Server-Zertifikat

Ich hatte neulich mal beschrieben, dass das neue TLS-Protokoll 1.3[wp] für Ärger sorgen wird, weil der Überwacher da dann nicht mehr erkennen kann, mit welchem Zertifikat sich der Server[wp] ausweist, man also nicht mehr selektiv blockieren und zensieren kann. Ein Grund dafür das anzusprechen war, dass mir immer mehr Leute schrieben, dass meine Webseite aus vielen öffentlich zugänglichen Netzen - Flughäfen, Supermärkte, ... - nicht erreichbar sei, weil meine Webseite als "Pornoseite" gesperrt wird. Ich hatte mal über den Aktworkshop in Prag berichtet und dazu Bilder nackter Frauen gezeigt. Das nimmt man wohl als Vorwand, um mich hier als Pornoseite zu listen. Den Flughafen von Madrid (ich glaube, es war Madrid, bin mir jetzt nicht mehr völlig sicher, aber jedenfalls eine große Stadt in Spanien) hatte ich mal nach mehreren Leser­beschwerden angemailt und gefragt, sie müssten doch eigentlich als EU-Land auch EU-Recht, DSGVO, Pressefreiheit und so weiter. Antwort: Sie haben keinen blassen Schimmer, was da bei ihnen im Netz läuft, wer da wie und warum. Irgendwer legt da völlig willkürlich fest, welche Webseiten man vom Flughafen von Madrid aus abrufen darf. Ich hatte dazu mal geschrieben, dass es mir unmöglich ist, das rück­zu­verfolgen, wer mich da als Pornoseite listet, weil ich da schon ein Dutzend Mal bei allen möglichen Anbietern nachgefragt habe und nie eine Antwort bekomme. Irgendwelche Firmen bekommen Geld dafür, dass sie da einen großen Haufen Mist als Webseiten-Rating[wp] ausgeben, und nachdem ich in diesem Haufen Mist irgendwie und aus irgendwelchen Grünen als Porno-Webseite drinstehe, aber nicht heraus­zu­finden ist, wer den Mist verwaltet, das aber offenbar ein probates Mittel zur Zensur durch die Hintertür ist, hatte ich nur geschrieben, die Leute mögen Geduld bis TLS 1.3 haben, weil dann anhand des Protokolls nicht mehr heraus­zu­finden ist, mit welchem Server[wp] man sich verbindet. Zwar könnte man immer noch DNS-Anfragen[ext] blockieren, aber die werden auch demnächst alle über DNS over HTTPS[wp] geführt. Ob das allerdings besser oder schlechter ist, wenn dann Firmen wie Google, die auch schon massiv zensieren, über DNS-Abfragen bestimmen, oder ob man dann aus dem Land der politischen Korrektheit überhaupt noch Server-Zertifikate bekommt, wenn die Browser den Zugriff ohne nicht mehr durchführen, sei mal dahin­gestellt. Wir erleben gerade den Zusammen­bruch der Informations­freiheit des freien Webs[wp]. Heise berichtet gerade, dass die große Firewall von China[wp] inzwischen TLS 1.3[wp] blockiert, und zwar genau deshalb, weil TLS 1.3 so gebaut ist, dass man damit verstecken kann, mit wem man kommuniziert. Anhang von IP-Adressen direkt zu blockieren ist inzwischen nämlich auch schwierig, weil man die Server nicht mehr mit statischen Adressen aus dem eigenen IP-Bereich betreibt, wie vor 10 oder 20 Jahren, sondern inzwischen alles in der Cloud[wp] beim Hoster läuft und deshalb die IP-Adressen durch­einander gehen und viele Webserver sich über virtuelle Hosts, Content Delivery Netzwerke, Lastverteiler usw. gleiche IP-Adressen teilen oder sie umgekehrt häufig wechseln oder mehrere haben. Rein IP-adress­basiertes Sperren funktioniert deshalb auch nicht mehr gut. Deshalb sperren die Chinesen TLS 1.3, weil sie sehen wollen, mit wem man kommuniziert.

– Hadmut Danisch

Netzverweise

• Technische Universität München - Informatik/Benutzerwiki: Server-Zertifikate
• IMT:HilfeWiki: Serverzertifikate erstellen (Universität Paderborn - Zentrum für Informations- und Medientechnologien (IMT))
• Debian-Forum: SSL-Zertifikate
• Wikipedia führt einen Artikel über Digitales Zertifikat