<VirtualHost 0.0.0.0:80>
RewriteEngine On
RewriteRule ^(.*)$ https://%{SERVER_NAME}$1 [L,R]
</VirtualHost>


Daher ein paar Euros für ein Class 1 Zertifikat hingeblättert

Das gilt aber nur für den Fall, dass das CA-Zert in deinem Browser als vertrauenswürdige CA installiert ist.

Ist die nicht der Fall, wirft der Browser eine Fehlermeldung á la “gültiges Zert aber fremde CA”. Dann lieber doch Geld für ein Cert von GoDaddy und Co. bezahlen und dafür die User nicht mit einer Fehlermeldung bzw. Abfrage verwirren.

Just my 3 cents

just my 2 cents

Jedoch wäre es angebracht, dass SSL Symbol im Browser abzuändern. z.B. verschieden Vertrauenseinstufungen – von hoch (Class3/4) bis niedrig (Class1).

Ein Tool, das diese Aufgabe übernimmt bzw. warnt, wenn sich die Stufe eines Zertifikats ändert, kenne ich auch nicht. Generell wäre soetwas aber als Standardfunktionen in Browsern zu begrüßen.

Klar, das habe ich ja auch im ersten Comment bereits gesagt. Ich wollte ja mit dem Beispiel ja nur klarstellen, welchen Vorteil ein C3-Zert hätte.

Die Tatsache, dass aber selbst ich bei einem in dieser Form durchgeführtem Angriff hinters Licht geführt werden würde zeigt, dass meine Browser-Einstellungen nicht gut genug sind. Theoretisch müssten man die C1-CA-Zerts rauswerfen, um diese Problematik zu umgehen.

Dann würde ich aber hier zB einen Fehler erhalten.

Alternativ müsste man die Fingerprints pro Site irgendwie freezen können, um bei Veränderungen benachrichtigt zu werden. Gibts da was?

Bekomme ich stattdessen das C1-Zert angezeigt, kann ich auf einer Seite sein, die von jemanden, der (zeitweise) Zugriff auf dein Mailkonto hatte, aufgesetzt wurde.

Es wäre aber z.B. ein DNS-Angriff möglich (Poisoning), der meine Request von http://www.adminlife.net auf einen anderen Server umleitet und mir dies, vor allem durch das installierte Zertifikat, verschleiert wird. (Der Browser prüft ja nur die Übereinstimmung von aufgerufener Adresse und dem CN im Zert).

Den Usern ist es eh egal, die merken es nicht und kennen wohl auch nicht den Unterschied zwischen Class 1 und Class 3. Höchstens selbstzertifizierte oder abgelaufene Zertifikate, die der Browser anmeckert, werden in ihm Zweifel aufrufen.

Aber eins stimmt nicht ganz: Ein Zugriff auf die Mailbox reicht nicht. Das Zertifikat muss ja auch noch installiert werden auf dem betreffenden Webserver. Also muss der Bösewicht auch noch Zugriff auf den Webserver haben (oder zwischen der Verbindung von Client und Server hocken und dir sein eigenes Zertifikat unterjubeln).

Das heißt, wenn ich den Fähigkeiten des Admins vertraue (dass er also nur selbst Zugriff auf seine Mailbox hat), dann ist das Zertifikat etwas wert. Kenn ich den Admin nicht, hab ich zwar eine verschlüsselte Übertragung zwischen dem Server und mir, weiß aber nicht WER die Daten dann wirklich bekommt – denn das Zertifikat wurde ja an den jenigen ausgeliefert, der die godaddy-mail lesen kann.

Für einen Blog und normale Webseite ist diese Art Zertifikat sicherlich ausreichend. Sollte man aber einen Webshop betreiben, sein Webmail oder andere vertrauliche Applikationen via SSL absichern wollen, wäre eigentlich ein Class 3-Zert unumgänglich.

Aber machen wir uns nichts vor: Die Nutzer schauen, wenn überhaupt, darauf ob “das Schloss in der Fußzeile ist” und damit haben sie genug gecheckt. Traurig, aber wahr. Ein Class 3-Zert ist demnach so gut wie unnötig, so lange man ein Class 1-Zert hat, dessen CA gut unterstützt wird.