Abo
  • Services:

Veraltete Schlüssel und ungültige Zertifikate

Der dritte von uns getestete, kostenlose Anbieter Bplaced bietet einen FTPES-Zugang. Aber auch hier ist die Verwaltung des Accounts über HTTPS nicht möglich, das Interface ist nur unverschlüsselt über HTTP erreichbar. Bplaced teilte uns auf Anfrage mit, dass der Grund dafür externe Skripte seien, die die Seite in der Vergangenheit genutzt habe und die nicht per HTTPS verfügbar gewesen seien. "Im Zuge einer Runderneuerung, die für Mitte des Jahres angesetzt ist, wird das Frontend ausschließlich via 256-Bit-Zertifikat und damit auch HTTPS erreichbar sein, womit die Übertragung aller Daten ausnahmslos verschlüsselt ablaufen wird", heißt es weiter. Dass Bplaced wirklich vorhat, ein 256-Bit-Zertifikat einzuführen, bezweifeln wir jedoch: Bei HTTPS-Zertifikaten handelt es sich üblicherweise um RSA-Schlüssel, die heutzutage mindestens eine Länge von 2.048 Bit haben.

Stellenmarkt
  1. news aktuell GmbH, Hamburg
  2. E. M. Group Holding AG, München, Wertingen bei Augsburg

Alle drei getesteten kostenlosen Angebote waren somit zunächst mangelhaft. Die Antworten auf unsere Anfragen lassen teilweise darauf schließen, dass den Verantwortlichen Basiskenntnisse über TLS fehlen - kein gutes Zeichen. Die Ausrede, dass man bei einem kostenlosen Webspace nicht mehr erwarten kann, zieht hier nicht. Denn die Anbieter gefährden nicht nur ihre eigenen Kunden: Gehackte Webseiten sind eine Bedrohung für alle.

TLS- und SSH-Einstellungen

Bei der Überprüfung der jeweiligen TLS- und SSH-Verbindungen sind uns einige aus kryptographischer Sicht nicht optimale oder ungewöhnliche Einstellungen aufgefallen. Bei Bplaced, Funpic, Cwcity, Domainfactory und All-Inkl etwa wurde die FTPES-Verbindung mit ungültigen oder selbst signierten Zertifikaten hergestellt. Interessant war hier auch, dass bis auf Funpic alle Anbieter, die kein korrektes Zertifikat einsetzten, nur kurze 1.024-Bit-RSA-Schlüssel verwendeten. Von den großen Zertifizierungsstellen werden solche Schlüssel üblicherweise überhaupt nicht mehr signiert. Die SFTP-Verbindungen von Strato und 1&1 waren ebenfalls nur mit einem 1.024-Bit-Schlüssel geschützt. 1&1 setzt dabei ausschließlich auf das bei SSH eher ungewöhnliche und nicht unproblematische DSA-Verfahren.

Forward Secrecy und TLS 1.2 mit GCM - die eigentlich optimale Konfiguration für TLS - fanden wir nur bei All-Inkl und Hetzner. Auch bei den Konfigurationswebseiten waren die TLS-Einstellungen eher durchwachsen. Kein einziger Anbieter schützt sein Webinterface mit der HSTS-Erweiterung, die HTTP-Zugriffe nach dem ersten Verbindungsaufbau komplett unterbindet.

Doch diese Probleme sind eher zweitrangig. Da bei allen getesteten Anbietern unverschlüsselte Verbindungen möglich sind und Nutzer nicht genügend auf die Möglichkeit der Verschlüsselung hingewiesen werden, ist davon auszugehen, dass die meisten Verbindungen komplett ungesichert ablaufen. Und das ist ein deutlich schwerwiegenderes Problem als zu kurze Schlüssel oder fehlende Forward Secrecy.

Software: meist kein Problem

Gängige FTP-Programme haben in der Regel mit verschlüsselten Verbindungen kein Problem. Beim freien Programm Filezilla, das für alle gängigen Betriebssysteme verfügbar ist, kann im Servermanager unter "Protokoll" SFTP ausgewählt werden, für FTPES wählt man als Protokoll "FTP" und unter dem Punkt "Verschlüsselung" "Explizites FTP über TLS". Auch andere verbreitete FTP-Programme wie SmartFTP, WS_FTP oder WinSCP unterstützen beide verschlüsselten Datenübertragungsverfahren.

 Verschlüsselung bei den fünf größten AnbieternBrowserunterstützung und Fazit 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6.  


Anzeige
Top-Angebote
  1. 72,99€
  2. (aktuell u. a. Samsung 860 Evo 500-GB-SSD 119€, externer DVD-Brenner 25€, 2-TB-HDD extern 66€)
  3. 99,99€

hjp 07. Mär 2014

Wenn der Block-Cipher gemeint ist (was ich natürlich nicht ausschließen kann), zeugt das...

Horsty 06. Mär 2014

Die Sicherheitsfrage beim FTP Protokoll ist absolut berechtigt und es ist gut hierüber...

redmord 05. Mär 2014

Pageant ist für mich wirklich keine Lösung. Außerdem nutze ich auch mehrere Verbindungen...

das_ist_unglaub... 05. Mär 2014

sftp weil es über SSH läuft und nicht wie bei diversen verschlüsselten FTP Variationen...

das_ist_unglaub... 05. Mär 2014

So ein Unsinn - Du glaubst doch nicht wirklich dass die Verschlüsselung im Kontext einer...


Folgen Sie uns
       


Golem.de bastelt, spielt und entdeckt Nintendo Labo

Nintendo Labo soll mehr sein als eine neue Videospielmarke. Auf dem Anspiel-Event in Hamburg haben wir gebastelt, gespielt und die Funktionsweise von Karton-Klavier bis Robo-Rucksack erkundet.

Golem.de bastelt, spielt und entdeckt Nintendo Labo Video aufrufen
HP Z2 Mini Workstation G3 im Test: Leises Rauschen hinterm Monitor
HP Z2 Mini Workstation G3 im Test
Leises Rauschen hinterm Monitor

Unterm Tisch, auf dem Tisch oder hinter den Bildschirm geklemmt: HPs Z2 Mini Workstation ist ein potentes, wenn auch nicht gerade sehr preiswertes Komplettsystem. Den Preis ist der PC aber wert, denn er ist leise, modular und kann einfach gewartet werden. Der Admin dankt!
Ein Test von Oliver Nickel

  1. HP Pavilion Gaming Hardware für Gamer, die sich Omen nicht leisten wollen
  2. Chromebook x2 HP präsentiert Chrome-OS-Detachable mit Stift
  3. Laserjet Pro M15w und M28w HPs Laserdrucker schrumpfen auf 34 Zentimeter Länge

Virgin Galactic: Spaceship Two fliegt wieder - trotz tödlicher Unfälle
Virgin Galactic
Spaceship Two fliegt wieder - trotz tödlicher Unfälle

Die Entwicklung des Raketenflugzeugs für Touristenflüge in den Weltraum hat schon vier Menschenleben gekostet. Vergangenen Donnerstag hat Virgin Galactic die Tests mit Raketentriebwerk wieder aufgenommen.
Von Frank Wunderlich-Pfeiffer


    BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
    BeA
    Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

    Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
    Eine Exklusivmeldung von Hanno Böck

    1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
    2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
    3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

      •  /