IT Sicherheit #15 - Wie wird wirklich verschlüsselt am Beispiel von TLS

In diesem Tutorial sehen wir uns an, wie man in den Praxis tatsächlich sichere Kommunikation erreichen kann.

* *Meine Website mit allen anderen Kanälen und Newsletter* *:

_Discord:_

_Unterstützt mich - Danke!:_

[epsylonist]

Schule: 2h Vorlesungen über TLS. Verstehe nichts.
YT: 9min Video von Dir und ich verstehe es:)
Danke

[aidas]

Du erklärst es besser als meine uni professoren danke

[ck_anon]

Vielen Dank für deine tolle Arbeit.. Weiter so!!!
Absolut mein Favorit in IT und Programmieren

LG

[davidadamson]

Der Moment wenn er sagt, Festplatte kopieren geht schnell 😂
Gutes Video, gut erklärt
Leider ein paar Versprecher und ein zwei Fehler
Man merkt, dass du das richtige meinst, aber Anfänger können das leicht falsch verstehen

Beispielsweise sagst du, dass der Client überprüft, ob das Zertifikat wirklich dem Server gehört, hier meinst du, dass geprüft wird, dass das Zertifikat gültig ist und ob die Hierarchie stimmt, also ob das alles korrekt signiert wurde von der CA/root CA. Leider sagst du aber, dass der Client prüft, ob das Zertifikat dem Server gehört, aber das geht nicht, weil jeder Server jedes beliebige Zertifikat versenden kann. Der Punkt hierbei ist: der Server ist erst dann authentifiziert, wenn dieser bestätigt hat, dass das versendete Zertifikat ihm gehört, beispielsweise Signatur über Hash, Challenge Response...

[felixmaster]

was sind denn diese numbers also : RN und PMS? :D

[madudeek]

Warum hast du den Link zum Bild nicht einfach in der Beschreibung gepostet..?

[florian]

Danke sehr gut erklärt wieder eine Lücke geschlossen. Was man noch erwähnen könnte wo der Unterschied bzw. die Abgrenzung zu SSL ist

[bossg]

Interessantes Video :) Danke

Könnte man nicht theoretisch den Public Key Hashwert des Clienten sniffen wenn man im selben Wlan ist?

[MrMrKingfisher]

Sehr gutes Video! Ich habe jedoch eine Frage ab circa 6:20 redest du davon, dass der Client ein Premaster Secret an den Server rüberschickt den der Client zufällig gewählt hat. Macht Sinn.
Aber dann redest du davon, dass mit diesem PreMaster Secret und "etwas Zufall" dann der richtige Schlüssel gebildet wird. Das macht aber kein Sinn, weil wenn Client oder Server "etwas Zufall" an dieser Stelle mit ins Spiel bringen würden, hätten sie ja keinen gemeinsamen Schlüssel.
Vielmehr müssen doch Server und Clients gleichermaßen mit dem Premaster Secret, und den beiden am Anfang ausgetauschten Zufallszahlen (RNc und RNs) ganz mathematisch nachvollziehbar und ohne weiteren Zufall einen Masterkey ausrechnen.
Oder liege ich da falsch?
Viele Grüße

[Sceiwen]

Wo kann man denn das Client Zertifikat einsehen? Bzw was will der Server damit? Die Information im Client Zertifikat sind doch von niemandem signiert. Oder ist damit nur der Public Key gemeint?

[dustinj.]

Mal eine ganz blöde Frage. In all den Videos wird immer auf Sicherheit bei der Kommunikation zwischen zwei Clients bzw. Client und Server gesprochen aber: Wie genau sind sämtliche Daten von mir denn auf einem Server gesichert? Beispiel Google: Ich logge mich ein und kriege Zugang auf "meine Daten", sofern ich Passwort etc. richtig eingebe...diese Daten müssen ja dort irgendwie verschlüsselt sein und das nicht mit meinem Passwort, immerhin kann Google ja auch auf meine Daten zugreifen ohne mein Passwort zu kennen.
Was ist wenn jemand es nicht auf die Passwörter auf diesem Servern sondern direkt auf die Informationen die mit dem Account (und allen anderen) verknüpft sind abgesehen hat, vorrausgesetzt natürlich er ist erst einmal so weit, dass er sich Zugriff auf den Server verschafft hat?
Beste Grüße, deine Videos sind wirklich sehr informativ!

[danieldaschle]

Ich verstehe nicht wie der Server mit dem Public Key des Clients eine Nachricht entschlüsseln kann, der mit dem Secret Key des Clients verschlüsselt wurde, das ist ja nicht der gleiche?

[gentletom]

Hallo Morpheus,
verstehe zwar wenig bis nix, hört sich aber sicherer an, zumal ich nach Googlemail gewechselt bin. Die verschlüsseln angeblich automatisch mit TLS, und das ist mal sicherer als GMX, die nicht automatisch verschlüsseln.
Aber wird auch verschlüsselt, wenn jemand mir von GMX eine Mail schickt?
Davon abgesehen glaube ich, dass die NSA & Co die Mails doch lesen können - spätestens wenn sie fertig auf einem Server liegen. Oder?

Herzlich
Tom

PS:Kritik an der Verschlüsselung findet sich hier:
Dort wird für TLS Version 1.3 plädiert, Googlemail verschlüsselt aber nach Version 1.2:
Leider ist kein Datum dieses erkennbar. Könnte sich also geändert haben.

Angeblich werden Mails von/an Server ohne TLS nicht zugestellt:
Dennoch erhalte ich Mails von GMX problemlos und kann von dort Mails nach Googlemail schicken *gruebel*

[mowNr]

Mit welchem Key kann man denn jetzt was ver- und entschlüsseln (Public und Private Key)? Das ist etwas verwirrend.

[leplayz]

Hi, wenn der PMS Wert mit den Public Key des z. B. Servers(Teil rechts) verschlüsselt wird und der Public Key des Servers vorher ohne Verschlüsselung gesendet wurde, kann es doch auch ein Hacker oder sonst wer entschlüsseln und nicht nur der Server, oder? Vielleicht bin ich einfach nur zu blöd, weil es gleich um 3 ist aber mich interessiert das halt

[chris-clzh]

Hallo,
ist ein FTP Server immer durch TLS geschützt?

[DAVID]

Ich verstehe nicht zu 100% warum das ganze durch das hashen aller vorherigen nachrichten jetzt eindeutig wird. Wenn ein angreifer alle nachrichten vom client abfängt und den key durch den eigenen ersetzt und auch das signieren erneut mit dem eigenen key durchführt, sollte der server doch denken es ist einfach nur der vermeintliche client, da ja im gegensatz zum server es keine abfrage und somit abgleich bei einer ca gibt oder? woher kann der server in diesem fall sichergehen ohne diese typische pki struktur dass das client zertifikat nicht ersetzt wurde und die kommunikation die ganze zeit mit dem angreifer stattfindet? das hashen aller nachrichten müsste natürlich auch erneut durch den angreifer durchgeführt werden. danke für eine antwort

[Amairghin]

Hey morpeus kannst du mal ein Video über honeypots machen ? :)

[maroctaker]

Woher kommt der public und privat key auf der Client Seite? Sind es immer die selben?

[TheInnerPigdog]

Warum hast du das Master-secret nicht näher erklärt. Mich hat es in der Vorlesung total beeindruckt wie Client und Server ein shared secret via Diffie-hellman-Key-exchange vereinbaren konnten und das ganze trotzdem noch geheim geblieben ist, obwohl ein Abhörer (Eve) die ganze Zeit dazwischen war. Das fehlt hier zum Verständnis leider komplett.