Annika hat geschrieben:wenn es auch irgendwie interessant wäre wenn Du diese kryptischen Addressen mal erklären würdest (klingt etwas nach dieser neuen TAN-Online-Banking-Variante?), grundsätzlich d.h. theoretisch ist mit einer Middle-Man-Attac alles abhörbar. Vorraussetzung ist,
1. dass der Verschlüsselungsalgorithmus bekannt ist (z.b. SSL) d.h. keine exotische "Obscurity" Methode verwendet wird
2. dass die Schlüssel nicht schon vorher vereinbart wurden
3. dass die Manipulation zeitnah geschieht
Die obskuren Tor-Adressen verstoßen gegen Bedingung (2), denn die Schlüssel müssen schon hergestellt sein, damit die Adresse überhaupt ausgerechnet werden kann, und die aus den Schlüsseln berechneten Adressen (allerdings nicht die Schlüssel selbst) müssen irgendwann vorher auf sicherem Weg ausgetauscht werden.
Ich muss dir irgendwann einmal die aus meinem von mir vorher festgelegten Schlüssel gebildete Adresse mitteilen, auf einem Weg, der nicht vom Middle-Man kontrolliert ist. Und, umgekehrt, du mir auch.
Die Adresse ist aber kurz genug, dass man sie auch mit anderen, nicht-elektronischen Mitteln weitergeben und notfalls auch auswendig lernen kann. Aber lang genug, dass es unmöglich ist, ein Schlüsselpaar zu faken, welches dieselbe Adresse liefert.
Was allerdings realistisch ist, ist, ein Schlüsselpaar zu faken, wo ein paar, am besten die ersten 5-6 Zeichen, übereinstimmen. Wer dann die Adressengleichheit nur öberflächlich kontrolliert, kann dann schon mal einer gefakten Adresse aufsitzen.
UNd wie sieht es mit dem Browser aus, erstellt der jedesmal einen neuen Key? Die Erstellung an sich nimmt doch auch Zeit in Anspruch ... mhh
das würde mich jetzt mal interessieren
Ein "key pair" herzustellen nimmt Zeit in Anspruch, und auch die Verschlüsselung damit geht nicht so schnell. Um Zeit zu sparen, verwendet man für die aktuelle Kommunikation normalerweise ein einfacheres, schnelleres (aber deshalb nicht unsichereres) symmetrisches Verschlüsselungsverfahren.
Das kompliziertere asymmetrische Verfahren (mit public und private key) dient dann nur noch dem Austausch des (für beide gleichen) symmetrischen Schlüssels. Und der ist schnell hergestellt. (Wenn er nicht sogar einfach nur eine beliebige Zufallsfolge ist, aber so genau haben mich die Details dann doch nicht interessiert.)