Quote from: bob123 on Today at 02:52:06 PM

Nein.
Das ist nicht wie digitale Signaturen funktionieren. Sonst wären die ja sinnlos.. Hier der dazugehörige Wikipedia Artikel. Ich würde dir empfehlen ihn mal zu lesen.

Du verstehst nur nicht was ich meine. Der Angreifer kann alles auf der Website austauschen, nicht nur die Dateien. Woher hat denn der Laie den Public Key, um zu verifizieren, dass die Signatur stimmt? Von der Website.

Quote from: bob123 on Today at 02:52:06 PM

Weil dein Statement war, dass das mit ausführbaren Dateien und Source Code funktioniert.
Scroll mal hier im Thread hoch.

Dieses Statement von dir bezog sich auf:

Quote from: Code29 on November 03, 2020, 01:22:39 PM

Quote from: bob123 on November 03, 2020, 08:44:28 AM

Ist es.
Da die Builds aber deterministisch sind (ich rede hier ausschließlich von Open Source Software wie z.B. electrum), lässt sich einerseits so eine Änderung im Source code schnell entdecken und andererseits, falls nur die Binärdatei geändert wurde, herausfinden, dass Source Code und Binärdatei nicht übereinstimmen.

Bei Webseiten lässt sich das nicht so einfach herausfinden.

Es gibt etliche Tools, um Änderungen festzustellen, dafür bedarf es keiner Signatur.

Und was hast du da zuletzt geschrieben? "Bei Webseiten lässt sich das nicht so einfach herausfinden." Und genau darauf bezieht sich mein Statement. Aber man kann sich natürlich auch alles so drehen, dass es jetzt passt. Am Ende macht es natürlich mehr Sinn, dass du bestimmst worauf sich mein Statement bezieht, statt nochmal nachzufragen wenn es unklar war.

Quote from: bob123 on Today at 02:52:06 PM

Uff.. Du hast es immer noch nicht verstanden.
Es gibt mehr Angriffspunkte als nur der eigene Rechner. Und eine Website zu besuchen um so ein Paper Wallet zu erstellen, ist per Definition riskanter und bad practice.

Wo steht denn diese Definition?

Quote from: bob123 on Today at 02:52:06 PM

Gut, und wie verifiziert du, dass du tatsächlich auf der echten Website bist?

HTTPS. Ja, CA kann auch kompromittiert sein. Hatten wir bereits geklärt. Ist auch sehr wahrscheinlich, dass das alles in Kombination passiert.

Quote from: bob123 on Today at 02:52:06 PM

Wie kannst du sicher sein, dass der Webserver nicht kompromittiert wurde?

Vergleichen mit dem Release auf GitHub.

Quote from: bob123 on Today at 02:52:06 PM

Ein kompromittierter Webserver bei Electrum zum Beispiel kann einfach erkannt werden.
Die Signatur der Datei wird überprüft (nicht änderbar, so wie du es beschrieben hast) und man kann sich sicher sein, dass man die originale Version hat die vom Entwickler signiert wurde. Egal ob kompromittierter Webserver oder nicht. Bei bitaddress oder ähnlichen Seiten hast du ein Problem wenn der Webserver kompromittiert ist.

1. Hat keiner davon gesprochen die Signatur der Datei zu ändern, du legst mir hier wieder die dir passenden Worte in den Mund. Ich habe gesagt man kann die Signatur auf der Website anpassen (und den Public Key auch). Das reicht, um einen Laien hinter's Licht zu führen. Darum geht es hier doch?
2. Hat nie einer gesagt bitaddress.org direkt zu verwenden. Der Code ist Open Source auf GitHub. Warum ist es gefährlicher diesen Code von GitHub zu laden als bspw. den Code von Electrum zu laden und zu kompilieren? Es macht absolut keinen Unterschied.

Quote from: bob123 on Today at 02:52:06 PM

Doch, tut es.

Dann bleib bei deiner Meinung. Alle anderen, die je bitaddress.org verwendet haben, haben es einfach falsch gemacht.

Quote from: bob123 on Today at 02:52:06 PM

Ich sagte nie, dass der einzig richtige Weg über Electrum sei.
Komplett ohne Software außer den eingebauten Linux Tools funktioniert auch.
Genauso gut funktionieren andere Wallets.

Nicht wortwörtlich, aber du protestierst gegen ein Verfahren, das sich lange bewährt hat, nur weil du anscheinend selbst nie verstanden hast wie es anzuwenden ist. Du beharrst auf ein einziges Argument und drehst alles wie es dir passt. Nochmal: Wenn du Behauptungen aufstellst wie z.B. JavaScript-Bibliotheken sind öfter fehlerbehaftet, dann beleg die auch wissenschaftlich, dann gibt es auch nicht so viel zu diskutieren. Das wirkt aber alles einfach so als hättest du es mal irgendwo aufgegriffen und jetzt möchtest du das so unbedingt wiedergeben, weil es dir glaubhaft erschien.

Quote from: bob123 on Today at 02:52:06 PM

Aber Webseiten zu verwenden ist ein schlechter Weg der viel mehr Angriffspunkte liefert als die von mir genannten Möglichkeiten.

Du bist wohl eher der, der hier etwas nicht verstanden hat. Und hier auch nochmal zum Mitschreiben: Source von GitHub laden und lokal ausführen. Da es eine einzige HTML-Datei ist, ist der Code komplett einsehbar. Keiner empfiehlt hier die Verwendung der Website oder das stumpfe Abspeichern der Seite. Das ist ganz allein deine Vorstellung davon wie man es anscheinend tut.

Quote from: bob123 on Today at 02:52:06 PM

Ich find es ja schön, dass du versuchst hier für Paper Wallet Webseiten zu argumentieren.

Ich argumentiere nicht für Paper Wallet Webseiten, aber ich stelle Dinge fairerweise richtig.

Quote from: bob123 on Today at 02:52:06 PM

Aber klassische Informatiker sollten in Ihrem Fachgebiet bleiben. Und Sicherheit in der IT gehört definitiv nicht dazu. Nimm es mir bitte nicht böse.

Und wo wir schon bei Sicherheit sind, und du schwärmst ja auch so von Signaturen: https://github.com/pointbiz/bitaddress.org/issues/18

Quote from: bob123 on Today at 02:52:06 PM

Alles was du hier erreichst ist neue Nutzer zu verwirren.

Im Gegensatz zu dir bin ich auf die gestellte Frage eingegangen.