Die Betreiber der Webseite videolan.org (VLC Player) hatten die alle 3 Monate erforderliche Erneuerung des SSL-Zertifikats zum 9.4.2023 versäumt. Dadurch war die Webseite, das Forum und auch die Software kurzzeitig betroffen. Inzwischen wurde ein neues SSL-Zertikat zugewiesen.
Anzeige
Blog-Leser Vladimir D. hatte sich heute per E-Mail gemeldet und wies auf diesen Sachverhalt hin. In der Mail schrieb er unter dem Betreff Fwd: [abuse #16132161] AutoReply: Domain security (No SSL by Domain: videolan.org) / SSL certificate is not available on their website (Domain: videolan.org) since 9 April 2023!:
Guten Morgen Herr Born,
bei der Domain: videolan.org ist heute morgen das SSL Zertifikat angelaufen am 4. April 2023.
Auch das Forum von VideoLAN ist komplett mitbetroffen.
Zudem werden die internen Installationsprogramme für die unterschiedlichen OS mit diversen Universitäten synchronisiert mit einem abgelaufen SSL Zertifikat-
(Dadurch könnten bei einem IT-Cyberangriff personenbezogne Daten und die IT-Systemen in Mitleidenschaft in Bezug auf IT-Sec betroffen sein bei den Unis).
Die Universitäten gehören nachweisliche zur IT-KITRIS in Bezug der IT-Sec in der Bundesrepublik.
Inzwischen wurde das Zertifikat der Webseite aber erneuert.
Anzeige
Ich dachte Repos synct man immer noch mit rsync, da gibts ohnehin keine Verschlüsselung. Sicherheitstechnisch wohl auch kein Problem wenn alle Pakete ohnehin signiert sind.
Leider ist das Zertifikat für "VideoLAN Release Signing Key (2018)" mit dem VideoLAN aktuell Installationspaketez.B. für VLC signiert auch schon seit Januar 2022 abgelaufen und bisher nicht erneuert.
gpg: WARNING: Kein Kommando angegeben. Versuche zu raten was gemeint ist …
gpg: die unterzeichneten Daten sind wohl in 'vlc-3.0.18-win64.zip'
gpg: Signatur vom 2022-11-08 23:22:33 Mitteleuropäische Zeit
gpg: mittels DSA-Schlüssel 65F7C6B4206BD057A7EB73787180713BE58D1ADC
gpg: Korrekte Signatur von "VideoLAN Release Signing Key (2018)" [verfallen]
gpg: alias "VideoLAN Release Signing Key (2015)" [verfallen]
gpg: alias "VideoLAN Release Signing Key (2013)" [verfallen]
gpg: alias "VideoLAN Release Signing Key (2014)" [verfallen]
gpg: alias "VideoLAN Release Signing Key (2016)" [verfallen]
gpg: alias "VideoLAN Release Signing Key (2017)" [verfallen]
gpg: Hinweis: Dieser Schlüssel ist verfallen!
Haupt-Fingerabdruck = 65F7 C6B4 206B D057 A7EB 7378 7180 713B E58D 1ADC
Die VLC-Leute gehen schon längerem sehr lax mit der Anwendung von Signaturen um.