Vlákno názorů k článku Cena monokultury: v zajetí Microsoftu od K2 - Několik "drobných" upřesnění. MSIE (i starý) ActiveX prvky...

Několik "drobných" upřesnění. MSIE (i starý) ActiveX prvky instaluje a instancuje jen pokud jsou digitálně podepsané certifikační autoritou, tedy *nikoliv* malware. Instalaci nepodepsaných prvků z internetu je ve starém MSIE vždy třeba potvrdit (v MSIE 7 je instalace by default zakázána). Tvrzení "škodlivé stránky tak mohou automaticky instalovat software na uživatelův počítač a stačí k tomu jen navštívit příslušnou stránku za pomocí Internet Exploreru 6" je nesprávné a zavádějící. V případě starého MSIE jde o podobnou situaci, jako když by Firefox narazil na stránku s Flashem, a zeptal se "tohle je ve Flashi, mám ho stáhnout a nainstalovat? pozor, může to být malware, rozmyslete si to!"

Samozřejmě existuje i malware, který zneužívá bezpečnostní problémy ActiveX prvků - jako kdyby na webu bylo něco ve Flashi, co umožňuje exploitnout Flash Plugin.

Také není pravda, že je nutné podporovat 128-bit SSL. Proč? Nestačí implementovat SEED v alternativních browserech? Od toho je to open source, každý čtenář root.cz by to měl zvládnout doma ;)

Jenze co se pamatuji, tak tech bezpecnostnich problemu s ActiveX bylo hodne a nektere velmi spatne resitelne.

... a lze ho stahnout zde ... ale nevim proc zrovna ja bych mel zdrojak stahovat a programovat nejaky plugin do FF nebo SeaMonkey nebo co :-P

Není v tom případě celý článek plný nesmyslů? Zlé ActiveX, které instaluje do browseru cokoliv při vlezení na stránku, SEED který nelze implementovat jinak než jako ActveX komponentu... Nakonecto vypadá, že prostě nikdo nechceudělat podporu SEED pro jiný browser (ani když je ten browser open source), a "zlý MS" s tím nemá nic společného.

Zdá se, že SEED opravdu problém není a lidé z opensource comunity ho rádi implementují. Bohužel ale není možné vyexportovat a použít jinde certifikát přidělený každému občanovi z nějakého Active X balastu, do kterého je zakódovaný a který dovolí jen po zadání hesla provedení podpisu, nikoliv však jeho export. Je to stejné, jako když bude v nějakém HW (USB klíčku), ke kterému nebude dokumentace ani drivery. Je ale možné, že to lze nějak revrzeengineerovat. Může to ale být projekt na roky.

The problem is not the SEED cipher itself. It is an IETF standard that is well-documented. That functionality could be added to Firefox with some work.

The problem (which I did not explain in enough detail in my post) is that each Korean citizen is issued a unique ID, sort of like a US Soc. Sec. #, which is tied to a certificate (to prove that "Jane Kim" is "Jane Kim") which is then packaged up in the Active X control. So the unique identifier cert. as well as the encryption cipher are bundled together in in Active X control. The Korean cert. auths. only issue Active X-based solutions.

Jestli tvůj nick je odkazem na to, že patříš ke stejnojmenému softwaru, nedivím se tvým názorům...

neklikat! - pouze zkouška

On takovy digitalne podepsany malware taky existuje, vime? Der, ktere umoznuji instalaci bez podpisu uz taky bylo dost, takze tato argumentace je zcesty. To je stejne jako kdybych trdil, ze linux je naprosto dokonaly jen proto, ze pairove podle navrhu a principu by byt mel, ale on neni, ma sposuty chyb, jen nevim o zadne, ktera by jej posunula pod widle.