• IT-Karriere:
  • Services:

TLS: IETF beschwert sich über Namensmissbrauch von ETLS

Die IETF ist verärgert, dass von der ETSI unter dem Namen ETLS oder Enterprise-TLS ein Protokoll mit Überwachungsschnittstelle veröffentlicht worden ist. Eigentlich hat die ETSI versprochen, auf den Namensbestandteil TLS zu verzichten.

Artikel veröffentlicht am , Hanno Böck
Zeigt sich wenig erfreut über ETLS: Die Standardisierungsorganisation IETF beschwert sich bei den Kollegen von der ETSI.
Zeigt sich wenig erfreut über ETLS: Die Standardisierungsorganisation IETF beschwert sich bei den Kollegen von der ETSI. (Bild: IETF)

Um den Namen ETLS hat das Europäische Institut für Telekommunikationsnormen (ETSI) vor kurzem eine Variation des TLS-Protokolls veröffentlicht, das eine Überwachung durch Dritte ermöglicht. Die für den Security-Bereich zuständige Internet Engineering Task Force (IETF) ist darüber nicht erfreut und kritisiert insbesondere den Namensbestandteil TLS.

Stellenmarkt
  1. Vorwerk Services GmbH, Wuppertal
  2. Fraunhofer-Institut für Optronik, Systemtechnik und Bildauswertung IOSB, Karlsruhe

Hintergrund: Mehrfach versuchten Vertreter der Industrie, im Rahmen der IETF TLS-Erweiterungen zu spezifizieren, die eine Überwachung des Datenverkehrs durch Dritte mit einem statischen Schlüssel ermöglichen. Das ist mit der jüngsten TLS-Version 1.3 nicht mehr möglich, da immer Schlüsselaustauschverfahren mit Forward Secrecy verwendet werden. Bei der IETF wurden diese Vorschläge immer wieder abgelehnt. TLS sei nicht dafür da, anderen das Mitlesen von Verbindungen zu ermöglichen, hieß es in der TLS-Arbeitsgruppe. Bei der europäischen Standardisierungsorganisation ETSI stießen die Industrievertreter auf offenere Ohren, dort entstand ETLS.

ETSI hatte Verzicht auf verwirrenden Namen versprochen

"Die IETF hat das Urheberrecht und die Kontrolle über alle TLS-Spezifikationen. Ein separates, anderes Protokoll, dessen Name TLS enthält, aber von einer anderen Standardisierungsorganisation entwickelt wird, wird vermutlich zu Verwirrung bei Entwicklern, Implementierern und Nutzern führen", erklärten die TLS-Entwickler Eric Rescorla und Benjamin Kaduk.

Offenbar kommunizierte die IETF noch während der Entwicklung des Protokolls diese Befürchtungen an die ETSI. Eine der von der ETSI diskutierten Varianten wurde unter dem Namen mcTLS veröffentlicht. Daraufhin sagte die entsprechende Arbeitsgruppe der ETSI der IETF zu, es sei nicht geplant, den Namen TLS als Namensbestandteil des neuen Protokolls zu nutzen. Daran hielt sie sich nun aber offenbar nicht.

ETLS widerspricht Baseline Requirements

Neben dem fragwürdigen Namen ist das ETLS-Protokoll offenbar auch technisch wenig durchdacht. Daniel Kahn Gillmor von der American Civil Liberty Union (ACLU) weist in einer Diskussion auf der TLS-Mailingliste darauf hin, dass die Art und Weise, in der in ETLS Zertifikate markiert werden sollten, gegen die Zertifikatsregeln des CA/Browser-Forums verstoße, den sogenannten Baseline Requirements. Falls ein solches Zertifikat von einer von Browsern akzeptierten Zertifizierungsstelle ausgestellt würde, müsste es zurückgezogen werden.

Gillmor veröffentlichte einen Entwurf für einen RFC, der empfiehlt, dass TLS-Implementierungen Verbindungen abbrechen sollten, wenn sie ETLS erkannten.

Neben der Zertifikatserweiterung, die wegen der genannten Gründe vermutlich sowieso zumindest bei normalen Webverbindungen nicht nutzbar sein dürfte, lässt sich ETLS auch am statischen Diffie-Hellman-Key erkennen. Allerdings nutzen einige Implementierungen temporäre statische Diffie-Hellman-Keys auch zur Optimierung, daher dürfte das nicht praktikabel sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Surface Pro 7 für 759€, Surface Go 2 Essentials Bundle für 567,99€, Surface Pro X für...
  2. (u. a. Call of Duty: Modern Warfare für 41,99€, Elex für 12,99€, Giana Sisters 2D für 1...
  3. (u. a. Descendants 3: Die Nachkommen für 8,99€ (DVD), Glass (Blu-ray) für 9,97€, Scrubs: Die...
  4. 1.488€ (Vergleichspreis 1.599€)

Cok3.Zer0 10. Dez 2018

Unternehmen wollen gerade Mitarbeiter-Traffic überwachen.


Folgen Sie uns
       


Gesichtertausch für Videokonferenzen mit Avatarify - Tutorial

Wir erklären, wie sich das eigene Gesicht durch ein beliebiges animiertes Foto ersetzen lässt.

Gesichtertausch für Videokonferenzen mit Avatarify - Tutorial Video aufrufen
Change-Management: Wie man Mitarbeiter mitnimmt
Change-Management
Wie man Mitarbeiter mitnimmt

Wenn eine Firma neue Software einführt oder Prozesse digitalisiert, stößt sie intern oft auf Skepsis. Häufig heißt es dann, man müsse "die Mitarbeiter mitnehmen" - aber wie?
Von Markus Kammermeier

  1. Digitalisierung in Deutschland Wer stand hier "auf der Leitung"?
  2. Workflows Wenn Digitalisierung aus 2 Papierseiten 20 macht
  3. Digitalisierung Aber das Faxgerät muss bleiben!

Ikea Trådfri im Test: Das preisgünstige Smart-Home-System
Ikea Trådfri im Test
Das preisgünstige Smart-Home-System

Ikea beweist, dass ein gutes Smart-Home-System nicht sündhaft teuer sein muss - und das Grundprinzip gefällt uns besser als bei Philips Hue.
Ein Test von Ingo Pakalski

  1. Ikea Trådfri Fehlerhafte Firmware ändert Schaltverhalten der Lampen
  2. Fyrtur und Kadrilj Ikeas smarte Rollos lernen Homekit
  3. Trådfri Ikeas dimmbares Filament-Leuchtmittel kostet 10 Euro

Energieversorgung: Wasserstoff-Fabrik auf hoher See
Energieversorgung
Wasserstoff-Fabrik auf hoher See

Um überschüssigen Strom sinnvoll zu nutzen, sollen in der Nähe von Offshore-Windparks sogenannte Elektrolyseure installiert werden. Der dort produzierte Wasserstoff wird in bestehende Erdgaspipelines eingespeist.
Ein Bericht von Wolfgang Kempkens

  1. Industriestrategie EU plant Allianz für sauberen Wasserstoff
  2. Energie Dieses Blatt soll es wenden
  3. Energiewende Grüner Wasserstoff aus der Zinnschmelze

    •  /