Text-Verschlüsselung ohne https-Protokoll

Internet Internet Sicherheit
#1

Hallo allerseits,

wenn man auf das https-Protokoll verzichten möchte und ein JavaScript trotzdem Daten verschlüsselt an ein PHP-Skript senden lassen möchte, scheint sich das hier gut zu eignen: http://www.vincentcheung.ca/jsencryption/

So lässt sich auch mit Programmen wie „Live HTTP Readers“ der gesendete Klartext nicht entziffern.

Der Haken scheint mir jedoch, dass der Schlüssel beiden Seiten bekannt sein muss, sonst aber niemandem.

Ich dachte mir, das PHP-Skript sendet dem JavaScript den Schlüssel, den es benutzt, worauf das JavaScript diesen Schlüssel in einer nicht-globalen Variable speichert. (Nicht-global, da man sonst den Schlüssel schon per Eingabe des entsprechenden JS-Codes in die Browser-Adresszeile ausspucken lassen kann.)

Das Problem ist, dass der Schlüssel im Klartext an den Client gesendet werden muss. Dann kann ihn doch jeder lesen, der ein Programm wie das obige in den Browser einbaut (oder gibt es keines für eingehende Daten, sondern nur für ausgehende, wie das obige)?

Schöne Grüße,

Mohamed.

#2

Dem Client muss mitgeteilt werden, dass er einen privat/public Paar erzeugen soll.
Dann wird der synchrone Schlüssel halt verschlüsselt ausgetauscht.

#3

Dem Client muss mitgeteilt werden, dass er einen privat/public
Paar erzeugen soll.
Dann wird der synchrone Schlüssel halt verschlüsselt
ausgetauscht.

Nicht ausreichend!
Indem fall ist ein public/private Keypair nicht genug, du musst mit Zertifikaten arbeiten. Wenn sich Server/Client nur mit public/private Keypairs begnügen könnte ein unbekannter diese Schlüssel austauschen (man in the middle).

Das ist nunmal das Problem bei synchroner Verschlüsselung: Beide Parteien (Server + Client) müssen das Passwort kennen (bei n Parteien muss sich jede Partei n-1 Passwörter merken, das skaliert gar nicht gut), daran gibt es keinen Weg vorbei.

Die alternative mit asynchroner Verschlüsselung funktioniert nur gut wenn der Server mit einem Zertifikat arbeitet (aber du hast schon erwähnt, dass es keine httpS Verbindung gibt) - daher fällt das weg. Selbst Diffie Hellman ist gegen „man in the middle“ Attacken ausgeliefert.

mfg