Názory k článku Postřehy z bezpečnosti: podporujte svobodný internet
-
Filip JirsákStříbrný podporovatel<blockquote>66% uživatelů naprosto ignoruje varovná hlášení o SSL komunikaci. … Nově se bude jednat o jednoduché věty, které by měl pochopit i žák základní školy a odstraní se technické termíny.</blockquote>
Jestli by nebylo lepší začít tím, že se ty hlášky zruší úplně v případech, kdy uživatel SSL nepožadoval. -
sadds (neregistrovaný)
BFU to ale typicky sam nepozaduje - nahodou si to banka alebo Google vypyta, tak to ma. Ked klikne na odkaz s https, tak to ma tiez. Ale zadavat niekam https? Ked to ma farby a logo banky, tak to musi byt banka.
Banky tomu nepomahaju - pri platbe kartou CSOB ma clovek zadavat sms kod na nejakom (tusim) acs.sia.eu. Vsak to ani tak nikto nekontroluje a keby tam bolo freehosting.example.com, tak tam kod ludia ochotne zadaju.
-
Filip JirsákStříbrný podporovatel
U banky by to vyžadovat měl, např. tím, že bude mít HTTPS variantu uloženou v záložkách. Když klikne na odkaz s HTTPS, pak to nepožaduje a prohlížeč by neměl s ničím otravovat.
-
j (neregistrovaný)
BFU NIKDY nic necte a NIKDY cist nebude. KAZDY hlaseni je pro jen jen zcela zbytecnej vopruz.
Jak si predstavuju chovani pro BFU? Vlezu na web, ten pojede v ssl, a prohlizec se me (maximalne pri prvni navsteve) zepta, jak kriticky je pro me zabezpeceni (malo, stredne, hodne).
Ulozi si aktualni cert(hash) a pri dalsich navstevach jen kontroluje, zda odpovida tomu, co ma ulozeno, pripadne zda novy vydala stejna autorita (kterou si taky ulozi az pri prvni navsteve) ... a TEPRVE kdyz neco z toho nesedi, TAK (v zavislosti na predchozim vypnutelnem dotazu) ZARVE.
V situaci, kdy prohlizec pinda na 80% webu, protoze kdo by si na nejaky diskusni forum porizoval cert za prachy, kdyz stejne dobre a daleko BEZPECNEJI poslouzi selfsigned ... to hlaseni VSICHNI zcela ignorujou. Naopak, o tom, ze lezou do banky, ktera se prokazuje jinym certifikatem jine "autority" nez minule se ani nedozvedi.
Jako bonus, pokud dotycny nahodou narazi na to, ze banka ma cert kuprikladu expirovany, tak kdyz tam zavola, se dozvi, ze "to proste odklipnete".
-
PetrK (neregistrovaný)
Podle mých zkušeností 100% uživatelů není schopno správně vyhodnotit hlášení ohledně bezpečnosti komunikace. Naprosto nezáleží na úrovni a schopnostech uživatele.
Zkuste někdy změnit ssh server key. Všichni "pokročilí" uživatelé si odmáznou řádek z known_hosts a ochotně si uloží nový key. Ti co to nezvládnou, tak někomu řeknou a ten jim s tím pomůže.
V Česku se všichni naučili při chybě SSL odklepnout OK, protože se potřebují dostat do banky nebo na státní server s certifikátem podepsaným nedůvěryhodnou certifikační autoritou. Všem je naprosto jedno, že je to bezpečnostní riziko. Na tlačítko "Zrušit" kliknou uživatelé jen omylem.
-
Filip JirsákStříbrný podporovatel
S tím odklepáváním je to skoro jedno, protože když po nich prohlížeč nic odklepnout nechce, vůbec to neznamená, že se jedná o důvěryhodnou certifikační autoritu. Správně by měl uživatel začínat s prázdným seznamem autorit a přidat tam jen ty, kterým opravdu důvěřuje a jejichž certifikát si ověří. Ty stovky autorit, které jsou automaticky důvěryhodné, to je také bezpečnostní riziko, srovnatelné s tím automatickým odklepáváním.
-
Co mám jiného dělat, když internetová žákovská knížka, Bakaláři, má na naší škole nějaký podivný certifikát už od začátku? Papírové se už u nás skoro nevedou.
https://server.gymnasiumkladno.cz/bakaweb/login.aspx -
tdvorak (neregistrovaný)
On i kdyby certifikát platný byl, tak to není nic super. CA je jakási CC unLimited, v.o.s. a poskytuje rady tohoto typu: http://www.ccu.cz/nova-certifikacni-autorita
-
anonymous (neregistrovaný)
Zde (google translate vam pomahej, neumite-li azbuku :) ) http://habrahabr.ru/post/249765/
naleznete clanek s popisem a rozborem od cloveka, ktery malware objevil,
jak jej objevil, a jak moc se divil, kdyz na jeho posty na forech ruznych antivirovych spolecnosti nikdo nereagoval. A jak se divil jeste vic, kdyz najednou se "objeveni" malwaru naslo na blogu avastu, pod hlavickou avastu a bez uvedeni autorstvi rozboru.
To az nekde v komentarich pod blogpostem najdete kratoucke podekovani autorovi, a to jen protoze se sam ozval.
