Avast, Kaspersky und ESET verschlechtern HTTPS-Sicherheit

Im Prinzip steht in dem Artikel nichts komplett Neues, aber ich fand es dennoch interessant, das Schwarz auf Weiß zu lesen, vor allem vor dem Hintergrund, dass die Programme auch von Nutzern dieses Forums gerne genutzt werden, aber auch weil es zeigt, dass man sich auf die Hersteller bekannter Sicherheitssoftware absolut nicht verlassen kann:

http://www.scmagazineuk.com/updated-kasper…article/411470/

Es geht einmal mehr um die berühmt-berüchtigte "Schutzfunktion", bei welcher die "Sicherheitssoftware" in allerbester Man-in-the-Middle-Manier den HTTPS-Verkehr abfängt. So weiß Kaspersky beispielsweise seit mehr als einem Monat von einer Sicherheitslücke in seiner Funktion und hat diese noch immer nicht behoben. Ein Sicherheitsupdate wurde zwar bereits in Aussicht gestellt, aber auch nur "vor Ende Mai", wir haben jetzt Ende April. Das ist schon ziemlich schwach für den Hersteller sogenannter Sicherheitssoftware. Der Sicherheits-Blogger Hanno Böck hat sich neben Kaspersky auch Avast und ESET angesehen und alle drei verschlechtern die Sicherheit statt sie zu verbessern. ESET beispielsweise unterstützt kein TLS 1.2 und nutzt daher einfach einen schwächeren Algorithmus als die Seite unter Umständen normalerweise verwenden würde. ESET unterstützt wie Avast auch kein OCSP Stapling. In dem Artikel stehen noch mehr solche Dinge. Haarsträubend. So viele Menschen vertrauen solcher Software und geben möglicherweise sogar Geld aus.

Das ist doch überhaupt nicht der Punkt, ob es standardmäßig aktiviert ist oder nicht. Es wurde ganz explizit das getestet, nichts anderes wurde in dem Artikel behauptet und nichts anderes habe auch ich geschrieben. Abgesehen davon, dass das so auch nicht richtig ist. Für bestimmte Seiten ist das in Kaspersky sehr wohl standardmäßig aktiviert. Steht aber auch im Artikel. Ich weiß außerdem nicht, wieso du den Namen in Anführungszeichen setzt.

Zitat von pittifox

Geht mir auch so bei Dir:

Keine Ahnung, wo du da den Zusammenhang siehst. Wieso Schutzfunktion und Sicherheitssoftware in Anführungszeichen gesetzt worden ist, das geht ganz eindeutig aus dem Inhalt des Themas respektive der verlinkten Artikel hervor. Aber nicht, wieso der Name in Anführungszeichen gesetzt worden ist. Während der Schutz sehr wohl in Frage gestellt werden kann (es ist nun einmal eine Tatsache, dass das, worum es in diesem Thema geht, die Sicherheit verschlechtert, obwohl es sie verbessern soll, sprich der Schutz ist nicht real gegeben), ist der Name der Person real.

Zitat von pittifox

Was nutzt Du denn unter Windows ?

Keine Sicherheits-Software. Ich bin nicht die beste Person, um diese Frage gestellt zu bekommen. Wie oft ich das System im Jahr ernsthaft verwende, kann ich an einer Hand abzählen, das ist kein produktiv eingesetztes System. Hauptverwendungszweck: Anfertigen von Screenshots, wenn ich über etwas schreibe, was Windows und nicht OS X betrifft. Ich starte den Computer fast nur, um Updates zu installieren beziehungsweise derzeit vor allem neue Windows 10 Previews installieren, ansonsten arbeite ich ausschließlich an Macs, sowohl privat als auch in der Firma. Intensiver genutzt wurde der Computer nur, während mein primär genutzter Computer in der Reparatur war.

Zitat von Boersenfeger

... sein Sicherheitskonzept... :mrgreen:

Und aus diesem Grund praktiziere ich auch kein Sicherheitskonzept für dieses System, das ist nicht mehr als ein Testsystem / Screenshotanfertigungssystem / Notfallsystem.

Ich verwende mal dieses Thema wieder, auch wenn es nicht um die HTTPS-Sicherheit geht, sondern einfach nur um die Sicherheit, welche diese Anwendungen versprechen, aber es sind mal wieder die üblichen Verdächtigen betroffen, namentlich Kaspersky und ESET (neben anderen wie McAfee oder Symantec). Man sollte es nicht glauben, aber diese Hersteller setzen nach wie vor einzig und allein auf MD5 zur Malware-Identifizierung, ein Algorithmus, der bereits seit vielen Jahren als unsicher gilt. Was das bedeutet:

Zitat

As you can see, binaries submitted for analysis are identified by their MD5 sums and no sandboxed execution is recorded if there is a duplicate (thus the shorter time delay). This means that if I can create two files with the same MD5 sum – one that behaves in a malicious way while the other doesn’t – I can “poison” the database of the product so that it won’t even try to analyze the malicious sample!

Vollständiger Artikel hier:
http://blog.silentsignal.eu/2015/06/10/poi…mong-the-sheep/

Weil die Programme in derselben Reihenfolge im Thementitel stehen. Nicht, dass die Reihenfolge, in welcher die Programme genannt werden, irgendeine Bedeutung hätte, das ändert ja nun überhaupt nichts.