt, bei den VPN Zertifikaten, die ihr ja selber ausstellt habt ihr das in der Hand unabhängig von ner CA. Ne Umfrage was den Usern lieber ist, abwarten oder neu laden wäre ja auch ne Möglichkeit.
 
Ich hab das hier in Jacks geposteten Link gelesen:

"Die Hash-Funktion SHA-1 gilt seit 2005 als nicht mehr sicher, da sie anfällig für Kollisionsangriffe ist. Praktikabel sind diese Angriffe seit spätestens 2009, wenn auch so teuer, dass momentan nur staatlich finanzierte Angriffe zu befürchten sind."

Ich weiss jetzt auch nicht, ob ein Staat dermassen Interesse daran haben könnte, euch zu attackieren. Wegen filesharender Kundschaft sicher nicht. Ich weiss nicht, ab wann man solchen Aufwand betreiben würde. Aber die Technik schreitet auch für die Gegner voran und irgendwann wird es vielleicht gar nicht mehr so schwer sein und kostet dann nur noch soviel, dass es sich schon weit eher als momentan lohnt diesen Angriff auszuführen.
Wie dem auch sei: Perfect-Privacy wird von seinen Usern als besonders qualitativ hochwertig geschätzt und da würde ich schon nachbessern, wenn es schon machbar ist. Gerade weil PP so einen guten Namen hat und so solls bleiben. Man kann es wie bereits gesagt wurde auf der Website früh genug ankündigen.
Ich denke mal, die Configs neu runterzuladen dürfte ausserdem für alle User zumutbar sein. Wem das bereits zuviel ist, braucht auch kein VPN.
Ich will es zum Schluss mal so sagen: Perfect-Privacy gilt als der Mercedes unter den Anonymisierungsdiensten und da werden keine Roststellen akzeptiert. :D
 
Naja die Sinnfrage kann man auch aus der Perspektive sehen:

Macht es Sinn nen SSH/VPN Manager anzubieten, wenn es dafür bereits Progs für jedes erdenkliche System gibt und mit etwas Eigeninitiative man damit genau dasselbe erreicht?
Die Zertifikate oder Daten bei der Verbindung an sich abzusichern geht allerdings nicht vom User aus.
 
Wobei ich grad nicht weis in wie weit das tatsächlich ein Problem ist und ob da ernsthaft Handlungsbedarf besteht. Die tatsächliche Verschlüsselung ist davon ja nicht betroffen. Das müsste ich auch erstmal die Kollegen fragen, die kennen sich da deutlich besser aus.

Besteht Handlungsbedarf?
 
Natürlich besteht Handlungsbedarf, aber den Zeitpunkt muss PP entscheiden. Es gibt nunmal Fakten, die zum Handeln auffordern. Zum einen der Hinweis von NIST/BSI SHA1 nicht mehr zu verwenden. Sie beziehen sich in erster Linie auf HTTPS, aber auch VPN ist ne simple ssl Geschichte. Zum einen die Zertifikate selber, die SHA signiert sind, dann die Daten, die SHA Prüfsummen haben. Es kommt also überall zur Anwendung. Ok was die Daten an sich anbelangt arbeitet OpenVPN mit HMAC aber auch da ist nachzulesen, dass die Sicherheit die darunterliegende Hash Funktion bestimmt, die wiederum SHA ist. Auf der OpenVPN Manual Seite findet sich unter der Option auth alg n Link dazu: http://cseweb.ucsd.edu/users/mihir/papers/hmac.html
 
Ghost;n4868 said:

Besteht Handlungsbedarf?
Click to expand...


Wenn Handlungsbedarf besteht dann kommt dieses, auch in der Politik bekannte, Prinzip zum Tragen:

All we can do is sit and wait
All we can do is just sit and wait (they say)
All we can do is sit and wait
All we can do, yeah, that's what they say
(Sit and wait) all we can do (sit and wait) is sit and wait
(Sit and wait) all we can do (sit and wait)
Is just sit and wait (they say)
All we can do is sit and wait
All we can do, yeah, that's what they say
Sit and wait, sit and wait, just sit and wait

Da nur 2 Yeah enthalten sind, ist Geduld oberste Tugend.

http://artists.letssingit.com/sydney...d-wait-81v4zzs
 
Ich möchte nochmal kurz zum Threadthema zurück: Seit längerem nutze ich u.a. den DNS-Server des CCC. Jetzt fiel mir auf, dass, obwohl ich deren Server mit 213.73.91.35 eingetragen habe, bei DNS-Tests immer 213.73.91.41 angezeigt wird. Mailanfragen an den CCC kommen als unzustellbar zurück, egal von welchem Account ich maile. Meine Frage: Ist 213.73.91.41 ein anderer oder derselbe CCC-Server? Vielleicht kann hier jemand etwas dazu sagen.
 
213.73.91.41
Hostname N/A
ISP Inter.Net Germany GmbH Berlin
IP Range 213.73.64.0 - 213.73.110.255
Organization Inter.Net Germany

213.73.91.35
Host name dnscache.berlin.ccc.de → 213.73.91.35
IP Range 213.73.64.0 - 213.73.110.255
ISP Inter.Net Germany GmbH Berlin
Organization Inter.Net Germany

Bis auf den Hostnamen alles gleich
 
Wenn SHA1 nicht mehr als sicher genug gilt, dann sollte man vielleicht auch für Linux die LUKS Standardverschlüsselung nicht verwenden, Die verwendet nämlich auch noch SHA1. Ich habe es, als ich letztens mein neues OS installierte nachgebessert und so siehts jetzt bei mir aus:

LUKS header information for /dev/sda2

Version: 1
Cipher name: serpent
Cipher mode: xts-plain64
Hash spec: sha512
Payload offset: 4096
MK bits: 512 usw...

Das müsste jetzt besser sein oder?
 
You must log in or register to reply here.
Back
Top