Generell

HTTPS Everywhere 1.0

Das Firefox-Plugin HTTPS Everywhere wurde von der Electronic Frontier Foundation in der Version 1.0 veröffentlicht. Neu dabei sind u.a. die Aufnahme von mehr als 1000 neuen Quellen, zu denen automatisiert im Hintergrund beim surfen eine SSL-Verbindung aufgebaut wird. Damit wird z.B. das Auslesen von Passwörtern in öffentlichen Netzen erschwert und auch sonst gibt es in der Regel etwas mehr Privatsphäre als wenn man keine SSL-Verbindung nutzt.


Netzpolitik.org ist unabhängig, werbefrei und fast vollständig durch unsere Leserinnen und Leser finanziert.

Wer Firefox nutzt (Mehr als 50% unserer Leser), sollte daher aus Gründen der digitalen Selbstverteidigung auch das Plugin installieren oder updaten. Kostet auch nichts!

(Update: Für Chrome-Nutzer gibt es wohl KB SSL Enforcer)

Weitersagen und Unterstützen. Danke!
22 Kommentare
  1. Nun, als ich vor wenigen Wochen das letzte Mal nachgesehen habe, hatte HTTPSE noch nen ernsthaften Bug: Wenn die aufgerufene Website – aus welchem Grund auch immer – von HTTPS auf HTTP umschaltet und sich auch trotz mehreren Versuchen durch HTTPS Everywhere nicht davon überzeugen lässt, HTTPS zu verwenden, gibt HTTPS Everywhere auf und benutzt eine unverschlüsselte Verbindung. Mit dem Effekt, dass der Browser die schönen Zugangsdaten unverschlüsselt über’s Netz bläst.

    Für mich ist das Ding damit ansatzweise unbrauchbar geworden, aber wenn jemand meint, sich damit sicherer zu fühlen, bittesehr.

    (Technische Details: User requestet HTTPS, Site macht ein „Location:“ auf HTTP, HTTPSE rewrited auf HTTPS, requested dort, Site macht wieder ein „Location:“ und so weiter. Irgendwann springt die Endlosschleifenerkennung von HTTPSE an und verhindert ein weiteres Umschreiben auf HTTPS.)

      1. Weil man, wenn man sich nicht über die Schwächen im Klaren ist, vielleicht ausschließlich HTTPSE benutzt und „kompliziertere“, aber die Sicherheit stärker verbessernde Alternativen wie z.B. SSH-Tunnel oder VPNs gar nicht mehr in Betracht zieht.

      2. Normalfall (BS-Bingo „default policy“). Ohne https-Everywhere o.ä. kannst Du fest davon ausgehen, in der Regel un verschlüsselt zu arbeiten; Du gewöhnst Dir an, auf https (oder die „Vorhängeschloß“-Ikone) bewußt zu achten.

        Mit https-Everywhere gehst Du von sicherer Verbindung aus, so daß Du nicht bemerkst, wenn die Verbindung unsicher ist. PEBKAC-Problem.

    1. Bei mir ist es genau umgekehrt. Ich hab teilweise große Probleme in diversen Blogs und Twitter, weil alles auf https geswitscht wird. Besser wäre es, wenn bestimmte URLs einfach umgeschrieben werden. Da wäre zwar der Warungsaufwand höher, aber man käme nicht auf die Idee den Kram abzuschalten, weil er eine Seite unbrauchbar macht.

    1. Guter Tip, TNX.
      Der bei Version 3 schon hohe Speicherverbrauch hat sich in Version 4/5 nochmal vervielfacht, seitdem ist es m.E. Zeit zu gehen (momentan teste ich Opera). Wäre schön, wenn die EFF HTTPS-Everywhere nach und nach auch für andere Browser rausbringen würde.

  2. Wird von der Erweiterungsverwaltung in FF 5.0 nicht gefunden und steht somit nicht auf einer vertrauenswürdigen Seite zur Verfügung. :(

    Vielleicht hätte Markus mit der Nachricht warten sollen, bis die Erweiterung bei Mozilla überprüft und eingepflegt wurde.

    Erweiterungen aus Drittquellen lassen sich bekanntlich nicht in FF installieren.

  3. Dann ist das Plugin Perspectives, – sicherlich praktisch dazu…

    https://addons.mozilla.org/de/firefox/addon/perspectives/

    Hier ein Auszug aus der Hilfedatei…

    What is Perspectives?

    Perspectives helps prevent „Man-in-the-Middle“ attacks against HTTPS communication by verifying the authenticity of the server’s SSL public key. This is particularly important when you connect to websites that have „self-signed“, mismatched, or expired certificates, which cause Security Errors and prevent you from connecting to some HTTPS websites.

      1. Das heißt auf Deutsch, daß die Erweiterung hilft MITM-Angriffe abzuwehren, bei denen dir ein Angreifer ein gefälschtes Zertifikat unterschiebt. Normalerweise merkt der Brwoser das selber, aber da viele Seiten selbst-signierte Zertifikate nutzen oder welche, die schon abgelaufen sind und die meisten Nutzer das System eh nicht verstehen, klicken sie die Warnungen einfach weg. Perspectives kuckt sich jetzt an welche Zertifikate dieser Server an mehrere „vertrauenswürdige Stellen“ ausliefert. Wenn alle das gleiche bekommen, das er dir liefert, ist es vermutlich koscher.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.