Convergence - Revision history

Mg at 15:03, 15 October 2011

2011-10-15T15:03:34Z

← Older revision		Revision as of 15:03, 15 October 2011
Line 16:		Line 16:
	* Comodo		* Comodo
	* Diginotar		* Diginotar

			* Lawful(?) Interception
			** http://files.cloudprivacy.net/ssl-mitm.pdf

	* wer ist vertrauenswürdig?		* wer ist vertrauenswürdig?
Line 52:		Line 55:
	** momentan aber nur Zertifikat Verifier (network perspective) implementiert		** momentan aber nur Zertifikat Verifier (network perspective) implementiert
	* Privacy		* Privacy
			** Notar als Proxy zu anderen Notaren
	**
	* Benutzer soll letztendlich selbst entscheiden wem er vertraut		* Benutzer soll letztendlich selbst entscheiden wem er vertraut
	** Trust Agility		** Trust Agility
Line 60:		Line 63:
	* http://www.youtube.com/watch?v=Z7Wl2FW2TcA		* http://www.youtube.com/watch?v=Z7Wl2FW2TcA

	=== Convergence Firefox ~~Plugin~~ ===		=== Convergence Firefox Add-On ===
			* installiert lokale CA
			* MITM jeder TLS-Verbindung
			* Unbekannte (Hostname, Port, Zertifikat) Tupel werden über Notare verifiziert
			** generiert neues Zertifikat für Hostname (lokale CA sig.)
			** Cache
			* Browser "sieht" nur noch Zertifikate die von der lokalen CA signiert sind.

	=== Convergence Notary ===		=== Convergence Notary ===
			* HTTPS API

			* feste (self sign.) Zertifikate
			* implementierte verifier
			** network perspective
			*** Zertifikat fingerprint
			** google certificate catalog
			*** http://googleonlinesecurity.blogspot.com/2011/04/improving-ssl-certificate-security.html

	=== Notar Protokoll ===		=== Notar Protokoll ===
Line 83:		Line 98:
	==== Notary Response ====		==== Notary Response ====
	* HTTP Response Status Code		* HTTP Response Status Code
	** 200 -> fingerprint match		** 200 fingerprint match
	** 409 -> fingerprint mismatch		** 409 fingerprint mismatch
	** ...		** ...

Line 112:		Line 127:
	** Überprüfung der Zertifikate analog zu Convergence Plugin		** Überprüfung der Zertifikate analog zu Convergence Plugin
	** Im Prinzip "Dual-Mode" Convergence + herkömmliche Zertifikats-Validierung des Browsers/Client.		** Im Prinzip "Dual-Mode" Convergence + herkömmliche Zertifikats-Validierung des Browsers/Client.

			=== HTTP Tunnel ===
			http://curl.haxx.se/rfc/draft-luotonen-web-proxy-tunneling-01.txt


	=== TLS Handshake ===		=== TLS Handshake ===
Line 153:		Line 172:

	=== Probleme ===		=== Probleme ===

			* sauberes beenden der TLS Verbindung falls das Zertifikat nicht verifiziert werden kann
			** disconnect
			*** erneuter Verbindungsaufbau
			** TLS-Alert
			*** welcher?
			* UI


	== Misc ==		== Misc ==
Line 160:		Line 187:
	* http://perspectives-project.org/		* http://perspectives-project.org/
	* http://perspectivessecurity.files.wordpress.com/2011/07/perspectives_usenix08.pdf		* http://perspectivessecurity.files.wordpress.com/2011/07/perspectives_usenix08.pdf
			* http://googleonlinesecurity.blogspot.com/2011/04/improving-ssl-certificate-security.html
	* ssl 3.0 http://www.mozilla.org/projects/security/pki/nss/ssl/traces/index.html		* ssl 3.0 http://www.mozilla.org/projects/security/pki/nss/ssl/traces/index.html
	* tls 1.0 http://www.ietf.org/rfc/rfc2246.txt		* tls 1.0 http://www.ietf.org/rfc/rfc2246.txt

Mg at 20:12, 10 October 2011

2011-10-10T20:12:36Z

← Older revision		Revision as of 20:12, 10 October 2011
Line 5:		Line 5:

	== TLS CAs Praxis ==		== TLS CAs Praxis ==

	* gängige Browser "vertrauen" in der default Einstellung mehreren hundert Organisationen		* gängige Browser "vertrauen" in der default Einstellung mehreren hundert Organisationen
	** https://www.eff.org/observatory		** https://www.eff.org/observatory
Line 11:		Line 12:

	* unzureichende Validation		* unzureichende Validation
			** https://bugzilla.mozilla.org/show_bug.cgi?id=556468
	** mozbug

			* Comodo
	* Diginotar		* Diginotar

Line 24:		Line 26:
	* TOFU - trust on first use		* TOFU - trust on first use
	** ssh trust model		** ssh trust model
	** Unbekannte Schlüssel (für einen spez. host) müssen durch Benutzer bestätigt		** Unbekannte Schlüssel (für einen spez. host) müssen durch Benutzer bestätigt werden
		⚫	** Bestätigte Schlüssel/Host Paare werden gecacht und erfordern keine weitere Benutzer-Interaktion
	werden
⚫	** Bestätigte Schlüssel/Host Paare werden gecacht und erfordern keine weitere
	Benutzer-Interaktion
	** Ändert sich ein Schlüssel muss dieser wiederum vom Benutzer bestätigt werden		** Ändert sich ein Schlüssel muss dieser wiederum vom Benutzer bestätigt werden

Line 36:		Line 36:
	*** network perspective		*** network perspective
	* Annahme: MITM-Angriff von dem alle Notare betroffen sind sehr unwahrscheinlich		* Annahme: MITM-Angriff von dem alle Notare betroffen sind sehr unwahrscheinlich
			* Neues Problem: Was wenn sich die Notare nicht einig sind?
			** Benutzer entscheidet
	* "irgendeine CA hat den Schlüssel signiert" vs. "x von y Notaren sehen den selben Schlüssel"		* "irgendeine CA hat den Schlüssel signiert" vs. "x von y Notaren sehen den selben Schlüssel"
			** kompromittierter Notar weniger fatal als kompromittierte CA.

	* http://perspectives-project.org/		* http://perspectives-project.org/
Line 43:		Line 46:
	== Convergence ==		== Convergence ==

⚫	* basiert auf der Perspectives Idee
	* will CAs komplett ersetzen		* will CAs komplett ersetzen
		⚫	* basiert auf der Perspectives Idee
	* Notare prinzipiell nicht nur auf Zertifikate beschränkt		* Notare prinzipiell nicht nur auf Zertifikate beschränkt
	** DNSSEC, Content, ...		** DNSSEC, Content, ...
	** momentan nur Zertifikat Verifier implementiert		** momentan aber nur Zertifikat Verifier (network perspective) implementiert
	* Privacy		* Privacy
			**
	* Benutzer soll letztendlich selbst entscheiden wem er vertraut		* Benutzer soll letztendlich selbst entscheiden wem er vertraut
	** Trust Agility		** Trust Agility
Line 61:		Line 65:


	=== ~~Notary~~ Protokoll ===		=== Notar Protokoll ===
	https://github.com/moxie0/Convergence/wiki/Notary-Protocol		https://github.com/moxie0/Convergence/wiki/Notary-Protocol

Mg at 20:11, 10 October 2011

2011-10-10T20:11:33Z

Show changes

Mg: link dump

2011-09-22T13:45:11Z

link dump

New page

== Convergence ==

* http://convergence.io/
* https://github.com/moxie0/Convergence
* http://www.youtube.com/watch?v=Z7Wl2FW2TcA

== Perspectives ==

* http://perspectives-project.org/
* http://perspectivessecurity.files.wordpress.com/2011/07/perspectives_usenix08.pdf

== foo ==
* http://files.cloudprivacy.net/ssl-mitm.pdf
* http://pki.net.in.tum.de/
* cert pinning https://addons.mozilla.org/en-US/firefox/addon/certificate-patrol/

== bar ==
* ssl 3.0 http://www.mozilla.org/projects/security/pki/nss/ssl/traces/index.html
* tls 1.0 http://www.ietf.org/rfc/rfc2246.txt
* tls 1.1 http://www.ietf.org/rfc/rfc4346.txt
* tls 1.2 http://www.ietf.org/rfc/rfc5246.txt
* ssl connection walkthrough http://www.mozilla.org/projects/security/pki/nss/ssl/traces/index.html
* http 1.1 http://www.ietf.org/rfc/rfc2616.txt
* http tunnel http://curl.haxx.se/rfc/draft-luotonen-web-proxy-tunneling-01.txt