Sie können auf verschiedene Weise bestätigen, dass Sie sich auf dem echten Facebook befinden:

1. Überprüfen Sie das Zertifikat, mit dem die Website gesichert wurde. Öffnen Sie Ihr Zertifikat (Anweisungen variieren je nach Browser) und sehen Sie, was darin steht - wird es an Facebook ausgestellt? Ist es in einem gültigen Zeitraum? Schauen Sie sich nun noch einmal an, wer dieses Zertifikat unterschrieben hat, und richten Sie ein kritisches Auge darauf. Stellen Sie sicher, dass alles Sinn macht. Gehen Sie die Zertifikatskette entlang, bis Sie zum Stammzertifikat gelangen. Gehen Sie jetzt zu Ihrer bevorzugten Suchmaschine und überprüfen Sie, ob keiner der Zertifikatsanbieter in den Nachrichten nach einem kompromittierten privaten Schlüssel gesucht hat. Leider bedeutet das CA-basierte Ökosystem, dass Sie der Stamm-CA bis zu einem gewissen Grad nur vertrauen müssen.

2. Überprüfen Sie die IP-Adresse, mit der Sie eine Verbindung herstellen - verwenden Sie dazu Ihr bevorzugtes NSLookup-Tool Sehen Sie, wohin Ihr DNS Sie zeigt, wenn Sie eine Verbindung zu facebook.com herstellen. Nehmen Sie diese Adresse mit zu Google und prüfen Sie, ob sie mit der öffentlichen IP-Adresse von Facebook übereinstimmt.

3. Überprüfen Sie, ob andere Personen kürzlich Probleme bei der Verbindung mit Facebook über TLS gemeldet haben oder haben irgendwelche Bedenken. Überlegen Sie, ob diese Bedenken für Sie berechtigt zu sein scheinen oder ob der Benutzer nur etwas falsch macht.

ol>

Nehmen Sie als Nächstes alle Daten, die Sie aus den oben genannten Informationen gesammelt haben Punkte und jede andere Aufklärung, die Sie durchgeführt haben. Überlegen Sie kritisch, ob es Ihrer Meinung nach vernünftig ist, dass all das von einem überzeugenden Virus, einem bösen böswilligen Schauspieler in Ihrem Netzwerk oder einem lachenden Mark Zuckerberg gefälscht wurde. Denken Sie auch daran, dass das Problem, das Sie vermeiden möchten (Senden oder Anzeigen von Informationen von Fakebook anstelle von Facebook), und überlegen Sie, ob die möglichen Konsequenzen (Datenleck) auf andere Weise auftreten können, z. B. wenn ein Screengrabber- oder Keylogger-Virus ausgeführt wird und nur aufgezeichnet wird Ihre Eingabe in das echte Facebook. Überlegen Sie dann, ob das Risiko den Wert überwiegt, den Sie durch die Anmeldung bei Facebook erzielen würden. Dann stellen Sie fest, dass Facebook Ihnen keinen Wert gibt und entscheiden Sie, dass es das Risiko nicht wert ist.

Dies ist genau das Problem, das HTTPS lösen soll. Wenn Sie Facebook (oder eine andere Website) über eine URL besuchen, die mit https: // beginnt ( nicht http: // ), dann gibt es eine Reihe von Sicherheitsmaßnahmen, die Ihr Browser automatisch anwendet, um sicherzustellen, dass die Site, mit der er Sie verbindet, unmittelbar nach https: // in der URL-Leiste angezeigt wird, und warnen Sie, wenn dies nicht der Fall ist.

Lassen Sie uns diese Sicherheitsmaßnahmen kurz durchgehen, damit Sie besser verstehen, wie sie funktionieren und unter welchen Bedingungen sie wirksam (oder unwirksam) sind.

Funktionsweise von Domain-Namen

Wenn Sie zum ersten Mal eine URL wie https://www.facebook.com/ besuchen, wird Ihr Browser als Erstes dies tun extrahiert den Domainnamen der Site aus der von Ihnen angegebenen URL. Der Domainname ist der Teil der URL, der nach "https: //" am Anfang der URL und vor dem nächsten "/" steht. In diesem Fall lautet der Domainname "www.facebook.com".

Innerhalb des Domainnamens gibt es mehrere durch Punkte getrennte Bezeichnungen (. ). Die Bezeichnung ganz rechts, in diesem Fall com , ist die Domäne der obersten Ebene. Das Label links davon, in diesem Fall facebook , ist eine Subdomain der Top-Level-Domain ( .com ) und alle anderen Labels links von dass , wie z. B. www , Subdomains sind, die vom Eigentümer dieser Domain kontrolliert werden. Während eine Domain wie secure.facebook.com von Facebook kontrolliert wird (da sie den Domainnamen facebook.com besitzt), wird eine andere Domain wie www.facebook .com.login.site wird von jedem kontrolliert, der die Domain login.site besitzt (wahrscheinlich nicht Facebook).

Dies ist wichtig für Sie, da https://www.facebook.com/ die richtige URL für Facebook ist, https://other.site.com/ www.facebook.com ist weder noch https://www.faceb0ok.com/ , https: //www.faceboook. com / oder https://www.facebook.com.secure.site/ . Wenn der Domainname, den Sie in der URL-Leiste sehen, nicht genau mit facebook.com endet, weiß Ihr Browser nicht, dass Sie wirklich eine Verbindung zu Facebook herstellen möchten, und kann Sie daher nicht davor schützen, eine Verbindung zu einem anderen herzustellen Website, die nur vorgibt, Facebook zu sein.

Überprüfung des Domainnamens

Sobald Ihr Browser den Domainnamen der von Ihnen besuchten Website hat, stellt er eine Verbindung dazu her Site mit einem Prozess, der als TLS-Handshake bezeichnet wird. (Dies setzt wiederum voraus, dass Sie die Site über https besuchen.) Im Rahmen dieses Vorgangs muss der Server, mit dem Sie eine Verbindung herstellen (unabhängig davon, ob es sich um einen echten oder einen gefälschten Server handelt), Ihrem Browser eine spezielle Datei präsentieren, die als TLS-Zertifikat bezeichnet wird . Diese Datei muss eine signierte Erklärung eines Drittanbieters enthalten, die als Zertifizierungsstelle bezeichnet wird und der Ihr Browser bereits vertraut. Die Anweisung teilt Ihrem Browser mit, welcher kryptografische Schlüssel bei der Kontaktaufnahme mit der von Ihnen angeforderten Website verwendet werden soll, und Ihr Browser fordert den Server, mit dem Sie verbunden sind (ob echt oder falsch), auf, zu beweisen, dass er diesen Schlüssel steuert, bevor er weitere Informationen an diesen Server sendet

Da das TLS-Zertifikat von einem Drittanbieter signiert werden muss, dem Ihr Browser bereits vertraut, kann der Server, mit dem Sie sprechen, die Informationen in diesem Zertifikat nicht fälschen. Und da das Zertifikat den echten Schlüssel des Servers enthält, den Sie kontaktieren möchten (in unserem Fall facebook.com), kann ein gefälschter Server Ihren Browser nicht davon überzeugen, dass er legitim ist, und Ihr Browser zeigt eine Warnung an Sie erfahren, dass die Site, zu der Sie eine Verbindung herstellen, möglicherweise gefälscht ist.

Weitere Informationen zu diesem Vorgang finden Sie unter Wie funktioniert SSL / TLS?.

Aber ist das genug?

Kann Ihr Browser dazu verleitet werden, eine Seite aus einer gefälschten Version von Facebook zu laden, selbst wenn in der URL-Leiste https: // steht? www.facebook.com/?

Unter normalen Umständen nein. Vorausgesetzt, Sie überprüfen, ob Sie https verwenden und der Domainname der richtige ist, reichen diese integrierten Schutzfunktionen normalerweise aus, um sicherzustellen, dass Sie wirklich mit dem echten facebook.com sprechen. P. >

Es kann jedoch seltene Umstände geben, in denen sich jemand trotz dieses Schutzes als Facebook ausgeben kann. Wenn Sie beispielsweise eine benutzerdefinierte vertrauenswürdige Zertifizierungsstelle auf Ihrem Computer installieren, kann sich der Eigentümer dieser Zertifizierungsstelle möglicherweise als Facebook ausgeben. Bei der Arbeit hat Ihr Arbeitgeber möglicherweise bereits so etwas an Ihrem Arbeitscomputer getan. Seien Sie daher vorsichtig, wenn Sie mit einem Computer, den Sie nicht besitzen, im Internet surfen. (Gleiches gilt für Computer in einer Schule oder Bibliothek.) Malware auf Ihrem Computer kann möglicherweise auch eine eigene Zertifizierungsstelle installieren oder den Schutz Ihres Browsers auf andere Weise umgehen.

Es gibt auch andere, ungewöhnlichere Möglichkeiten Ein Angreifer kann Ihren Browser möglicherweise dazu verleiten, eine Verbindung zu einem gefälschten facebook.com herzustellen, z. B. eine von Ihrem Browser vertrauenswürdige Zertifizierungsstelle zu gefährden. Ich werde jedoch nicht im Detail auf diese Methoden eingehen, da sie sehr unwahrscheinlich sind.

Wenn Sie den Verdacht haben, dass Ihr Browser trotz dieser Schutzmaßnahmen möglicherweise eine Verbindung zu einem gefälschten facebook.com herstellt, ohne Sie zu warnen, können Sie möglicherweise mithilfe einiger von herausfinden, ob dies der Fall ist Die in Adonalsiums Antwort untersuchten Methoden, aber selbst diese Methoden sind in keiner Weise narrensicher.

Überprüfen Sie jedoch für die meisten Benutzer, ob Sie eine Verbindung über HTTPS herstellen und ob der Domänenname Die korrekte Anzeige in der URL-Leiste sollte ausreichen, um sicher zu sein, dass Sie tatsächlich mit dem echten Facebook sprechen.

Die Tatsache, dass die URL https: // ist (wobei s für Sicherheit steht) und dass der Browser die Sperre in der URL-Leiste ist der Beweis. Dies bedeutet, dass das HTTPS-Protokoll verwendet wird, bei dem die Websites ein Zertifikat zum Nachweis ihrer Identität vorlegen müssen. Als Benutzer müssen Sie also sicherstellen, dass HTTPS verwendet wird und dass Sie sich auf facebook.com befinden und nicht auf etwas anderem (wie faceb00k.com ). P. >

Wenn Ihr Gerät jedoch gehackt wurde oder von einer anderen Person (z. B. Ihrem Arbeitgeber) kontrolliert wird, können Sie sich nicht sicher sein (oder was auch immer).

Um die bereits sehr guten Antworten zu ergänzen und dem obigen Kommentar von user21820 ein wenig zu folgen, bauen Sie Vertrauen nach Teilen und durch Analyse auf.

Ich wollte nur darauf hinweisen, dass ein grundlegender Punkt Ihres Sicherheits-Setups in der von Ihnen beschriebenen Situation der Browser ist. Wer auch immer den Code des von Ihnen verwendeten Browsers geschrieben hat, kann Ihnen völlig frei zeigen, dass Sie auf www.facebook.com zugreifen und das grüne Zertifikat anzeigen, während Sie sich mit einer beliebigen Site verbinden. Sie würden diese Situation erkennen, indem Sie den IP-Verkehr von Ihrem Computer aus abhören, aber nicht, indem Sie auf den Browser schauen.

Letztendlich verwenden wir alle ein Setup, bei dem wir verschiedenen Personen / Unternehmen / Institutionen vertrauen: wer auch immer das Betriebssystem geschrieben hat, wer auch immer es installiert hat, wer auch immer das BIOS und andere Firmware in Ihrer Hardware geschrieben hat, wer auch immer geschrieben hat Der Browser, die in Ihrem System installierten Zertifikate usw. Die meisten gängigen Setups sind bekannt, so dass sie mehr oder weniger vertrauenswürdig sind. Vor allem aber vertrauen wir auf Zahlen: Wenn Microsoft oder Google oder ein Computerhersteller ihre Software hatten Wenn Sie auf zweifelhafte Websites verweisen oder vertrauliche Informationen stehlen oder wenn Mozilla ein unsicheres Zertifikat installiert, wird dies wahrscheinlich jemand unter den Millionen von Benutzern auf die eine oder andere Weise bemerken. Es macht es nicht unmöglich, dass zwielichtige Dinge in Ihrem oder meinem System passieren: nur unwahrscheinlich.

Die ursprüngliche Frage kann zwei Aspekte haben. Eine ist "landen meine Daten auf dem echten Facebook?". Mit anderen Worten, bin ich auf der Seite eines Betrügers? Der andere ist: "Könnte es einen MITM-Angriff geben, der meine Verbindung beschnüffelt?".

In beiden Fällen, wenn das "grüne Schloss" im Browser angezeigt wird und wir davon ausgehen, dass der Browser nicht gefährdet ist und über die richtigen CA-Zertifikate verfügt, entspricht die Antwort auf die Frage: "könnte Jede der vertrauenswürdigen Zertifizierungsstellen hat ein anderes Zertifikat mit dem Domainnamen "facebook.com" erstellt. Diese Frage ist schwer zu beantworten, da man grundsätzlich ALLE Zertifikate sehen muss, um dies überprüfen zu können ausgestellt von ALLEN vertrauenswürdigen Zertifizierungsstellen, was unmöglich ist, da sie nicht in irgendeiner Form von Blockkette oder dergleichen niedergeschrieben sind. Die Token-Blockkette wurde genau erfunden, um das Problem zu lösen, "keine doppelten Ausgaben zu beweisen", das dem Problem ähnlich ist Ein Argument für die Nichtzulassung einer Zertifizierungsstelle wäre, dass das Geschäft einer Zertifizierungsstelle davon abhängt, vertrauenswürdig zu sein, und dass Benutzer daher nie herausfinden, dass sie von einem Schurken ausgetrickst wurden Zertifikat ausgestellt von der CA. Wenn sich mehrere Facebook-Nutzer beschweren würden, dass sie am Ende o n fakebook, das wäre das Ende des Geschäfts dieser CA. Dies ist ein gültiges Argument für das Vertrauen, dass CA keine Zertifikate für Fakebook signiert. Es ist jedoch kein Argument gegen CA-Signaturzertifikate für MITM-Snoopers (z. B. staatlich geförderte Snoopers). Es gibt keine Möglichkeit herauszufinden, ob das MITM nur schnüffelt.

Mit einem MITM-Snooper sind Sie am Ende des Tages natürlich wirklich mit dem echten Facebook verbunden, aber Sie haben keine Möglichkeit dazu zu wissen, ob Sie dabei beschnüffelt wurden. Ich weiß nicht, welchen Aspekt die ursprüngliche Frage hervorhob: bei Facebook landen, aber beschnüffelt werden oder bei Fakebook landen. Der "CA-Ruf" ist nur für den zweiten Aspekt von Bedeutung.

HTTPS ist ziemlich gut, aber wenn Sie in China sind, hoffen Sie, dass die SSL-Stammzertifizierungsstelle nicht so geändert wurde, dass Sie ein anderes Ergebnis erhalten. Ich denke, Sie könnten das mit den öffentlichen DNS-Ergebnissen von Google 8.8.8.8 vergleichen?

http://www.zdnet.com/article/google-banishes-chinas-main-digital-certificate-authority -cnnic /

Es gab bereits viele hervorragende Antworten. Ich möchte mich aus einem anderen Blickwinkel einschalten. Im Extremfall wird dies philosophisch und Sie müssen die Grenze irgendwo ziehen:

Auf diese Weise kann man in völligen Solipsismus geraten, wenn man jede empfangene Information (von Ihrem Gehirn) in Zweifel zieht. Ab einem bestimmten Punkt müssen Sie eine "Hypothese der Realität" akzeptieren. Dies ist der Vertrauensanker für den Rest der Authentifizierungsinformationen. Vielleicht kennen Sie Mark Zuckerberg persönlich: Sie könnten ihn nach den wahren öffentlichen Schlüsseln in den Zertifikaten von Facebook fragen. Aber vielleicht wissen Sie nur etwas über "Facebook", weil andere Leute Sie darüber gesprochen haben. Woher wissen Sie in diesem Fall, dass Sie auf demselben Facebook sind wie das, worüber sie gesprochen haben?

Am Ende könnte man also sagen, dass Sie sich nicht für die absolute Natur von Facebook interessieren: Was zählt, ist, dass das "Facebook", mit dem Sie es zu tun haben, dasselbe ist Sie haben sich anfangs damit beschäftigt, als Sie das erste Mal davon erfahren haben. Wenn es in Wirklichkeit ein echtes zweites (und sogar ein drittes, viertes ...) "Facebook" gibt, aber eines davon das ist, das Ihre Freunde Ihnen zum ersten Mal gezeigt haben, um ein Konto zu erstellen, und Sie können Kontaktieren Sie sie, das einzige, was Sie wollen, ist, dass Sie später mit demselben Facebook wie ursprünglich in Kontakt stehen. Wenn Sie also einen öffentlichen Schlüssel von einem Ihrer Freunde erhalten, das ist der öffentliche Schlüssel des Facebook, den Ihre Freunde verwenden, ist das im Prinzip gut genug. Wenn Ihre Freunde alle systematisch das ständige Opfer eines MITM-Angriffs waren, spielt es keine Rolle: MITM ist Ihr Facebook: eine Einheit im Internet. Niemand hat gesagt, dass Facebook eine nette Entität ist ...

Für Entitäten im Internet ist daher häufig die relative Authentifizierung von Bedeutung: der Beweis, dass Sie in aufeinanderfolgenden Sitzungen Kontakt aufnehmen , dieselbe Entität , die Sie beim ersten Kontakt kontaktiert haben. Möglicherweise stellen Sie fest, dass Sie, abgesehen von der Kohärenz der Entität über verschiedene Kontakte, nicht viel über die Entität wissen, mit der Sie Kontakt aufnehmen.

Es kann anders sein, wenn Sie möchten, dass die Entität auch eine legale moralische Person ist, die Sie möglicherweise verklagen möchten, wenn sie sich Ihnen gegenüber jemals schlecht verhalten hat. Sie sollten dann streng genommen eine Bescheinigung von der Rechtsinstanz erhalten, die für das Unternehmen zuständig ist, mit dem Sie Kontakt aufnehmen möchten, die moralische Person hinter "Facebook". Dies kann der Fall sein, wenn Sie einen Geschäftspartner im Internet kontaktieren, den Sie nicht kennen, abgesehen von der Tatsache, dass er im Internet ist, beispielsweise in einem Geschäft auf der anderen Seite der Welt.

Schließlich gibt es eine dritte Möglichkeit, und Facebook fällt höchstwahrscheinlich in diese Kategorie. Sie möchten die Entität kontaktieren "jeder kennt und ist bekannt". Die verschiedenen Kanäle, über die eine Entität "bekannt" ist, sollten dann auch zur Verbreitung des öffentlichen Schlüssels dieser Entität verwendet werden: gedruckte Zeitschriften, Fernsehen, verschiedene Websites usw. Wenn derselbe öffentliche Schlüssel systematisch und kohärent verteilt wird Von mehreren anderen Entitäten, die Sie ebenfalls irgendwie kennen, haben Sie ein starkes Vertrauensnetz, das signalisiert, dass Sie darauf vertrauen können, dass dieser öffentliche Schlüssel der richtige von Facebook ist. Dies ist etwas, das für relativ unbekannte Unternehmen nicht wirklich gut funktioniert, da sich das "Netz des Vertrauens" so weit ausbreiten muss, dass es verschiedene Akteure berührt, die Sie bereits kennen und denen Sie vertrauen, was nur für gut funktioniert. bekannte Entitäten. Ich lebe in Europa und es fällt mir schwer, ein Vertrauensnetz um mich herum zu bekommen, das jemanden in Sidney davon überzeugen könnte, absolut sicher zu sein, dass er mit mir zu tun hat.

Wir haben also drei verschiedene Kategorien der Authentifizierung von Entitäten im Internet, abhängig vom Anwendungsfall:

• relative Authentifizierung: Ich weiß nicht, wer Sie sind, aber Sie sind dieselbe Entität, die ich zuvor kontaktiert habe

• legale Authentifizierung: Ich kann nur dem legalen Aussteller von Identitäten vertrauen.

• Web-of-Trust-Authentifizierung: "Jeder" weiß, wer es ist, über verschiedene Kanäle, daher ist dies der Weg, um den richtigen öffentlichen Schlüssel zu erhalten: den, den jeder konsistent verwendet.

Ein realer Anwendungsfall kann erforderlich sein die 3 Aspekte: Ich möchte mich mit dem "bekannten" Facebook "verbinden, das jeder kennt" (auch wenn es irgendwo in Kasachstan eine Bar namens "Facebook" gibt, die ich nicht kontaktieren möchte); Ich möchte bei aufeinanderfolgenden Anmeldungen mit demselben Facebook Kontakt aufnehmen (auch wenn der Markenname beispielsweise an ein anderes Unternehmen verkauft wurde). Und wenn sich Facebook jemals schlecht verhält, möchte ich, dass es eine moralische Person ist, die ich schließlich vor Gericht verklagen könnte.

Daher ist das Vertrauen, das wir in CA zu setzen scheinen, etwas überzogen, da wir blindlings darauf vertrauen, dass Entitäten (CA) dies überprüft haben, ohne uns selbst und unabhängig von unserem Anwendungsfall zu überprüfen. Vielleicht hat die Bar in Kasachstan auch ein Zertifikat für "Facebook.net". Aber es ist einfacher und besser als nichts.