Vlákno názorů k článku SHA-1 není bezpečná, Google ukázal kolizi od Petr M - Tak. A teď bude zajímavý sledovat remcaly, co...
-
j (neregistrovaný)
Remcalove tvrdej, ze cely sifrovani je khovnu, kdyz se dela tak, ze ty tzv "nebezepeny" sifry prestavaj fungovat, protoze tim se leda uzivatelum rika "nesifrujte, protoze to nefunguje".
Kvuli podobnym kokotum jako tem z chrozili udrzuju 5 verzi browseru a 5 verzi javy. K tomu brzi pribude flash (zajimavy, jak narozdil od javy i nejnovejsi flash vpohode zvladne desetileti starej obsah).
A sem vazne zvedav, kdy konecne nekdo vykopne moznost se prihlasit k "nezasifrovany" wifi ... pripadne znemozni pouzivat WEP. Sem vazne zvedav, jak vsichni rozslapnou ty svoje krabky a budou kazdyho 1/2 roku kupovat novy.
Pricezm tady jde o nebezpeci hypoteticko-teoreticky, kdezto s nefunkcnim systemem CA, kde se opakovane dlouhodobe ukazuje ze nebezpeci je zcela realny a kazdodenne pritomy, se nedela nic. Protoze i TB klic a 10 ruznych hashu je ti khovnu, kdyz stejnej klic ta tvoje uzasna CA vyda komukoli dalsimu.
-
Petr M (neregistrovaný)
Hledej na tom to pozitivní. Vyvine se tím tlak na firmy typu SPZ (Sbastlím - Prodám - Zapomenu), aby začali s nějakou údržbou firmware...
Tobě přijde normální, když si firma objedná za 100M mašinu, z daní ji odepisuje 10 let a po třech letech už se s ní nedá komunikovat, protože dodavatel na to hází bobek?
-
j (neregistrovaný)
Jenze dodavatel resi, jestli ta masina masinuje a hazi bobek na to, ze konfiguracni nastroj, kterej se pouzije jednou za rok, a kterej vzivote nikdo nikdy z internetu nepouzije, nepodporuje nejfrikulinstejsi verze sifrovani.
Zato ten servisak pak resi, ze k tomu prijde se svym notesem, a nefunguje mu to, protoze se zrovna opatchoval jeho ubezbezpecnej browser. Coz je porad jeste ten mensi problem, protoze servisak si zanadava a poradi. Kdezo BFu kterymu doma prestaho fungovat ovladani televize ... to vyresi jednoduse, nainstaluje zpatky verzi se kterou to funguje, a zakaze aktualizace. A presne tu verzi bude pouzivat i pro browseni po webu.
-
Otázka zněla, zda ti přijde normální, že na mašinu za 100M po třech letech už výrobce hází bobek.
A to se vůbec nemusíme bavit o šifrování. Aktuálně řešíme případ se zařízením, jehož pořizovací cena byla přes milion a jehož předchůdce fungoval bez mála 30 let. A u tohoto zařízení je problém technického rázu s jednou součástkou. A dodavatel nám řekl, že to nebude dále řešit, že my si máme pořídit do zásoby tuto součástku a že on to bude jen vyměňovat (samozřejmě že mu to pokaždé zaplatíme).
Tenhle přístup, kdy dokonce odmítají mít i skladem náhradní díly na již prodané stroje je teda dost ... nešťastný.
U zařízení za tyto částky bych očekával jiný přístup. A zrovna opatchovat firmware je ta nejmenší práce. Nehledě na to, že u výrobku v cenové kategorii 100M bych možná očekával speciální terminál pro ovládání té mašiny a nikoliv obyčejný webový prohlížeč.
-
j (neregistrovaný)
Masina za 100M se bude pouzivat 30let. Sem si skoro jistej, ze porad najdes v provozu "CNCcka" programovany dratovanim.
Pristup je danej smlouvou, pokud mas smlouvu na ktery dodavatel nic negarantuje, tak mas servis tomu presne odpovidajici = zadnej. Samo, muzes reagovat tak, ze od takovyho dodavatel uz nic nekoupis, coz ti je hovno platny, kdyz tu masinu mas, a vyhodit ji nechces.
Se podivej jakej uzasne servis se poskytuje v IT ... zaplatis dvojnasobek ceny ... a ... vymena disku trva mesic. Mezi tim chcipnou dalsi dva. Zaklatis "100% garantovanej geografickej cluster" ... a staci par kapek vody aby "cluster" nejen dlouhy dny nefungoval vubec, ale i prisel o data.
A ted do tyhle situace, kdy ani za miliony nedostanes support, dosad BFUcka s jejich kramama za par stokorun, maximalne tisicikorun. ...
btw ... sem tak nejak kolem zaslech, ze ten uzasnej, naprosto nejbezpecenjsi router na svete ... vydal uzasnou paradni aktualizaci ... ktera ho dokonale sejmula. Copak udela BFU? Mno pude reklamovat. Co udela prodejce? No posle to dodavateli ... a uz tohle stoji vic, nez ta krabka. A uz vidim ten nadhernej soudni spor, kdyz vyrobce vyda takovou aktualizaci po zaruce, a odmita uznat reklamaci.
btw2: Tech masin za miliony mas plnou halu, chces sledovat co se kde podelalo, a ne najmout 30 lidi, ktery to budou obchazet a zkoumat na lokalnich terminalech.
-
Sem si skoro jistej, ze porad najdes v provozu "CNCcka" programovany dratovanim.
Drátováním nevím, ale stále mám (byť velmi omezený) přístup k mašině na děrné pásky.
Pristup je danej smlouvou, pokud mas smlouvu na ktery dodavatel nic negarantuje, tak mas servis tomu presne odpovidajici = zadnej.
Ano, to dnes víme taky, že minulé vedení podepsalo nevýhodnou smlouvu, ale kdo by to byl tušil u zařízení v této cenovce, že.
Mimochodem je zajímavé, že tento přístup (ošetřit si vše smlouvou) nepoužíváš u těch tvých krabiček, které tě kdosi nutí každého půl roku vyměňovat. Proč si to smlouvy nedáš položku, že podpora musí být minimálně 10let? ;-)
Tech masin za miliony mas plnou halu, chces sledovat co se kde podelalo, a ne najmout 30 lidi, ktery to budou obchazet a zkoumat na lokalnich terminalech.
Tyto mašiny mají svou údržbu a revize, takže ty lidi stejně potřebuješ. Ne všechno se dá zvládnout od síťového terminálu.
-
Cena nevypovida zhola nic o kvalite.
To sice nevypovídá, ale současně člověk neočekává, že se ho snaží ojebat firma, co je na trhu několik desítek let a u zařízení v této kategorii. Kdyby se kupovalo něco na tržnici se slevou za 20Kč a ono to nefungovalo, tak neřeknu ani popel.
Společnost, ve které se budeme chtít všichni vzájemně ojebávat nemůže fungovat.
-
Ondro (neregistrovaný)
Staci, ze tu firmu posobiacu na trhu desiatky rokov niekto vecsi kupil alebo zmenila majitelov a s nimi sa zmenil aj pristup k zakaznikovi.
Ten dodavatel je aj vyrobca? Ak nie obratil by som sa na vyrobcu, zvykne to pomoct, hlavne ked dodavatel je nejaka tuzemska firma. Mam zle skusenosti s tuzemskymi dodavatelmi. Ty sa casto snazia zbavit zodpovednosti a tutlat veci. Ked kontaktujes vyrobcu, tak ma casto snahu riesit veci normalne.Dnes cenova kategoria nic neznamema. Mam podobne skusenosti.
Drahe zariadenia maju vyrobnu vadu( neumyselnu, setri sa pri navrhu a testovani, alebo aj na odbornosti vyvojarov, ktory ich navrhuju) alebo sa setrilo na zlom mieste(najcastejsie napajacie zdroje so smejd kondenzatormi).Mame tu teraz vahy za 1000-1500Eur kus, kde po tak zhruba 6 rokoch odchadzaju zdroje kvoli jednemu kondenzatoru. Dodavatel meni zdroje, ktory jeden stoji zhruba 150Eur.
My ich opravujeme - dlzka opravy tak pol hodiny + kondenzator v cene par centov. Starsie verzie vah tohto vyrobcu funguju veselo 15 a viac rokov bez poruchy.Iny vyrobca vah, kde zdroje odchadzaju tak po 15 rokoch, bez problemov dodava sadu kondenzatorov na opravu.
-
ehmmm (neregistrovaný)
Tak v tomhle pripade souhlasim s j.
Kdyz se prokaze, ze je sifra slaba, tak to jeste nema znamena, ze se zacne odstranovat ze softwaru, ktery se tvari, ze bez nej nelze zit, a ktery ma snahu se sam kazdou chvili aktualizovat.
Budes se divit, ale zrovna udrzba firmware je v prumyslu dost nezadouci.
Zakaznik vysoli 100M a chce, aby to fungovalo, aby ten stroj jel 24 hodin v kuse, udrzba aby tak maximalne dolila olej. On takovy stroj za 100M uz neni tak uplne seriovy stroj, spis to bude nejaka masina, ktera se na miste nejakou dobu (tydny? mesice?) davala do kupy a ozivovala.
Zakaznik rozhodne nema zajem na tom, aby mu tam co pul roku jezdil nejaky student od dodavatele upgradovat firmware a potom dva dny dohledaval, co diky upgradu zrovna prestalo fungovat. A to jenom protoze Google dokaze za rok na svem clusteru najit druhy dokument se stejnym hashem a tim padem je potreba z dohledoveho SW vyradit SHA1.
Nedej buh, aby si lis aktualizoval firmware sam po internetu.
Staci ze musi jednou za rok zaplatit za nejakyho drahyho nemeckyho smudlu v monterkach, ktery tam priletel do Prahy, autem prijel k zakaznikovi a ma den na to, aby stihnul odborne rozebrat a vycistit tri stroje a nejpozdeji druhej den uz zase jel zpatky, aby stihnul letadlo.A s tou aktualizaci. Myslis, ze kdyz jedes s autem na pravidelny servis (za predpokladu, ze mas nejake chytrejsi auto), tak ze ti tam krome oleje a brzdovky sami vymenuji i firmware? Ne ze by to nebylo mozne, ale dost bych se divil. A co se tyka dieselgate, tak tam bych to snad ani nechtel, radsi kdyz to bude jezdit, nez kdyz to bude splnovat nejake urednicke euro 123.
-
Filip JirsákStříbrný podporovatelPíšete v příliš obecných pojmech, proto jste se do toho zamotal. Buď máte nějaký jednoúčelový firmware, který řeší jednoduché věci. Není tam žádný HTTP server natož nějaké SSL. SHA-1 tam třeba může být jako ověření pravosti přenášených dat, která se posílají třeba po sériové lince. Pak je vám ale úplně jedno, že nějaký webový prohlížeč neakceptuje certifikáty podepsané SHA-1, protože mezi webovým prohlížečem a tím zařízením není vůbec žádná souvislost – to zařízení nekomunikuje ani po TCP/IP, natož aby komunikovalo přes HTTPS.
Nebo máte zařízení, které má být dostupné kde komu, takže se s ním bude komunikovat přes webový prohlížeč. Pak v takovém zařízení musíte mít implementovaný TCP/IP stack, musíte tam mít implementovaný webový server a SSL. Pak ale samozřejmě musíte počítat s tím, že se to zařízení bude průběžně upgradovat, protože nikdo nemůže tvrdit, že napíše bezchybný software, ve kterém implementuje TCP/IP, HTTP a SSL v takové kvalitě, aby bylo bezpečné ještě za deset patnáct let.
Pokud někdo koupí zařízení za 100M pro provoz 24×7, do kterého někdo zbastlil jakousi podporu TCP/IP, HTTP a SSL, u které se s žádnými upgrady nepočítá, tak musí zajistit bezpečnost toho zařízení, tedy ho musí vyčlenit do chráněné sítě, ve které bude vedle tohoto zařízení ještě speciální počítač se speciálním softwarem pro management toho zařízení. Tedy opět nic, kde by se vyskytoval běžný webový prohlížeč, kterým brouzdáte po webu, nakupujete v eshopech, čtete e-maily a používáte internetové bankovnictví.
Nebo-li to vaše zařízení za 100M a běžný webový prohlížeč se nikdy nepotkají ani v jedné síti, natož aby spolu komunikovaly. Pokud někdo stroj za 100M, který má běžet 24 hodin v kuse a který se uvádí do provozu týdny nebo měsíce, konfiguruje z webového prohlížeče, ve kterém má na dalších záložkách YouTube, Facebook a Novinky, pak pro něj nedostupnost kvůli SHA-1 bude ještě velice levným varováním, že něco dělá hodně špatně.
-
ehmmm (neregistrovaný)
V podstate mate pravdu, obvykle to je skoro jako vase varinata 3. HTTP tam je, protoze dle managementu (at uz dodavatele nebo zakaznika) "stav zarizeni musi jit sledovat mobilnim telefonem". Samozrejme tomu odpovida kvalita, tedy "hlavne at to tam je". Zaplatpanbuh to nejspis nikdo do ethernetu nepripoji.
Ale zpakty k "Tobě přijde normální, když si firma objedná za 100M mašinu, z daní ji odepisuje 10 let a po třech letech už se s ní nedá komunikovat, protože dodavatel na to hází bobek?" Budu se opakovat. Ale me neprijde normalni, ze se s ni neda komunikovat a prijde mi normalni, ze se neaktualiyuje firmware kvuli kazde blbosti jako je prolomeni SHA1.
-
Filip JirsákStříbrný podporovatel
To ale není pravda, že se s tím zařízením nedá komunikovat. Nedá se s ním komunikovat s aktuálním prohlížečem. Jenže když máte zařízení, které má nezáplatované bezpečnostní díry, tak k němu určitě nechcete přistupovat přímo z běžného webového prohlížeče. Buď použijete nějaký speciální prohlížeč, nebo mezi to zařízení a prohlížeč postavíte nějakou bránu, která bude provoz filtrovat, aby se k tomu nezabezpečenému zařízení nedostal nějaký útok.
-
ehmmm (neregistrovaný)
A to je prave to, v cem se proste neshodneme. Kdyz se k tomu dalo pripojit beznym prohlizecem pred deseti lety, tak proc se tomu nemelo jit pripojit beznym prohlizecem ted. Zvlast kdyz se ten prohlizec jmenuje porad stejne, jen se zmenilo cislo verze.
I kdyz uznavam, ze treba ve sveta PLC je jasne, ze 15 let stare PLC nenaprogramuju soucasnym SW, ale ze musim nekde oprasit stary NB s WinXP a starou verzi programovaciho SW. (Ani tak ne kvuli bezpecnosti, jako spis protoze nova verze SW uz nepodporuje starou radu PLC.) Ale programovani PLC povazuji za trochu neco jineho nez "kouknout se na www stranky zarizeni".
-
Filip JirsákStříbrný podporovatel
Protože špatně bylo už to, že jste se k tomu připojoval běžným prohlížečem před deseti lety. To, že někdo prohlížeč takhle špatně používá, není důvod, proč prohlížeč kazit všem ostatním. A bez toho kažení ostatním to bohužel nejde, protože jakmile budete mít v prohlížeči snadno dostupnou možnost přepnutí na nebezpečné protokoly, útočníci toho zneužijí.
-
Idealnim resenim by bylo vytvorit prohlizec, ktery by deklaroval, ze je zamereny na komunikaci s takovymito zarizenimi. Podpora vycpelych protokolu, zkazenych certifikatu (tak dlouho po maximalni dobe trvanlivosti preci nemuzou byt pozivatelne), a tak podobne. Nevyhoda soucasnych mainstreamovych prohlizecu je, ze nemuzete mit snadno dve verze na jednom pocitaci, aniz byste se bal o to, ze jeden prepise nejaka data z uzivatelskeho profilu pro ten druhy. Na druhou stranu, tohle by v dnesni dobe mohlu resit kontejnery nebo i plna virtualizace.
-
ehmmm (neregistrovaný)
"Protože špatně bylo už to, že jste se k tomu připojoval běžným prohlížečem před deseti lety."
Ale vzdyt to je prece to. Ze nepotrebuju mit ke kazde blbosti na notebooku nainstalovanou konkretni konfiguracni aplikaci, ale ze to vsechno pujde z www prohlizece. V dnesni dobe z www prohlizece v mobilu.Jak navrhuje ebik pode mnou. Udelat prohlizec, ve kterem se daji vsechny tyhle stare veci zapnout, tak jsem naprosto spokojen. Zabezpeceni at si resi ajtaci.
-
Filip JirsákStříbrný podporovatel
Jenže to je špatně, pokud k nezabezpečenému zařízení budete přistupovat univerzálním prohlížečem. Pak může být to zařízení přes prohlížeč snadno napadeno a odstaveno nebo dokonce zničeno. To si musíte rozmyslet – buď je to opravdu zařízení, u kterého si nemůžete dovolit výpadek, a pak se musíte postarat i o jeho bezpečnost a používat speciální bezpečný software. Nebo je pro vás důležitější pohodlí, nějaké výpadky a odstávky nevadí, no a pak by zase neměl být problém ho udržovat aktualizované. Ostatně psal jste, že to zařízení jednou za rok přijede seřídit nějaký technik z Německa – tak proč nechcete být stejně náročný i v softwarové části? Nebo proč nejste stejně benevolentní, jako u toho softwaru, i při řešení toho hardwaru – a když vám pro správu má stačit obyčejný prohlížeč, proč vám pro seřízení nestačí firemní údržbář, který se jinak stará o dveře, světla a topení, s pořádným kladivem?
-
ehmmmm (neregistrovaný)
A k tem zarizenim existuje nejaky specialni bezpecny software? Verte tomu, ze napriklad protokoly k ruznym PLC jsou fakt trivialni, nikde nemaji zadna hesla (respektive maji, ale nikdy je nikdo nenastavuje, respektive nastavuji se pouze u hodne podezrelych zakazniku). Paket pro zapis do pameti vetsiny PLC je fakt smesne jednoduchy. Jakmile se jednou pripojite do lokalniho ethernetu dane skupiny stroju a vite co a jak, tak muzete v podstate vsechno. Nejaka SHA1 je proti tomu o nekolik levelu vyse.
Kdyz technik z Nemecka v ramci udrzby neco mechanicky poskodi, tak se dost snadno prijde na to, co se stalo. U software mi to tak neprijde, respektive urcite na to neprijde ten technik z Nemecka, on je sice z Nemecka, ale v oblasti SW moc chytrej neni. (Kdyz uz ma s sebou notebook, tak jedine, aby nekde poladil nejake konstanty.) SW je ve srovnani s HW cerna dira, na kterou se pokud mozno nesaha, protoze jak se rika "V kazdem programu je chyba a opravenim jedne chyby vznikaji dve dalsi."
A jinak navrhuju to ukoncit, oba jsme evidentne v tomto stavu:
https://xkcd.com/386/ -
lojzak (neregistrovaný)
Nechápu, co se tu řeší. TLS 1.0 bylo definováno v roce 1999, SHA-2 v roce 2001, AES pak v roce 1998. RSA tu je hodně dlouho, ale až v roce 1997 bylo uveřejněno. Nějakou dobu trvalo, než byly implementovány v crypto knihovnách. Pokud by, řekněme od roku 2002, používali vývojáři kombinaci TLS_RSA2048_AES128_SHA256, tak by nebyl nejmenší problém s kompatibilitou s browsery na několik desetiletí. Podle aktuálního doporučení NISTu by taková kombinace měla stačit nejméně do roku 2030.
Jestli vývojáři SW pro mašinu za 100M, u které se předpokládá životnost několik desítek let, použijí crypto sady, které tak dlouho nevydrží, pak jejich problém. Není to problém vývojářů browserů a už vůbec to není problém ostatních uživatelů, které by podpora starých crypto sad ohrožovala. Není prostě možné kvůli skupině 0.001% techniků, kteří se budou k takové mašině připojovat, ohrozit zbylých 99.999% obyčejných uživatelů.
Buď by měla mít mašina za 100M adekvátní podporu a nebo je to prostě nutné řešit jinak. Například speciální browser pro konfiguraci a nebo nějaká MITM proxy mezi mašinou a browserem.Minimálně od roku 2005 se ví, že SHA-1 je slabý algoritmus a od roku 2010 není doporučeno ho používat.
-
j (neregistrovaný)
2lojzak ... Nechápu... no to vime ze ty nechapes, vubec nic ... rec totiz byla o tom, ze ani za desitky nebo stovky mega nedostanes to, co TY chces aby dostal kazdej BFU za stokoruny. A ten BFU tu svoji krabku za kilo pouzivat chce a pouzivat bude, muzes se z toho klidne posrat, muzes klidne chodit po usich, ale nic nezmenis na tom, ze ta jeho krabka pouziva to co ji dal vyrobce do vinku a NIC jinyho NIKDY umet nebude.
Muzes mu tak maximalne umoznit pouzivat maximum co mu jeho krabka umozni, ale kdyz mu to vemes, tak on proste bude pouzivat TO, co JEMU funguje, a to je v tomhle pripade stara verze browseru se zakazanou aktualizaci, protoze to je presne to, co dela co on chce.
-
lojzak (neregistrovaný)
@j
"no to vime ze ty nechapes, vubec nic "
Kdo my? Je vás víc a nebo používáš pluralis majestatis?"rec totiz byla o tom, ze ani za desitky nebo stovky mega nedostanes to, co TY chces aby dostal kazdej BFU za stokoruny."
To je ale pak problém kupujícího, že si neumí vybrat pořádné zařízení. Minimálně od roku 2002 mohou výrobci zařízení použít pro HTTPS šifrovací sady, u kterých se ví, že budou spolehlivě fungovat s aktuálními browsery nejméně do roku 2030. Ale holt když jsou někteří vývojáři pitomci a nepoužijí adekvátní zabezpečení, tak trpí i zákazník."A ten BFU tu svoji krabku za kilo pouzivat chce a pouzivat bude, muzes se z toho klidne posrat, muzes klidne chodit po usich, ale nic nezmenis na tom, ze ta jeho krabka pouziva to co ji dal vyrobce do vinku a NIC jinyho NIKDY umet nebude."
Já mu tu krabku za kilo neberu. Já jen nechci, abych byl ohrožován přitomností slabých protokolů a algoritmů v prohlížeči, jenom kvůli nějakému joudovi, který si koupil krám, co nic neumí.
Kolik uživatelů browseru potřebuje přistupovat na špatně zabezpečená zařízení? Asi tak 0.01%? A kvůli tomu má být ohrožována majorita?"Muzes mu tak maximalne umoznit pouzivat maximum co mu jeho krabka umozni, ale kdyz mu to vemes, tak on proste bude pouzivat TO, co JEMU funguje, a to je v tomhle pripade stara verze browseru se zakazanou aktualizaci, protoze to je presne to, co dela co on chce."
No vidíš, že to nějak půjde. Když chce používat starý browser, jeho blbost.Víš milé "jéčko", udivuje mě na tobě jaký jsi liberál ohledně podpory slabých crypto protokolů a současně jaký jsi diktátor třeba ohledně IPv6. Chtěl bys třeba, aby Google vypnul IPv4 jakmile dosáhne 6 alespoň 30%. Tady ti nevadí, že některé "krabky za kilo" nikdy IPv6 umět nebudou? Jak si mám vysvětlovat takový názorový protiklad? Trpíš schizofrenií? Tím by se vysvětlovalo, proč o sobě mluvíš v množném čísle.
-
j (neregistrovaný)
Jisteze, trotl jako ty samo nemuze vedet, ze ipv6 je z roku 1995, to je nejakych jen tak mimochodem (protoze pocitat taky jiste neumis) 22 let.
Nevsim sem si ze by nekdo vypinal sifrovani, ktery se 22let nepouziva, zato sem si vsim, ze se kreteni jako TY snazej vypinat veci, ktery se pouzivat jeste peknych par mesicu nebo let budou.
A ta jeho blbost je tvuj problem, protoze prave trotl jako TY tu pak bude brecet, ze mu na tu jeho jednu IPv4 za kterou ma pres 4 NATy 10k lidi ... tech 10k lidi s tema starejma browserama utoci, protoze chtej aby jim fungovala jejich lednice.
-
lojzak (neregistrovaný)
@j
No vidíš, zhruba ze stejné doby pocházejí protokoly a šifrovací sady, které bude možno bezpečně používat až do roku 2030.
"Nevsim sem si ze by nekdo vypinal sifrovani, ktery se 22let nepouziva, zato sem si vsim, ze se kreteni jako TY snazej vypinat veci, ktery se pouzivat jeste peknych par mesicu nebo let budou."
Pokus se to přeformulovat na srozumitelnou větu."A ta jeho blbost je tvuj problem, protoze prave trotl jako TY tu pak bude brecet, ze mu na tu jeho jednu IPv4 za kterou ma pres 4 NATy 10k lidi ... tech 10k lidi s tema starejma browserama utoci, protoze chtej aby jim fungovala jejich lednice."
Jéee, to je vtipný, jak ses do mě pustil. Jenom nechápu, jak jsi přišel na to, že jsem odpůrce IPv6. Takže sis zbytečně vyplýtval jedy.
Ty jsi totiž nepochopil, že jsem chtěl poukázat na rozpor ve tvých názorech. Na jednu stranu bys chtěl, aby browsery podporovaly všechny staré crypto sady, i když to je nebezpečné, ale na druhou stranu bys všem hned vypínal IPv4. -
j (neregistrovaný)
Nikoli, to jen negramot jako ty nedokaze pochopit rozdil, navic mas zjevne kristalovou kouli ze si dovolujes tvrdit, ze neco bude mozny pouzivat jeste dalsich 13 let ... lol
Mam tu krabku starou 15 let ... a ... zazrak ... ipv6 ... umi. I win XP ipv6 umej, sice blbe, ale uplne stejne blbe jako win 10. Dost pochybuju, ze ma kdokoli doma cokoli, co ipv6 neumi.
Zato denne resim to, ze se neda na nejakou z tech krabek pripojit, protoze browser prohlasuje, ze to neni bezpecny a tvrdi mi, ze kdyz to heslo poslu pres http, je to naprosto OK.
-
lojzak (neregistrovaný)
@j
Tak ono se dost věcí ví dopředu. Taková doporučení NISTu ohledně šifrování jsou poměrně spolehlivý ukazatel. A třeba o SHA-1 se ví minimálně od roku 2005, že je více náchylná na kolize, než se myslelo. Od roku 2010 se podle NISTu nemá používat vůbec, pokud by měla mít bezpečnostní funkci.
Vysvětli mi, proč by měl výrobce těch krabek používat z hlediska bezpečnosti překonanou hašovací funkci, když existuje adekvátní náhrada.
"Mam tu krabku starou 15 let"
No vidíš, když jsi před 15 lety dokázal vybrat krabku, která v pohodě umí IPv6, tak proč nevybereš takovou, která podporova adekvátní crypto sady, u kterých se ví, že i v budoucnu budou podporované."Zato denne resim to, ze se neda na nejakou z tech krabek pripojit, protoze browser prohlasuje, ze to neni bezpecny a tvrdi mi, ze kdyz to heslo poslu pres http, je to naprosto OK."
A já zase doma nemám ani jednu krabku, kde by byl problém s šifrováním, ale zato mám spoustu krabek, které neumí IPv6. A na rozdíl od tebe nebrečím, že mi něco nefunguje, prostě příště vyberu lépe.Ještě jednou ti zopakuji pointu. Kdyby výrobce nějaké té krabičky od roku 2002 používal kombinaci TLS 1.0_RSA2048_AES-128_SHA256, tak nemáš nejmenší problém se i teď, po 15 letech připojit. A zřejmě nebudeš mít problém ani v budoucnu.
A taky si uvědom, že jsi menšina. Jenom pár lidí se potřebuje připojovat ke krabkám se slabými crypto sadami. Majorita se ti přizpůsobovat nebude, zvláště, když by to znamenalo bezpečnostní riziko. Stav se třeba na hlavu, ale nic nezměníš.
Buď používej starý browser a nebo si udělej nějaký vlastní. Hlavně prosímtě přestaň s tím brečením. -
Trident (neregistrovaný)
Na kurzech ekonomie nam jeden pan rikal ze to jsou firmy typu "Trhni a Zdrhni".
Vase firma nezna neco jako support contract po dobu odpisu? Ze by knedlikove IT a management? U nas se objednava aspon na 5 let u levnych veci cca do milionu, u drahych veci za desitky a stovky milionu do tovaren i na dele(ano delame to lip, zadna skromnost). Nicmene pro nektere specificke a zanedbane technologie tohoto typu se drzi nekolik dedikovanych HW se starou konfiguraci do zasoby a custom support kontrakty klidne s NTcky,XPcky nebo starym OS2 a cekaji se az dozijou. 10 let neni zas az tak dlouho. Obvykle v praci resim horsi zombie.Je to takova moje profesni specialita;)
Prikladem ktery mne napada od nas z CR a blizka beznym smrtelnikum.budiz bankomatova sit jedne vyznamne instituce ktera snad jeste i nyni jede na NTckach 4.x. -
Hele, v jiných diskusích odpovídáš rozumně, tvůj slovník + znalosti je tady svým způsobem unikátní kombinace, tak si to nepokaž. ;-)
U některých funkcí se to ví tak dlouho dopředu, že se mezitím stihla vystřídat celá jedna generace hw, takže je skoro s podivem, že si někdo dokáže vybrat takový, který nepodporuje nic novějšího.
Aktuálně lze mít kontinuálně od roku 1999 (TLS 1.0) až dodnes stále jeden šifrovací standard (pokud to tehdy někdo udělal dobře), protože dodnes bezpečná sada šifer existovala již tehdy (ok, možná bude potřeba natáhnout velikosti klíčů). Což je 18 let.
To asi tak celé, co jsem chtěl napsat k tomu "každého půl roku kupovat nový". Sám víš, že to není pravda, o všech funkcích se to vědělo roky dopředu a žádná novinka to není.
-
j (neregistrovaný)
To jiste ... 99 rikas ... chmm DD-WRT (11/02/2009) ... cannot be shown because the authenticity ...
Ta vec normalne funguje a dela exaktne to, co delat ma. (s open wrt to dopadne exaktne stejne, jen ta verze bude o cca 2 roky starsi). Http funguje ovsem bez potizi, takze se prave bfucku reklo "v zadnym pripade nepouzivej https, protoze to nefunguje".
Jo a ... staci se rozhlidnou po rootu ... to je taky paradni ukazka. Js nacitajici http, pripadne deravy https ...
-
Petr M (neregistrovaný)
1. Kolik BFU používá a administruje WRT?
2. DD-WRT je trochu out, na svůj router v dílně nemám novější verzi, než 2012. Takže to bych jako relevantní argument moc nebral... Navíc DDčko je pro ty nejosekanější obludy, kde prostě na nic není výkon ani paměť.
3. OpenWRT je celkem živý projekt a SHA-256 používám naprosto standardně.Nebude problém v tom, že si koupíš HW za pětikilo, narveš do toho alternativní FW co je pár let v klinické smrti (protože kdo verzi pro tvůj router stvořil, ten už si koupil něco lepšího a na podporu šrotu kašle) ? Když k tomu přidám tvou snahu vyrovnat se BFU (=předpokládáš, že si BFU flashne router) a že svou neschopnost a předpokládáš u všech ostatních, tak se nedivím, že reaguješ jak reaguješ.
-
j (neregistrovaný)
Kazdy jedno BFU ma dome nejakou krabku na internet, na ktery potrebuje obcas neco nastavit, kazdy jedno BFU ma doma televizi, kterou rozhodne pristich 15-20let bude pouzivat, velmi brzo to budou lednice, mikrovlnky, pracky, mycky atd atd.
Jiste, tenhle routrik stal svyho casu jen cca 3k5 - teda dovoz z nemecka, u nas cca 5k, coz v soucasnych cenach odpovida rekneme 8k. A novejsi firmware pro nej neexistuje. Teda samo, moh bych si pripadne prekompilovat svuj, ale proc bych to mel delat, a specielne sem zvedavej, jak to bude delat to BFUcko, protoze to tam necha firmware vyrobce, kterej vyjde naposled v nejlepsim pripade 1/2 roku po nakupu. Jo, v tomhle pripade na to vyrobce vydal aktualizaci jeste rok potom, co to prestal vyrabet, precijen je to sice domaci hracka, ale cisco ...
A uz vidim jak zivy, jak si nekdo kupuje krabku na internet za 50k ... aby to mel s 5 lety supportu. A jestli tu nekdo predpoklada flashovani routeru, tak to ses leda ty.
-
Petr M (neregistrovaný)
Mikrotik stojí 50k? A třeba jako WiFi AP se dá kidně použít nejmenší OrangePi, a nějaký aktuální klon Debianu seženeš vždycky.
A co se odbornosti týká, tak každý řidič má něco, co je potřeba jednou za čas seštelovat - brzdy, předstih,.. Když to neumí, dá to do servisu. Takže to, že mám nějakou věc, potřebuju jednou za čas s tou věcí něco udělat a neumím to, není argument. To stejně můžu namítnout, že neumím v autě seštelovat posilovače, tak zakážu všechno novější než Žigulík.
-
j (neregistrovaný)
Mikrotik nestoji 50k a taky nema zadnej support. To sem si takhle sel opatchovat mikrotika, a prestala fungovat vpn(jo, opravili to, za dalsich 10 verzi). Jindy zaclo padat dhcp ... opet, ja si poradim, BFU je v haji. Proto vyrobci zadny aktualizace nevydavaj, protoze to nehodlaj riskovat. A proto ja ani toho mikrotika neaktualizuju, protoze se stim nehodlam babrat.
Co funguje do toho se nehrab - zlaty pravidlo kazdyho svepravnyho admina.
BTW: Bez se zeptat nejakyho wifinare, co ma desitky mikrotiku v siti, jak je aktualizuje, urcite ti nadsene poreferuje.
24. 2. 2017 10:28 redakčně upraveno, důvod: Prosíme slušně! -
Petr M (neregistrovaný)
A jaký je pode tebe kritérium pro "funguje"?
a) BFU se dostane na web. Ale díky natování je to všechno, co zvládne. Funguje taková síť?
b) Síť nepodporuje IPv6. Je taková síť na 100% funkční?
c) Zákazník očekává přenos zprávy zašifrované tak, že nikdo mimo něj a příjemce zprávu nepřečte. Je zařízení funkční (z pohledu splnění požadavků zákazníka), když použije prolomenou šifru?
d) Zákazník si platí řekněme 20Mbps, z toho 18Mbps pro sebe používá spambot díky 0-day v routeru a zákazníkovi se seká fotbal v telce. Je to funkční služba, za kterou si zaplatil?
e) Nedávný útok na nezáplatovaný Ubiquity. Byla to funkční síť? Admin do ní přece roky nehrabal... než musel sednout do auta a objíždět každou krabičku.Myslím, že už jsi dneska nakrmený dost...
-
ma doma televizi, kterou rozhodne pristich 15-20let bude pouzivat
Tak televize má snad vlastní rozhraní ne? I s monitorem :-D
Akorát s těmi 15-20 lety bych to neviděl tak optimisticky, protože ti zruší vysílání ve staré normě a jsi víš kde. Kodeky jsou HW, takže žádný update firmware z h264 neudělá podporu pro h265.
A jestli si někdo pořídí mikrovlnku s https rozhraním, tak je to asi jeho problém. To zařízení nemůže bejt jednodušší (HV trafo, magnetron, časovač), to vydrží věčně, a jestli někdo má potřebu si tam nechat zamontovat i celý komp, tak mu asi není pomoci. (Jinými slovy nechápu, proč by zrovna mikrovlnka měla být připojitelná na počítačovou síť.)
-
Přesně tak, digitálně podepisované či datovou schránkou posílané dokumenty by měly být tak jednoduché, jako ta mikrovlnka. Čili žádné PDF, DOC, JPG, ale plaintext. Kdo by chtěl vytvořit kolizní dokument s jiným textem, ale stejným hashem, by pak musel v textu zvolit a pak permutovat dvacítku znaků, což se v prostém textu nepozorovaně provésti nedá.
-
j (neregistrovaný)
"Tak televize má snad vlastní rozhraní ne? I s monitorem :-D"
To ma, a taky ethernetovej konektor a webovy rozhrani. A k nemu se bud muzes pripojit pomoci browseru, nebo treba pomoci appky ze svyho mobilu. Nesifrovane, protoze telku ktera by provozovala vubec nejaky https sem jeste nevidel. A vyrobci zjevne dobre vedi proc.
1/2 domacnosti stale minimalne jako sekundarni provozuje CRT ... s nejakou krabkou.
Jisteze je to jeho problem, on se podle toho zaridi, bude pouzivat tu verzi browseru, se kterou mu to funguje. A s nim dalsich par miliard lidi. A tady se pak bude probirat, jak vyresit ty miliardy zombiku co zahlcujou net. A to vsechno proto, ze sme tomu BFUcku ve jmenu bezpecnosti ... zakazali ty ... nebezpecny sifry.
-
> Aktuálně lze mít kontinuálně od roku 1999 (TLS 1.0) až dodnes stále jeden šifrovací standard (pokud to tehdy někdo udělal dobře),
Hodně teoreticky. Nejde jen o implementační chyby, TLS 1.0 má návrhové chyby, ke kterým existují workaroundy. Namátkou BEAST (pravda, tady je správný workaround na straně klienta*) nebo padding oracles, pokud pošlu chybové hlášky přesně podle podle specifikace (AFAIR by se mělo rozlišovat mezi bad padding a bad mac, což není bezpečné). A věřím, že toho bude víc.
Čímž nerozporuju poslední odstavec.
*) RC4 je workaround na straně serveru, ale víme, kde je dnes RC4…
-
Ondra Satai NekolaZlatý podporovatelA když jsou funkční výrazná zlepšení systému CA, tak zase remcáš, aniž bys řešení vůbec pochopil...
https://www.root.cz/clanky/google-zverejneni-tls-certifikatu-bude-za-rok-povinne/nazory/
-
U šifrování jsou legacy algoritmy a protokoly problém. Vzpomeňte si třeba na DROWN. Legacy SSL2 moc lidí netrápilo, protože to přece žádný rozumný klient nepodporuje… Nebo POODLE – už dávno se SSL3 moc nepoužívalo, ale útočník mohl udělat downgrade spojení na SSL3, takže onen legacy algoritmus snižoval zabezpečení.
Jakou navrhujete alternativu k zaříznutí nebezpečných algoritmů a protokolů? Má se podporovat všechno donekonečna, i když to není bezpečné? Co tím získáte? Leda falešný pocit bezpečí, že vám funguje HTTPS s legacy strojích. Ale takové HTTPS dříve nebo později nebude zaručovat nic. A to nejen u těchto legacy strojů, ale ani u serverů, kde se na bezpečnost dbá.
Legacy stroje, kterého nedostávají žádné aktualizace, je těžko udržet bezpečné – nejenom kvůli HTTPS, ale mohou tu být různé jiné zranitelnosti, kterými útočník může třeba až vykonat libovolný kód. Ale pokud bych se měl snažit s tím legacy crapem udělat, co umím, tak reverzní proxy je poměrně jednoduché opatření, které vyřeší kompatibilitu a trochu i bezpečnost.
-
Možnost to povolit pro danou doménu je ještě relativně rozumná. (I když: proč tu vlastně chcete HTTPS, když zároveň to nechcete pořádně zabezpečit? Co zde HTTPS přinese? Stojí za to zde učit uživatele odklikávat chybové hlášky?)
Automaticky akceptovat nevyhovující spojení ale není dobrý nápad – to může snadno leaknout URL nebo cookies atd. v tomto stylu: http://www.lamer.cz/quote/50132
