StartSSL seriös ?

R

Rukola

New Member
Da mein SSL-Zertifikat nun bald ausläuft, wurde mir von einem Bekannten StartSSL als sehr günstige Alternative empfohlen.

Ich habe mich dann entschieden die einmal zu testen. Nun hocken die in Israel... also mache ich den Bock zum Gärtner habe ich mich gefragt ^^

Ich habe dann einmal den Vorgang gestartet. Die wollten eine Passkopie und ein weiteres offizielles Dokument. In dem Fall habe ich meinen rosa Führerschein genommen.

Da mein Reisepass abgelaufen ist, würde auch der Personalausweis gehen kam auf Nachfrage zurück. Nun kommt aber der Knackpunkt ... Im Netz habe ich einen Beitrag gefunden, wo man die Zugangsnummer (Vorderseite- die Zahl neben der Gültigkeitsdauer) unbedingt schwärzen sollte.

StartSSL akzeptiert aber keinerlei Schwärzungen in den Dokumenten.

Was haltet ihr von der Sache ? Ist das seriös ? Überall kann man bei den Anbietern solche Sachen unkenntlich machen, nur bei denen nicht. Gibt es denn ein Missbrauchspotential durch diese Nummer ? Liegt diese Forderung tatsächlich darin begründet, dass ein Dokument nicht verändert sein darf, oder will man Daten abfischen die man für eine "normale" Identifizierung nicht braucht.

Wie schaut das denn eigentlich mit dem Zertifikat aus wenn man den privaten Key natürlich auf seinem Rechner erzeugt... also nicht bei denen ! Ist hier irgendeine Schwachstelle oder Gefahr zu erkennen ?

Auf der einen Seite waren meine Ausweispapiere schon auf allen möglichen Flughäfen auf einem Scanner. Es ist ja grundsätzlich schön das so genau kontrolliert wird und bei einer deutschen Firma hätte ich vermutlich weniger Bedenken. Auf der anderen Seite ist das quatsch, denn keiner weiß wie "sauber" die anderen Zertifikatsstellen arbeiten egal aus welchem Land.

Wie seht ihr das ?
 
Wenn du ein Zertifikat willst, dass deine Domain validiert, musst du Daten von dir preisgeben, das ist bei deutschen Zertifizierern anders?

Wenn du den CSR auf deinem Rechner erzeugst und hochlädst, bist du doch auf der sicheren Seite.

Wenn dich das alles so verunsichert, erzeug eine eigene CA und signiere damit deine Zertifikate.

PS: Was hat Israel mit Böcken und Unsicherheit zu tun? Glaubst du, dass die deien Daten an die Hamas senden und dir ein Terorkommando schicken oder hast du Angst vor dem Mossad? :P
 
Last edited by a moderator:
Rukola said:
wo man die Zugangsnummer (Vorderseite- die Zahl neben der Gültigkeitsdauer) unbedingt schwärzen sollte.
Click to expand...
http://www.datenschutzbeauftragter-info.de/nicht-bemerkt-personalausweis-kopieren-verboten/
Die Zugangsnummer ist die PIN für den Zugriff auf die elektronischen Funktionen des Ausweises. Ggf. sind die Israelis nicht so gut mit dem deutschen Ausweisrecht bekannt. Der soll nämlich eigentlich gar nicht mehr kopiert werden. Aber wenn, dann immer mit abgedecktem Zugangscode.

BTW: Nimm einfach ein domain-validated Zertifikat (Level 1 validation) - dazu musst du nur eMail auf einer administrativen Adresse für die Domain empfangen können. Den Browsern ist das herzlich egal, ob du ein Level 1 oder Level 2 validiertes Zertifikat hast.
(Gilt natürlich nur, falls das Zertifikat für den privaten Gebrauch ist. Für kommerziell genutzte Zertifikate muss man mindestens Level 2 validieren.)

Zur Sicherheit: Du kannst dir die Frage selbst beantworten, wenn du dir klar machst, dass JEDER das Zertifikat einfach aus deinem Webserver herunterladen kann. Das Zertifikat ist der public Key. Die Sicherheit hängt am private Key, den du hoffentlich bei dir erzeugst und nicht von einer CA erzeugen lässt, die den dann vielleicht noch aufhebt für den Fall dass du deinen verlierst...
 
Last edited by a moderator:
Es gibt auch ein komplett kostenfreies Zertifikat (Class 1), bei dem man sich lediglich durch den ein oder anderen Mechanismus als Eigentümer der Domain zeigen muss.

Class 2 zertifiziert Dich als Person: dass Du derjenige bist, der hinter dieser Domain arbeitet. Natürlich musst Du Dich dort korrekt und vollständig ausweisen. Mit dem StartSSL Class 2 Cert hast Du ein Wildcardzertifikat, was sehr fein ist, wenn man mehrere Subdomains parallel absichern will. Bei anderen Providern kosten Wildcarzertifikate >400-450€/Jahr (siehe z.B. http://www.thawte.de/ssl/wildcard-ssl-certificates/index.html ).

StartSSL verlangt ausschließlich für Überpüfungsprozesse, also persönlichen Aufwand, Geld. Das ist der große Unterschied und deswegen sind die Wildcard Certs so günstig.

Da StartSSL mittlerweile eigentlich in allen Browsern integriert ist, spricht nichts gegen ein Zertifikat von StartSSL.

Die anderen Anbieter können in der Regel nur eine weiter zurückreichende Browserkompatibilität bieten, die manchmal sogar ins "Asbach Uralt" Zeitalter zurückreicht. ;)
 
Thunderbyte said:
StartSSL verlangt ausschließlich für Überpüfungsprozesse, also persönlichen Aufwand, Geld.
Click to expand...
Das ist das, was sie sympathisch macht. Die verlangen nur Geld für Sachen, die ihnen Aufwand machen. Die Zertifikate dann ausstellen ist ja (etwas übertrieben ausgedrückt) nur nen Perl-Script, das irgendwo läuft.
Wenn man nen Arm voll EV-Zertifikate braucht, dann ist Start-SSL um Größenordnungen billiger, weil die Dinger bei anderen CAs pro Zertifikat so viel kosten als würden sie auf 24-karätigen goldenen USB-Sticks ausgeliefert.
 
Ich benötige das schon für ein öffentliches Portal und selber nutze ich für diverse private Zugänge eh nur selbstsignierte Zertifikate. Nun zuckt in vielen Leuten der Affe, wenn eine Warnmeldung erscheint. Aus diesem Grund hatte ich mich bisher für ein Class1 Zertifikat von AlphaSSL (30EUR/Jahr) entschieden.

Das läuft nun wie gesagt bald ab und ich bräuchte jetzt auch ein Wildcardzertifikat. Naja und das mit dem Preis hat Elias ja schon deutlich gemacht.... unschlagbar günstig. Selbst der Support anwortet innerhalb von Minuten mit individuellen Antworten. Ich war erschrocken ! Kaum hatte ich die Info mit der Telefonnummer abgeschickt... da klingelt ca. 5 Minuten später das Telefon. Zumindest muss jemand da diese Nummer irgendwo eingetippt haben, damit der Anschluss überprüft wird.

Für 59$ findet sich nichts anderes ....

@elias5000

Aber sprichst den Punkt ja an der mich besorgt... Ich werde dann wohl besser meinen Reisepass verlängern, als den Personalausweis mit der Nummer zu schicken.
 
StartSSL akzeptiert aber keinerlei Schwärzungen in den Dokumenten.
Click to expand...
Frag mal nach ob eventuell Abkleben mit einem Notizzettel vor dem Scannen erlaubt ist und begründe. Zumindest der CEO (Eddy Nigg) hat etwas Erfahrung mit dem deutschen Recht und den Knackpunkten, eventuell kriegst du dann eine Ausnahme-Erlaubnis.

Naja und das mit dem Preis hat Elias ja schon deutlich gemacht.... unschlagbar günstig.
Click to expand...
Beachte dass dies zu empfindlichen Nebenkosten führen kann im Fall der Fälle. Revocation ist durch den hohen administrativen/technischen Aufwand PRO ZERTIFIKAT recht teuer - allerdings ist 1 Revocation per Jahr kostenfrei.

Ist hier irgendeine Schwachstelle oder Gefahr zu erkennen ?
Click to expand...
In dem Fall kriegt, wie andere auch schon andeuteten, StartSSL nicht mehr Informationen im CSR als jeder 0815 Browser der auf deine Webseite kommt auch kriegt. Es gibt also keine Angriffsstelle wodurch der private Key berechnet werden könnte.
 
Du kannst dich bei StartSSL auch via Post identifizieren lassen. Anders habe ich es bei denen bis heute auch nie geschafft.

Es ist immer das selbe bei den CAs: Die machen einen enormen Wind mit den sinnlosesten Regeln bevor man als Person verifiziert wird, eine Domain zu verifizieren geht dann aber via Mail an webmaster@ oder postmaster@.

Selbst mit meinem Hinweis, dass die Daten bei der Denic sicher 1001mal mehr Relevanz haben, als ein Telefonbucheintrag, mit dem mich eine (andere) CA einst verifizieren wollte, ist abgewiesen worden.

Alles Snakeoil!
 
Nachtrag: Zertifikate von StartSSL werden z.B. von netzpolitik.org und archlinux.org verwendet. Du musst dir also prinzipiell keine Sorgen machen.
 
d4f said:
Revocation ist durch den hohen administrativen/technischen Aufwand PRO ZERTIFIKAT recht teuer
Click to expand...
Da die aktuell verwendeten Mechanismen für Revocations eh für den Fuß sind, dürfte das Kostenrisiko eher gering sein. Im Zweifelsfall ist eine Revocation genauso wirksam wie keine Revocation: https://www.imperialviolet.org/2014/04/19/revchecking.html

Und wenn man eine Revocation braucht, hat man selber Mist gebaut und sollte es als Lehrgeld sehen. Zudem ist eine Revocation ein manueller Prozess und geht somit auch im Sinne der Preispolitik von Start-SSL völlig in Ordnung.
 
Last edited by a moderator:
Ach, da das ganze CA-Theater im Zweifel eh am schwächsten Glied scheitert, ist es doch auch egal, welche Mühe man sich selbst gibt. Entscheidend ist ja nicht, ob man selbst ein sauberes Zertifikat bekommt, sondern, ob irgend jemand anderes von irgendwoher ein Zertifikat für die Domain gebastelt bekommt.

Und da sehe ich nach DigiNotar und Snowden eh schwarz.
 
Dieses ganze ehlendige Rumgehampel mit den CA hab ich schon immer verurteilt. Meiner Meinung nach, haben sich die Leute jahrelang wie eine Weihnachtsganz für eine nichtige Dienstleistung ausnehmen lassen. Auch schon vor Snowden erschien mir dieses ganze System, welches nur auf Vertrauen der großen CA basiert, mehr als überholt. Ich finde dieses ganze System ist einfach viel zu komplex geworden um überhaupt noch den vollen Überblick zu behalten. Vor mir mir aus kann man den ganzen SSL-Kram einstampfen und etwas entwickeln, dass keine CA benötigt und bedienbar ist. Von mir aus etwas mit Public-/Private-Keys, wo der Enduser ein mal die Identität hinzufügen muss.

Kann mir jemand ohne jetzt irgendwo nachzusehen aus dem stehgreif schreiben, wie ich ein eigenes Zertifikat erstelle, dazu noch ein CA und das dann mit dem CA unterschreibe. Macht man das so?

Das Bild passt dazu:
http://xkcd.com/1168/
 
Last edited by a moderator:
Aus dem Kopf oder vorher nachgesehen?

"-extensions v3_req"
Click to expand...
Wie konnte das bloß passieren? Ist doch super einprägsam :-D
Ich kan mir die Befehle so gut merken wie die.... wie die.... ähhhh.. wie die...
mir fehlt jetzt wirklich der passende Vergleich. Ich habs vielleicht 10 mal gemacht und nach dem 20. mal würde ich mir Wahrscheinlich ein Programm mit GUI dafür schreiben (ich bin auf dem Gebiet unerfahren), nur damit ich diese unsinnige Abfolge von Zeilenrauschen nie wieder eingeben muss.
 
DeaD_EyE said:
Aus dem Kopf oder vorher nachgesehen?
Click to expand...
Natürlich habe ich das in der Mitschrift, die ich vom ersten funktionierenden Versuch gemacht habe, nachgeschaut. Der von dir zitierte xkcd wäre mit openssl fast noch passender gewesen...

Hier übrigens mein kleines Script, das ich für einfache selfsigned Certs benutze (selbst das ist schon schwer zu merken):
Code: 
#!/bin/bash
openssl genrsa -out server.key 2048 && \
openssl req -new -key server.key -out server.csr && \
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.cer
 
elias5000 said:
Natürlich habe ich das in der Mitschrift, die ich vom ersten funktionierenden Versuch gemacht habe, nachgeschaut.
Click to expand...

:D Eben. Wer das nicht macht ist bei Linux selbst schuld. Ich hab derartiges Zeuch bei Evernote, da kann man wunderbar danach suchen.
 
Die grundlegende Befehle, die Parameter und den Syntax kann ich mir merken, weil es bei allen *nix Befehlen ziemlich gleich ist und auch einen Sinn ergibt. Der Syntax von openssl ist wahllos durcheinander, entspricht nicht dem POSIX-Standard. Erschwerend kommt hinzu, dass das Kommandozeilentool openssl eine eierlegende Wollmichsau ist.
 
Kann startcom eigentlich SHA-2-Zertifikate in der vollständigen Kette? Wenn man sich z. B. netzpolitik.org anschaut, findet man in der Kette leider ein SHA-1-Zertifikat. Und da ist halt die Frage, ob startcom keine SHA-2-Intermediates anbietet oder es sich um einen Fehler beim netzpolitik.org-Betreiber handelt.

Die Seite von StartSSL schweigt sich leider auch aus (oder die Info ist derart versteckt, dass ich sie bisher nicht gefunden habe).

Wie sieht das bei den Code-Signing-Zertifikaten aus, können die SHA-2 (mindestens SHA-256)?

Ich habe keine Lust, mir für die rund 100 EUR einen StartSSL-Zugang zu holen und dann festzustellen, dass aktuelle Anforderungen nicht erfüllt werden.
 
You must log in or register to reply here.
Back
Top