Sichere INetseiten

EV-Zertifkate werden noch immer Grün signalisiert:
https://signin.ebay.de/ws/eBayISAPI.dll?SignIn
Nur normale Zertifikate nicht:
https://www.heise.de/userdb/sso?rm=…//www.heise.de/

Über die Sicherheit von Webseiten sagt das generell übrigens nichts aus. Da geht es nur um die verschlüsselte Übertragung.

Was die Zertifikate betrifft, genau umgekehrt.

Hohe Sicherheit / niedrige Sicherheit - ist das so?
Ich war davon ausgegangen, daß die normalen SSL-Zertifikate genauso sicher sind wie die EV-SSL-Zertifikate, letztere sich aber nur durch eine detaillierte Überprüfung des Antragstellers durch die Zertifizierungsstelle auszeichnen. So daß bei den blauen dann "Diese Website wird betrieben von (unbekannt)" steht, aber bei gleicher Verschlüsselungsstärke.

Die Verschlüsselung ist bei beiden genauso sicher. Bei EV-SSL (grün) gab es außerdem noch eine halbwegs sichere Prüfung, ob die Webseite von dem betrieben wird, von dem sie es vorgibt.

In Bezug auf die Verschlüsselung bzw. Signierung werden bei EV strengere Regelungen angelegt was die verwendeten Algorithmen betrifft. So ist bei EV-Zertifkaten bspw. kein md5 zugelassen. Damit sollen solche Angriffe nicht mehr möglich sein.

Wie oben schon erwähnt, ein Zertifikat sagt nichts über die Sicherheit am Endpunkt aus.

Auch das "grüne Zertifikat" prüft doch rein technisch beim Aufruf der URL genau wie das blaue nur, ob der Common Name auf dem Zertifikat mit der aufgerufenen URL übereinstimmt.

Bei der Vergabe von EV-SSL wird allerdings irgendwie vor der Vergabe geprüft, wer hinter der zu zertifizierenden Domain steckt. Nach welchen Kriterien das abläuft weiß ich aber auch nicht. Ob wohl dann geprüft wird "Ja, der Betreiber von http://www.hackerbude-dein-browser-geht-drauf.de ist tatsächlich Karl Brutal, der Türsteher des Roxy Clubs"? Einfach nur, um eine tatsächlich greifbare Person zu haben?

Quelle: caveman

Zitat von caveman

Auch das "grüne Zertifikat" prüft doch rein technisch beim Aufruf der URL genau wie das blaue nur, ob der Common Name auf dem Zertifikat mit der aufgerufenen URL übereinstimmt.

Der CN wird hergenommen um zu prüfen, ob das präsentierte Zertifikat auch zum Host gehört, richtig. Auf der technischen Seite ändert sich eigentlich nichts. Die Vergabekriterien sind nur deutlich strenger.

Zitat

Nach welchen Kriterien das abläuft weiß ich aber auch nicht.

Nachlesbar allgemein unter http://cabforum.org/EV_Certificate_Guidelines.pdf
Spezieller in den einzelnen Guides der CAs.

Zitat

Einfach nur, um eine tatsächlich greifbare Person zu haben?

Um die Identität des Seitenbetreibers festzustellen. Es soll verhindert werden, dass sich sich Personen unberechtigt Zertifikate ausstellen lassen. Bei bisherigen Verfahren kann die Prüfung durch die CAs mitunter recht lax ausfallen.