- In nicht öffentlichen Trilog-Verhandlungen wurde eine Änderung vereinbart, die dem endgültigen Text der eIDAS-Verordnung der EU nahekommt; spät wurde eine Klausel hinzugefügt, die Webbrowser in Europa verpflichtet, von EU-Regierungen ausgewählten Zertifizierungsstellen und kryptografischen Schlüsseln zu vertrauen
- Diese Klausel eröffnet die Möglichkeit, dass staatlich kontrollierte Schlüssel zur Überwachung verschlüsselten Web-Traffics eingesetzt werden, und verhindert, dass Browser diesen Schlüsseln ohne staatliche Genehmigung das Vertrauen entziehen
- EU-Mitgliedstaaten können Website-Zertifikate ausstellen, die auch Bürger außerhalb ihres eigenen Landes betreffen; es gibt keine unabhängigen Kontrollmechanismen für die genehmigten Schlüssel und deren Verwendung
- Sicherheitsprüfungen durch Browser werden auf Fälle beschränkt, die zuvor von der EU-Standardisierungsorganisation ETSI genehmigt wurden; ETSIs Historie bei Kryptostandards und eine Arbeitsgruppe für Abhörtechnik verstärken Vertrauensbedenken
- Mehr als 500 Cybersecurity-Experten und -Forscher sowie Zivilgesellschaft, Linux Foundation, Mullvad, DNS0.EU, Mozilla und weitere fordern, die Änderungen an Artikel 45 zu stoppen und das Vertrauenssystem der Web-Sicherheit zu schützen
Verpflichtung für Browser, staatlichen Zertifizierungsstellen zu vertrauen
- Der nahezu endgültige Text der eIDAS-Verordnung wurde nach einem jahrelangen Gesetzgebungsverfahren zwischen Trilog-Verhandlern vereinbart, die die wichtigsten EU-Institutionen vertreten
- Die neue Klausel wurde kürzlich in nicht öffentlichen Sitzungen eingeführt und soll der Öffentlichkeit und dem Parlament noch vor Jahresende zur faktischen Zustimmung vorgelegt werden, obwohl sie bislang nicht veröffentlicht wurde
- Alle in Europa ausgelieferten Webbrowser müssen von EU-Regierungen ausgewählten Zertifizierungsstellen und kryptografischen Schlüsseln vertrauen
- EU-Mitgliedstaaten können kryptografische Schlüssel benennen, die an Browser verteilt werden sollen, und Browser dürfen diesen Schlüsseln ohne staatliche Genehmigung nicht das Vertrauen entziehen
Risiken, die zur Überwachung von Web-Traffic führen können
- Die Änderung würde ermöglichen, dass staatlich kontrollierte kryptografische Schlüssel zum Abfangen von verschlüsseltem Web-Traffic in der gesamten EU genutzt werden, und damit die Fähigkeit von EU-Regierungen zur Überwachung von Bürgern erheblich ausweiten
- Jede Regierung eines EU-Mitgliedstaats könnte Website-Zertifikate ausstellen, die für Abhörmaßnahmen und Überwachung verwendet werden
- Dies könnte auch für EU-Bürger gelten, die nicht im ausstellenden Mitgliedstaat wohnen oder mit ihm verbunden sind
- Für die von einem Mitgliedstaat genehmigten Schlüssel und ihre Verwendung gibt es keine unabhängigen Kontroll- oder Ausgleichsmechanismen
- In einigen Mitgliedstaaten wurde die Rechtsstaatlichkeit nicht einheitlich eingehalten, und dokumentierte Fälle von Zwang durch Geheimpolizei zu politischen Zwecken verstärken die Bedenken
Struktur, die nur von ETSI genehmigte Prüfungen erlaubt
- Der Text hindert Browser daran, Sicherheitsprüfungen auf EU-Schlüssel und -Zertifikate anzuwenden; Ausnahmen sind auf Prüfungen beschränkt, die zuvor von der EU-IT-Standardisierungsorganisation ETSI genehmigt wurden
- Eine derart starre Struktur kann bei jeder Institution problematisch sein, und staatlich kontrollierte Standardisierungsorganisationen sind im Bereich Kryptografie besonders anfällig für falsch ausgerichtete Anreize
- Wegen seiner Geschichte beschädigter Kryptostandards bestehen gegenüber ETSI Vertrauensbedenken
- Als relevante Beispiele werden die ETSI-TLS-Kritik der EFF, eine Backdoor im TETRA-Polizeifunk und Backdoors in der Mobilfunkverschlüsselung der 1990er-Jahre genannt
- Bei ETSI gibt es auch eine Arbeitsgruppe, die sich vollständig auf die Entwicklung von Abhörtechnologien konzentriert
Prüfungslücke durch nicht öffentliche Verfahren
- Der betreffende Text wurde spät im Gesetzgebungsverfahren nicht öffentlich eingeführt und belastet damit auch die demokratischen Normen Europas
- Die Einigung selbst wurde Ende Juni öffentlich bekannt gegeben, doch die Mitteilung erwähnte Website-Zertifikate nicht und behandelte auch die neue Klausel nicht
- Zivilgesellschaft, Wissenschaft und die breite Öffentlichkeit konnten das Gesetz, das ihre Vertreter in nicht öffentlichen Sitzungen gebilligt hatten, kaum prüfen oder überhaupt von seiner Existenz erfahren
Widerstand von Experten, Zivilgesellschaft und Branche sowie verbleibendes Verfahren
- Mehr als 500 Cybersecurity-Experten und Forscher weltweit haben einen offenen Brief unterzeichnet und fordern die EU auf, den Plan zurückzuziehen und die Web-Sicherheit zu schützen
- Der offene Brief erklärt, dass der Vorschlag zu Artikel 45 die Überwachungsfähigkeiten von Regierungen erheblich ausweiten, ein Mittel zum Abfangen verschlüsselten Web-Traffics bereitstellen und bestehende Aufsichtsmechanismen schwächen würde, auf die europäische Bürger angewiesen sind
- Auch zivilgesellschaftliche Organisationen unterstützen den offenen Brief
- Auch Unternehmen und Organisationen, die das Internet aufbauen und schützen, haben eigene Stellungnahmen abgegeben
- Der Text soll bei der abschließenden nicht öffentlichen Trilog-Sitzung am 8. November in Brüssel genehmigt werden
- Danach soll der Text veröffentlicht werden und in das formelle Ratifizierungsverfahren im Europäischen Parlament eintreten
- Die formelle Ratifizierung wird in den ersten Monaten des Jahres 2024 erwartet
- Trilog-Verhandlungstexte werden in der Regel unverändert als Gesetz verabschiedet, weshalb diese Abstimmung als formaler Schritt gilt
- Europäische Bürger können ihre Bedenken an die für die eIDAS-Akte zuständige Europaabgeordnete Romana JERKOVIĆ richten
- Cybersecurity-Experten, Forscher und NGO-Vertreter können erwägen, den offenen Brief auf eidas-open-letter.org zu unterzeichnen
- Weiterführende Materialien:
1 Kommentare
Kommentare auf Hacker News
Falls jemand behaupten will, der Kern dieses Gesetzes sei nicht Überwachung: Überwachung ist der Kern
Erst kürzlich hat Deutschland versucht, Nutzer von jabber.ru per Man-in-the-Middle-Angriff anzugreifen[1], und wenn es Zertifizierungsstellen gibt, die man zur Ausstellung beliebiger Zertifikate zwingen kann, werden sie ganz sicher zu Überwachungszwecken genutzt
[1] https://notes.valdikss.org.ru/jabber.ru-mitm/
Die Klausel, nach der Browser bestimmte Zertifizierungsstellen hinzufügen müssen, könnte für Spionage gedacht sein, aber eIDAS insgesamt dient eher der Vereinheitlichung der verschiedenen elektronischen Zertifikatsdienste in der EU und nicht der Unterstützung von Überwachung
Zum Beispiel sind Bankgeschäfte, das Signieren offizieller Dokumente wie Schulzeugnisse usw. alles Teil von eIDAS; anders als bei Browsern gibt es hier keine Liste vertrauenswürdiger Zertifizierungsstellen, daher ist es wichtig, die Zertifikatsinformationen direkt zu prüfen, um zu sehen, ob die Herkunft stimmt
Auf Browser-Seite gibt es offenbar bereits eigene Standards, die man für besser als eIDAS hält, weshalb man die Anwendung nicht will; statt einer Verschwörung erscheint es im Sinne von Ockhams Rasiermesser plausibler, dass die EU nicht nur Browser ausnehmen wollte, sondern schlicht ergänzt hat: „Browser sollen das auch machen“
Die deutsche staatliche Zertifizierungsstelle sollte von vornherein keine .ru-Zertifikate ausstellen dürfen, und selbst unter Druck von Nachrichtendiensten dürfte ein Betreiber einer Zertifizierungsstelle kaum ein klares Protokoll missbräuchlicher Nutzung in Certificate-Transparency-Logs hinterlassen wollen
Browser sollten das sauber umsetzen, domainbeschränkte Zertifizierungsstellen unterstützen und außerdem selektive Allowlists für Zertifizierungsstellen für bestimmte Websites hinzufügen
Auch ohne Certificate Transparency ist für Clients sichtbar, wenn sich ein Serverzertifikat ändert, und mit Ansätzen wie Let’s Encrypt kann man das auch für Serverbetreiber sichtbar machen
Auch die Browser-UI wird neue qualifizierte Zertifikate anders anzeigen als bestehende Zertifikate, daher bin ich nicht sicher, ob das in der Praxis funktionieren wird
Das größere Problem ist, dass in der Verordnung eine Bestimmung enthalten sein müsste, die es erlaubt, Strafverfolgungs- oder Sicherheitsbehörden falsche Behauptungen über bestehende Identitäten auszustellen, damit diese Methode funktioniert
In früheren Versionen schien es so etwas nicht zu geben, und es ist auch etwas anderes als gefälschte Ausweise für verdeckte Ermittlungen. Solche Ausweise beziehen sich in der Regel auf erfundene Personen und geben sich nicht als eine tatsächlich existierende andere Person aus
Die Details kennt man nur, wenn man den vorgeschlagenen Verordnungstext liest, aber sowohl die Gesetzgeber als auch diejenigen, die Empörung schüren, scheinen nicht zu wollen, dass wir uns selbst ein Urteil bilden, und verstecken den Entwurf
Zugehörige Links:
https://mullvad.net/en/blog/2023/11/2/eu-digital-identity-framework-eidas-another-kind-of-chat-control/
https://alecmuffett.com/article/108139
Die Links stammen jeweils von https://news.ycombinator.com/item?id=38109581 und https://news.ycombinator.com/item?id=38109731, und die Kommentare scheinen hier zusammengeführt worden zu sein
Das ist zwar sehr besorgniserregend, aber am Rande: Es ist kein geheimes Gesetz
Alle EU-Gesetze werden auf der offiziellen Website in allen Amtssprachen veröffentlicht, und die meisten Gesetze, einschließlich dieses, müssen vor ihrem Inkrafttreten vom direkt gewählten Europäischen Parlament öffentlich ratifiziert werden
Ich würde mir weniger reißerischen Clickbait wünschen, wie man ihn aus britischen Boulevardzeitungen kennt
Man mag denken, dass solche Formulierungen helfen, der Öffentlichkeit die Dringlichkeit zu vermitteln, aber ehrlich gesagt lassen sie mich nur an der Wahrhaftigkeit der Behauptungen im Artikel zweifeln
In diesem Fall vertraue ich Mozilla allerdings und hoffe, dass der Inhalt des Gesetzes selbst nicht verzerrt wurde
Das EU-Parlament ist kein bloßes Abnickorgan, und die Sache selbst ist ernst genug, sodass Clickbait und offensichtliche Übertreibungen nicht nötig sind
Vermutlich ist es aber so formuliert worden, weil man es kurz halten wollte
Ich habe auch viele YouTube-Präsentationen gesehen, und obwohl sie schon eine Weile online waren, hatten sie aus meiner Sicht alle weniger als 100 Aufrufe
Wenn der Entwurf derzeit vertraulich ist, finde ich es in Ordnung, Alarm zu schlagen
Was passiert mit Open-Source-Browsern? Müssen sie zur Implementierung gezwungen werden?
Wird die Regierung den Code auditieren und verhindern, dass Versionen verteilt werden, in denen die staatlichen Zertifikate entfernt wurden, oder wird sie Open-Source-Browser verbieten?
Noch einmal: Niemand mit auch nur ein bisschen Verstand, der etwas vorhat, wird dadurch erwischt. Es erwischt nur alle anderen
Ich frage mich, ob das mit dem Unsinn zusammenhängt, mit dem Google verhindern wollte, dass Webseiten etwa durch Adblocker verändert werden können – etwa indem man mit nicht zertifizierten Browsern nicht mehr im Web surfen kann
Auch Apple wollte mit einer ähnlichen Erwartung im Hintergrund clientseitiges CSAM-Scanning einführen, und kurz darauf kamen Vorschläge wie Chatcontrol auf
Zu Open-Source-Browsern siehe einen anderen Kommentar im selben Thread[1]
[1] https://news.ycombinator.com/item?id=38110667
Wenn dieser Vorschlag Ihnen Sorgen macht, sollten Sie sich auch die Liste der Zertifizierungsstellen ansehen, denen der aktuelle Browser vertraut.
All diese Zertifizierungsstellen können gefälschte Zertifikate ausstellen, denen der Browser vertraut, und sie können für Man-in-the-Middle-Angriffe verwendet werden.
Bei den in Firefox enthaltenen Zertifizierungsstellen könnten zum Beispiel Namen wie Beijing Certificate Authority, China Financial CA oder Guang Dong CA Unbehagen auslösen.
Das Zertifizierungsstellen-System der Browser ist im Kern kaputt: Wenn ein staatlicher Akteur mit Unterstützung von ISPs IP-Traffic abfangen und mit Unterstützung einer Zertifizierungsstelle gefälschte Zertifikate erstellen kann, kann er den gesamten Traffic sehen.
Die großen Browser Chrome, Safari und Edge akzeptieren nur Zertifikate, die in Certificate-Transparency-Logs veröffentlicht wurden.
Wenn bekannt wird, dass eine Zertifizierungsstelle ein Zertifikat für einen Man-in-the-Middle-Angriff ausgestellt hat, entziehen Browser ihr schnell das Vertrauen.
Deshalb ist es in der Praxis nicht einfach, das bestehende Zertifizierungsstellen-System für Man-in-the-Middle-Angriffe zu missbrauchen.
Der eIDAS-Vorschlag hingegen würde verhindern, dass Browser einer für Man-in-the-Middle-Angriffe genutzten Zertifizierungsstelle das Vertrauen entziehen, und Pflichtprüfungen wie Certificate Transparency verbieten, sofern die EU nicht zustimmt.
Das schafft ein sehr praktikables System für staatliche Man-in-the-Middle-Angriffe.
Zunächst müsste man einen Dienst aufrufen, der ein solches Zertifikat verwendet.
Ein interessantes Experiment wäre, etwa einen Monat lang alle Zertifikate der regelmäßig genutzten Websites zu protokollieren und dann zu prüfen, ob verdächtige Einträge dabei sind.
Ich weiß nicht, ob es eine Erweiterung gibt, die so ein Experiment ermöglicht, aber die Ergebnisliste wäre deutlich nützlicher.
Wenn Kommunikation über das chinesische Festland läuft, sollte man davon ausgehen, dass sämtlicher Internet-Traffic auf eine viel einfachere Weise als über Zertifizierungsstellen aktiv überwacht wird.
In der EU ist diese Annahme dagegen eindeutig weniger zutreffend, und ich glaube auch nicht, dass die chinesische Regierung Firefox per Gesetz dazu zwingt, einer Zertifizierungsstelle zu vertrauen. Ironischerweise.
Bei der EU-Pflicht scheint es kaum eine solche Anforderung zu geben, während die Aufnahme von Root-Zertifikaten dennoch erzwungen wird.
Deshalb kann man den Ansatz des Browser/CA Forum und eIDAS nicht gleichsetzen.
Als jemand in der EU mit technischem Verständnis möchte ich eine Perspektive ergänzen, aus der man dieses Gesetz unterstützen könnte. Das ist nicht unbedingt meine Position; ich bin noch unentschieden.
Unsere digitale Verwaltung hat das Leben deutlich bequemer gemacht.
Ausweise sind seit Jahrzehnten verpflichtend, aber inzwischen enthalten sie einen Chip mit Zertifikaten für Authentifizierung, Signaturen usw.; dadurch kann man von zu Hause aus Steuern prüfen, Regierungsformulare ausfüllen, Bußgelder im Verkehr einsehen und offizielle Dokumente unterschreiben.
Nach meinem Verständnis hängt das davon ab, dass User Agents bestimmte Zertifizierungsstellen akzeptieren, und es ist so wichtig, dass der Browser den Zugriff auf Teile von Verwaltungsseiten blockiert, wenn eine Zertifizierungsstelle nicht aktuell ist oder nicht erkannt wird.
Dieses Gesetz scheint einen Teil der Zertifizierungsstellen-Infrastruktur in die Zuständigkeit der Regierung zu überführen.
Wie bei EU-Gesetzen häufig, wird Macht, die zuvor bei privaten Unternehmen lag, meist US-Unternehmen, zwangsweise auf EU-Regierungen übertragen.
Wenn das Vertrauen in Regierungen höher oder gleich hoch ist wie das Vertrauen in private Unternehmen, klingt das vielleicht gar nicht so schlecht.
Ich will nicht sagen, was richtig oder falsch ist, aber ich denke, das hilft zu verstehen, warum viele Menschen in der EU solchen Gesetzen vielleicht nicht besonders ablehnend gegenüberstehen.
Er würde es unmöglich machen, diese staatlichen Zertifizierungsstellen abzulehnen, und außerdem Mittel zur Nachverfolgung von Aktivitäten bereitstellen.
Es ist im Grunde so, als gäbe man dem EU-Land, dem man am wenigsten vertraut, Zugriff auf die Browser-Historie und auf Teile entschlüsselten Traffics.
Man hätte den Umfang einschränken können, aber wenn man sich die Wirkung ansieht, ist das womöglich gar nicht das, was tatsächlich gewollt ist.
Der meiste Aufruhr scheint daher zu kommen, dass Regierungen zwangsweise in die Zertifizierungsstellen-Infrastruktur hineingezogen werden und dass die Auswirkungen über die EU hinausreichen.
Was Letzteres betrifft, fand ich es schon immer merkwürdig, dass alle Root Stores standardmäßig Hunderte von Zertifizierungsstellen aus aller Welt enthalten.
Standardmäßig wird angenommen, dass man großen Unternehmen wie Google und Amazon, Staaten wie dem Staat der Niederlande und fragwürdigen Institutionen wie dem Hongkong Post office gleichermaßen vertraut.
Es ist also nicht überraschend, dass alle auf die Barrikaden gehen, wenn die EU an diesem Tisch noch einen weiteren Stuhl aufstellen will.
Wäre es nicht sinnvoller, wenn Nutzer mehr Kontrolle über die Zertifikate im Root Store hätten und dafür mehr Verantwortung übernähmen? Wäre es nicht besser, Zertifizierungsstellen auf bestimmte Domains zu beschränken?
Wenn eine von der EU genehmigte Zertifizierungsstelle nur die Echtheit von EU-Diensten bestätigen könnte, aber nicht die eines Shop-Sites oder von whitehouse.gov, wäre das akzeptabel.
Ich hatte immer das Gefühl, dass Zertifizierungsstellen viel stärker auf bestimmte Vertrauens-Anwendungsfälle beschränkt sein sollten.
Es scheint darum zu gehen, alle Zertifizierungsstellen zu ersetzen, sodass die EU den Inhalt sämtlichen Traffics sehen kann, der innerhalb und außerhalb ihrer Staaten geproxyt wird.
Gegen echte Bösewichte dürfte all das ohnehin kaum funktionieren.
Wenn eine Zertifizierungsstelle ein Unternehmen oder eine Non-Profit-Organisation ist, ist Vertrauen ihr Produkt; wenn Let’s Encrypt Mist baut, können Kunden zu einem anderen Anbieter gehen.
In der EU wird man vermutlich versuchen, die Zertifikate der Zertifizierungsstellen aller Mitgliedstaaten in allen Browsern zu installieren; dann könnte die Regierung von Mitgliedstaat A die Verbindungen von Bürgern aus Mitgliedstaat B per Man-in-the-Middle angreifen.
Selbst wenn eine Website ihr Zertifikat von irgendeinem aktuellen Anbieter bezieht, könnte jede EU-Regierung Nutzer per Man-in-the-Middle angreifen, ohne dass das Unternehmen davon erfährt.
Außerdem ist fraglich, wie sehr das tatsächlich hilft, wenn man das Gesetz technisch umgehen kann. „Kriminelle“ werden schließlich darauf achten, etwa den passenden Browser zu verwenden.
Wenn eine Regierungsseite ihre eigene Zertifizierungsstelle verwenden will, ist das eine separate Frage; wichtig für die Identitätsprüfung ist der auf dem Ausweis gespeicherte Schlüssel.
Aus dem Original zitiert:
https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf
Artikel 45 Absatz 2 besagt: „Qualifizierte Zertifikate für die Website-Authentifizierung gemäß Absatz 1 müssen von Webbrowsern anerkannt werden.“
Außerdem müssen Webbrowser die auf diese Weise bereitgestellten Identitätsdaten nutzerfreundlich anzeigen; mit Ausnahme von Kleinst- und Kleinunternehmen in den ersten fünf Jahren nach Aufnahme ihrer Tätigkeit als Anbieter von Webbrowser-Diensten müssen sie qualifizierte Zertifikate für die Website-Authentifizierung unterstützen und Interoperabilität gewährleisten.
Artikel 45a Absatz 3 besagt, dass eine in einem Mitgliedstaat ausgestellte qualifizierte elektronische Attributsbescheinigung in anderen Mitgliedstaaten als qualifizierte elektronische Attributsbescheinigung anerkannt werden muss.
Artikel 45a Absatz 4 besagt, dass Attributsbescheinigungen, die von einer öffentlichen Stelle direkt oder in ihrem Auftrag ausgestellt wurden, in allen Mitgliedstaaten als von dieser öffentlichen Stelle ausgestellte Bescheinigungen anerkannt werden müssen.
In den jüngsten Trilog-Verhandlungen wurde Absatz 45(2a) hinzugefügt, der aber noch nicht veröffentlicht wurde; daher kommen die Beschwerden über die Geheimhaltung.
Auch im offenen Brief (https://eidas-open-letter.org) wird darauf angespielt.
Der vorgeschlagene Rechtsakt verhindert in Artikel 45 Absatz 2a auch, dass Sicherheitsprüfungen bei der Validierung von Zertifikaten eingeführt werden, die für verschlüsselten Web-Traffic verwendet werden.
Nach der aktuellen Formulierung dürften für EU-Website-Zertifikate keine verpflichtenden Anforderungen gelten außer denen, die in ETSI-Standards festgelegt sind.
Das ist furchtbar. Denn damit könnte verboten werden, dass Browser Certificate Transparency verlangen, schwache Hash-Algorithmen wie SHA-1 untersagen oder quantenresistente Schlüssel verlangen – sofern die EU dem nicht zustimmt.
Dann müsste in die Browser-Liste nur eine einzige Zertifizierungsstelle aufgenommen werden, die man bei Bedarf hinzufügen oder entfernen kann – oder nur dann hinzufügt, wenn man mit Behörden interagiert, und danach wieder aus dem Browser entfernt.
Auch für nichttechnische Nutzer ließe sich wohl ein Programm bauen, das das automatisch erledigt. Zwei Buttons würden ungefähr reichen: „Behördenzugriff erforderlich“ und „Ich möchte keinen Behördenzugriff mehr“.
Im Kern läuft das gesamte Problem von eIDAS auf eines hinaus: Vertrauen kann man nicht erzwingen.
Wenn es erzwungen ist, ist es kein Vertrauen. Es ist etwas anderes.
Wenn Browser verpflichtet werden, einer bestimmten Zertifizierungsstelle zu „vertrauen“, zerstört das das gesamte Vertrauensmodell des Internets.
Ich frage mich, ob sie das wirklich nicht verstehen, ob sie es verstehen, es ihnen aber egal ist, oder ob sie aktiv daran interessiert sind, dieses Vertrauen zu zerstören.
Auch Indien bereitet ein Gesetz vor, das Betriebssysteme und Browser dazu verpflichtet, die eigenen Zertifizierungsstellen aufzunehmen, und hat außerdem eine eigene Webbrowser-Challenge gestartet: https://iwbdc.in/
Eine indische Zertifizierungsstelle wurde in der Vergangenheit wegen unautorisierter Ausstellung entfernt: https://pkic.org/2014/07/24/in-the-wake-of-unauthorized-certificate-issuance-by-the-indian-ca-nic-can-government-cas-still-be-considered-trusted-third-parties/
Dadurch habe ich das indische Zahlensystem kennengelernt, und in die Mauer „Lokalisierung ist schwierig“ wurde ein weiterer Stein eingefügt.
https://en.m.wikipedia.org/wiki/Indian_numbering_system
Was soll das überhaupt heißen? Ist das ein ernst gemeinter, staatlich geförderter Wettbewerb?
Wenn die von diesen Zertifizierungsstellen ausgestellten Zertifikate an einen von der EU unabhängigen Certificate-Transparency-Dienst angebunden und auf bestimmte länderspezifische Top-Level-Domains beschränkt sind, ist das völlig in Ordnung.
Nachdem viele russische Websites, sogar die größte Bank, den Zugang zur von normalen Browsern genutzten Infrastruktur der Zertifizierungsstellen faktisch verloren haben, kann meiner Ansicht nach niemand ehrlich behaupten, der derzeitige Zustand sei ausreichend robust.
Daher scheint die EU gegen potenzielle Infrastrukturrisiken abzusichern.
Um das Risiko von Man-in-the-Middle-Angriffen zu verringern, reichen meiner Meinung nach Certificate Transparency und die Beschränkung von Zertifizierungsstellen auf bestimmte Top-Level-Domains aus – zum Beispiel, dass eine hypothetische RU-Zertifizierungsstelle keine Zertifikate für .eu oder .com ausstellen darf.
Dieser Schritt sollte Menschen unter falschem Vorwand dazu drängen, das Zertifikat dieser Zertifizierungsstelle zu installieren, damit der Staat bei Bedarf HTTPS aufbrechen und mitlesen kann.
Das Ziel war allzu offensichtlich und hatte mit Infrastrukturrobustheit überhaupt nichts zu tun.
Sie wollen den Menschen einfach ihre Privatsphäre im Internet nehmen.