Helmut Schellong, 2024-05-13 20:15:

[...]
> Du bist hier erneut faul - eigentlich immer.
>
> Ich finde diesen Stil, immer _alles_ zu löschen, auf das nicht geantwortet wird, schädlich.
> Alle Quereinsteiger hängen dadurch in der Luft und wissen _nichts_, weshalb oft heftige
> Konfusionen und sinnlose Diskussionen die Folge sind.

Deswegen gibt es Threads, die durch den References-Header der Postings
gebildet und von den meisten Newsreadern auch sinnvoll darstellbar sind.
Ein einzelnes Posting ist in der Regel *immer* wenig sinnvoll ohne den
Kontext der *anderen* Postings dazu.

--
Arno Welzel
https://arnowelzel.de

On Sun, 19 May 2024 20:12:07 +0200
Arno Welzel <usenet@arnowelzel.de> wrote:

>
> Falk Dµebbert, 2024-05-15 11:44:
> > Doch - auch TLS 1.3. Die Firewall bzw. deren Inspection-Proxy macht
> > die Verschlüsselung auf und verschlüsselt dann mit seinem eigenen
> > Zertifikat, das von der CA des Unternehmens kommt.
>
> Genau das ist ja das Problem.
>
> > Der Qualitätsunterschied ist dann, ob die Lösung eine
> > Möglichkeit hat, den Nutzer das ursprüngliche Zertifikat und
> > etwaige Fehler betrachten zu lassen...
>
> Hat sie nicht. Da der Endpunkt die Firewall ist und nicht mehr der
> Server, mit dem der Nutzer eigentlich reden wollte.

Der Gesprächsbedarf der Nutzenden ist relativ egal, wenn es um die
Erfüllung von Schutz- und Fürsorgepflichten geht und die wird in der
Regel so interpretiert, dass es keine Verbindung gibt, die nicht auf
Legitimation und Plausibilität überprüft wurde.

Allerdings ist Nextgen schon wieder Lastgen. Jetzt sind NDR, Secure Web
Gateway und Cloud Access Security Broker der heiße Shice.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>

On 5/19/24 20:12, Arno Welzel wrote:
> Falk Dµebbert, 2024-05-15 11:44:
>
>> On Wed, 15 May 2024 07:50:02 +0200
>> Gerrit Heitsch <gerrit@laosinh.s.bawue.de> wrote:
>>
>>>> * Dritte / NextGen: Kann in die Pakete schauen ob die mit der
>>>> gewünschten Anwendung etwas zu tun haben.
>>>
>>> Bei verschlüsselten Protokollen kann sie das allerdings nicht.
>>
>> Doch - auch TLS 1.3. Die Firewall bzw. deren Inspection-Proxy macht die
>> Verschlüsselung auf und verschlüsselt dann mit seinem eigenen
>> Zertifikat, das von der CA des Unternehmens kommt.
>
> Genau das ist ja das Problem.

Ja, wenn der Proxy/ die Firewall es schafft sich bei der Verschlüsselung
als Man-in-the-middle einzuschalten und die Verschlüsselung damit
auszuhebeln ohne das der User gewarnt wird ist schon eine Menge
schiefgegangen.

Gerrit

Falk Dµebbert, 2024-05-20 14:40:

> On Sun, 19 May 2024 20:12:07 +0200
> Arno Welzel <usenet@arnowelzel.de> wrote:
>
>>
>> Falk Dµebbert, 2024-05-15 11:44:
>>> Doch - auch TLS 1.3. Die Firewall bzw. deren Inspection-Proxy macht
>>> die Verschlüsselung auf und verschlüsselt dann mit seinem eigenen
>>> Zertifikat, das von der CA des Unternehmens kommt.
>>
>> Genau das ist ja das Problem.
>>
>>> Der Qualitätsunterschied ist dann, ob die Lösung eine
>>> Möglichkeit hat, den Nutzer das ursprüngliche Zertifikat und
>>> etwaige Fehler betrachten zu lassen...
>>
>> Hat sie nicht. Da der Endpunkt die Firewall ist und nicht mehr der
>> Server, mit dem der Nutzer eigentlich reden wollte.
>
> Der Gesprächsbedarf der Nutzenden ist relativ egal, wenn es um die
> Erfüllung von Schutz- und Fürsorgepflichten geht und die wird in der
> Regel so interpretiert, dass es keine Verbindung gibt, die nicht auf
> Legitimation und Plausibilität überprüft wurde.

Wenn der Nutzende das nicht prüfen kann, ist das nicht gegeben.

--
Arno Welzel
https://arnowelzel.de

Arno Welzel <usenet@arnowelzel.de> wrote:
>Marc Haber, 2024-05-15 09:26:
>> Gerrit Heitsch <gerrit@laosinh.s.bawue.de> wrote:
>>> On 5/13/24 14:47, Falk Dµebbert wrote:
>>>> * Dritte / NextGen: Kann in die Pakete schauen ob die mit der
>>>> gewünschten Anwendung etwas zu tun haben.
>>>
>>> Bei verschlüsselten Protokollen kann sie das allerdings nicht.
>>
>> Da hat sie relaiv wenig Hemmungen die Verschlüsselung aufzubrechen
>> oder dann, wenn das nicht geht, die Verbindung zu unterbrechen.
>
>Und genau dann wird sie schnell unbrauchbar für die Praxis.

Je größer die Firma, desto vehementer wird man Dir widersprechen oder
halt "die Praxis" umdefinieren.

Grüße
Marc
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Gerrit Heitsch <gerrit@laosinh.s.bawue.de> wrote:
>On 5/19/24 20:12, Arno Welzel wrote:
>> Falk Dµebbert, 2024-05-15 11:44:
>>
>>> On Wed, 15 May 2024 07:50:02 +0200
>>> Gerrit Heitsch <gerrit@laosinh.s.bawue.de> wrote:
>>>
>>>>> * Dritte / NextGen: Kann in die Pakete schauen ob die mit der
>>>>> gewünschten Anwendung etwas zu tun haben.
>>>>
>>>> Bei verschlüsselten Protokollen kann sie das allerdings nicht.
>>>
>>> Doch - auch TLS 1.3. Die Firewall bzw. deren Inspection-Proxy macht die
>>> Verschlüsselung auf und verschlüsselt dann mit seinem eigenen
>>> Zertifikat, das von der CA des Unternehmens kommt.
>>
>> Genau das ist ja das Problem.
>
>Ja, wenn der Proxy/ die Firewall es schafft sich bei der Verschlüsselung
>als Man-in-the-middle einzuschalten und die Verschlüsselung damit
>auszuhebeln ohne das der User gewarnt wird ist schon eine Menge
>schiefgegangen.

Ich würde jetzt mal hoffen, dass die Middlebox eine Verbindung, bei
der der entfernte Server mit einem ungültigen Zertifikat daherkommt,
NICHT mit dem eignen Zertifikat gültig signiert weiterreicht, sondern
ebenso ein falsches Zertifikat verwendet, damit der Browser sein
Warntheater spielen kann.

Grüße
Marc
--
----------------------------------------------------------------------------
Marc Haber | " Questions are the | Mailadresse im Header
Rhein-Neckar, DE | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 6224 1600402

Arno Welzel schrieb:
> Falk Dµebbert:
>> Arno Welzel wrote:
>>> Falk Dµebbert:
>>>> Doch - auch TLS 1.3. Die Firewall bzw. deren Inspection-Proxy macht
>>>> die Verschlüsselung auf und verschlüsselt dann mit seinem eigenen
>>>> Zertifikat, das von der CA des Unternehmens kommt.
>>>
>>> Genau das ist ja das Problem.
>>>
>>>> Der Qualitätsunterschied ist dann, ob die Lösung eine
>>>> Möglichkeit hat, den Nutzer das ursprüngliche Zertifikat und
>>>> etwaige Fehler betrachten zu lassen...
>>>
>>> Hat sie nicht. Da der Endpunkt die Firewall ist und nicht mehr der
>>> Server, mit dem der Nutzer eigentlich reden wollte.
>>
>> Der Gesprächsbedarf der Nutzenden ist relativ egal, wenn es um die
>> Erfüllung von Schutz- und Fürsorgepflichten geht und die wird in der
>> Regel so interpretiert, dass es keine Verbindung gibt, die nicht auf
>> Legitimation und Plausibilität überprüft wurde.
>
> Wenn der Nutzende das nicht prüfen kann, ist das nicht gegeben.

Der "Nutzende" kann das _nur_ auf die beschriebene Weise prüfen. Im hier
vorliegenden Kontext ist der "Nutzende" offensichtlich das Unternehmen,
nicht der einzelne Mitarbeiter, von oder zu dessen dem Unternehmen
gehörenden PC oder sonstigem Gerät eine Verbindung aufgebaut werden soll.
Und dieses Unternehmen hat offenbar ein Interesse daran, genau das zu
tun, was es tut. Ob das in dieser Weise legal ist, wird die Leitung des
Unternehmens wohl mit dem Betriebsrat geklärt haben und natürlich wird
in der dazu geschlossenen Betriebsvereinbarung ausdrücklich festgelegt
sein, dass kein Mitarbeiter die Unternehmens-IT zu privaten Zwecken
nutzen darf, wenn er mit der Filterung und Protokollierung nicht
einverstanden ist.
Es geht in der Realität nicht immer (oder eher nie?), darum, was der
einzelne Mitarbeiter oder gar ein Dritter als reine Lehre verstanden
wissen will.

MfG
Rupert

On Mon, 20 May 2024 21:09:37 +0200
Marc Haber <mh+usenetspam1118@zugschl.us> wrote:

> >Ja, wenn der Proxy/ die Firewall es schafft sich bei der
> >Verschlüsselung als Man-in-the-middle einzuschalten und die
> >Verschlüsselung damit auszuhebeln ohne das der User gewarnt wird ist
> >schon eine Menge schiefgegangen.
>
> Ich würde jetzt mal hoffen, dass die Middlebox eine Verbindung, bei
> der der entfernte Server mit einem ungültigen Zertifikat daherkommt,
> NICHT mit dem eignen Zertifikat gültig signiert weiterreicht, sondern
> ebenso ein falsches Zertifikat verwendet, damit der Browser sein
> Warntheater spielen kann.

Die Seite wird auf eine "This incident has been recorded." umgeleitet.
Ist aber auch sehr viel rot und viele Ausrufezeichen dabei.

Falk D.

--
Falk Dµebbert <falk@duebbert.com>