Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Mon Mar 3 2014

• [l] Schöner Rant darüber, dass es praktisch unmöglich ist, sicher Software herunterzuladen. Am Ende liegt es natürlich wie immer daran, dass wir keine ordentliche Vertrauens-Infrastuktur haben. Wenn wir, wie dieser Typ da mehrfach fordert, alle https für Software-Downloads augerollt hätten, dann heißt das noch lange nicht, dass alles sicher ist. Dann kann immer noch jemand den Server gehackt haben. Signaturen bringen auch nichts, denn da kann ja jemand ein altes Binary mit bekannten Sicherheitslücken substituiert haben, mit der damals aktuellen und immer noch gültigen Signatur.

  Und seine Schlussfolgerung, dass Javascript-im-Browser-Crypto gar nicht so schlecht aussieht im Vergleich, ist natürlich auch Bullshit. Denn wir haben ja keine vertrauenswürdige Quelle für den Browser. Und selbst wenn wir den hätten, heißt das ja nicht, dass die Browser-Entwickler vertrauenswürdig sind.