[linux-l] CAcert zertifikat und die browser

[Steffen Dettmer]

* Sven Guckes wrote on Sat, Aug 19, 2006 at 01:30 +0200:
> * Pascal Volk <linux-l at edelhost.de> [2006-08-17 23:04]:
> > Aber was bringt ein Cert das von CA Foo signiert wurde,
> > wenn es die Webbrowser nicht kennen?  Doch ungefähr
> > mindestens genau so viel wie ein selfsigned Cert. => Nix.
> 
> der mehrwert kommt erst, wenn die top level zertifikate
> in den browsern drin sind - richtig erkannt!
> 
> aber welche zertifikate nimmst du als browser maintainer auf?

Leider wohl nur eine Geldfrage, hörte ich mal von jemandem vom DFN. Wie
es richtig wäre, ist ja einfach: man definiert, wie sicher der Browser
ist und nimmt nur CAs, die mindestens auf gleichem Niveau sind. 

> etwa alle, die dir von neuen CA firmen zugeschickt werden?

Ich denke die, von denen die Leute erwarten, dass sie "gehen". In der
Praxis also die, die Internet Explorer und Firebird haben. Ein
Browserhersteller muss ja nicht unbedingt an Sicherheit interessiert
sein bzw. kann das unterschiedliches Niveau haben.

> oder solche, die von CAs kommen, die bereits
> eine community von 100,000 leuten haben?
> vielleicht siehst du die schranke
> auch erst bei einer million nutzern?

"community" ist IMHO totaler Blödsinn; es gab ja auch eine Story im
"WebOfTrust"-Märchen, wo ernsthaft behauptet wurde, wenn ein Schlüssel
hundertfach zertifiziert ist, könne man ihm eher trauen... naja, hatten
wir ja alles schon mehrfach hier :-)

oki,

Steffen

-- 
Dieses Schreiben wurde maschinell erstellt,
es trägt daher weder Unterschrift noch Siegel.