Vlákno názorů k článku
Chrome bude HTTP označovat jako „nezabezpečené“ od července
od Miroslav Šilhavý - Mně se zdá, že v těchto diskusích chybí...
-
Mně se zdá, že v těchto diskusích chybí úvahy nad nějakou zásadou přiměřenosti.
Z hlediska uživatele je určitě HTTPS posun vpřed. O tom nemůže být diskuse.Z hlediska vlastníka obsahu už to tak jednoznačné není. Je spousta webů, kde se žádné citlivé údaje neposílají.
Zdá se mi, že se snažíme udělat digitální svět bezpečnější, než je ten hmotný. Podle stejné logiky bychom měli nejlépe zakázat pohlednice či dopisnice, protože na nich jsou také informace neskryté a lehce do nich může kdokoliv na poště něco dopsat. Pak bychom mohli vyžadovat, aby všechny dopisy chodily jen doporučeně a možná i na dodejku. Nakonec nám bude vadit, že poštovní doručovatel vidí adresáta a zavedeme "novinku" - P. O. boxy!
A proč neposíláme vše doporučeně, na dodejku a do P. O. boxů? Protože je to příliš nákladné a nic navíc to reálně nepřinese. Tam, kde je to potřeba, používají se doporučená a cenná psaní a dodejky.
Pokud se na webech posílají důvěrné informace, měla by to být zejména povinnost provozovatele. Nejprve by se zamyslel nad tím, jestli opravdu takové informace potřebuje přenášet. Teprvde pokud ano, měl by mít stanovenou povinnost zavést ochranu.
Mně nevadí HTTPS, nemám problém ho zavádět ani pro zákazníky. Vadí mi, že je o tom rozhodováno na sílu někým, kdo neponese náklady, ale rozprostře je na každého dalšího. To je špatně ne z technického pohledu, ale z principu.
-
j (neregistrovaný)
Z hlediska uzivatele je to naopak doslova pruser. Protoze jak sem psal vejs, dokud to pouzivaly vicemene jen banky, tak to uzivatel videl tak, ze zamecek = banka = je to OK. Pravdepodobnost, ze by vyznamnejsi cast uzivatelu narazila na web s "duveryhodnym" https tvaricim se jako jejich banka se blizila nule.
Kdyz se dneska zamecek zobrazuje vsude, neni treba ho zobrazovat vubec ... protoze informacni hodnota je nula. Stejne tak samozrjeme dneska i ten nejvetsi bridil co bude chtit rybarit nejaky ty mouly, si na to poridi cert od LE, a bude mit stejne zelenouckej zamecek jako ta banka.
A muzou za to vyvojari browseru, nebot jsou to tardi. HTTPS samo o sobe totiz bezpecnost vubec nijak nezlepsuje, a vzhledem k pristupu prave tehle volu naopak jen a pouze zhrosuje - snazi se totiz prave uzivatelum tvrdit, ze https === bezpeci, coz jednoduse neni pravda (a nikdy nebyla).
-
HTTPS samo o sobe totiz bezpecnost vubec nijak nezlepsuje, a vzhledem k pristupu prave tehle volu naopak jen a pouze zhrosuje - snazi se totiz prave uzivatelum tvrdit, ze https === bezpeci, coz jednoduse neni pravda (a nikdy nebyla).
Já s Vámi souhlasím. Navíc, pokud někdo může provést MITM útok, zejména pokud je na straně "blíž k serveru", pak může i MITM principem získat DV certifikát. Nemluvě o tom, že klíč k získání DV certifikátu je v přístupu ke správě DNS. A poskytovatelé DNS služeb prakticky vždy nabízejí password recovery prostřednictvím e-mailu, který chodí nešifrovaně.
Ano, odbouráme úplné trouby, kteří si někde v cestě (nejčastěji před poslendní mílí) nastaví transparentní proxy a odposlechnou nebo dokonce změní uživateli obsah.
Naopak si vytrénujeme ty, kteří najdou způsoby jak získat certifikáty - popsal jsem metodu MITM a metodu přes password recovery k DNS. Také se asi pomnoží pokusy přimět uživatele, aby si nainstaloval nový, nebezpečný "důvěryhodný" kořenový certifikát.
Prostě títmto postupem vše prodražíme a rizika nevymýtíme, jen je naopak povýšíme na další level. Bude radost řešit útoky MITM, když takový útočník bude mít certifikát, kterému bude uživatel důvěřovat.
-
Proč by šifrování mělo být použité jenom pro citlivé údaje? Napadnout digitální komunikaci je mnohem snazší a méně nápadné, a ochrana je mnohem levnější, než v případě pošty.
Autoři prohlížečů a hlavně uživatelé nesou náklady spojené s útoky využívajícími HTTP, to je z principu také špatně.
Zajímalo by mne, které jsou ty weby, kdy podle vás není nutné šifrovat. To, že se nešifruje, znamená, že může někdo přenášený obsah změnit. Existují podle váš weby, kde nezáleží na tom, zda dostanete obsah poskytovaný serverem nebo něco jiného?
-
Existují podle váš weby, kde nezáleží na tom, zda dostanete obsah poskytovaný serverem nebo něco jiného?
Každé riziko se musí kvalifikovat. Ano, existují weby a služby, kde je úplně šumák, jestli někdo změní obsah, ale PŘEDEVŠÍM, kde není vůbec motivace někoho, aby obsah měnil. Stejně, jako poštovní doručovatel nemá motivaci číst cizí dopisy, a i kdyby měl, je vypátratelný a potrestatelný.
-
Pokud je jedno, že se změní obsah, je klidně možné ten web vypnout, ne? Motivace ke změně obsahu je třeba těžba kryptoměn. V tom, že poštovní doručovatel je vypátratelný a potrestatelný je právě ten rozdíl.
Já vám rozumím, pořád tu vidím dva platné argumenty:
1. toto riziko si může / má posoudit provozovatel obsahu, ne nějaká autorita shůry,
2. těžba kryptoměn formou změny obsahu je stejně hypotetická, jako moje úvahy nad tím, že se změní forma zločinnosti (např. se zaměřením na získání DV certifikátu a poté pro další veselé provozování MITM útoků).Mně to přijde podobně moudré rozhodnutí, jako byly své doby úvahy nad nutností balit čerstvé koblihy do obalu, aby se směly prodávat. Taky to přinese level čistoty (hygieny) navíc. Teoreticky.
-
Vždyť o tom žádná autorita shůry nerozhoduje. Vydávání DV certifikátu se dá zabezpečit podstatně snáze, než koncová míle někde u uživatele – DNSSEC, CAA záznam v DNS, certificate transparency…
Ano, a přesně to jsou nástroje, které umí obsluhovat instalatér, který potřebuje zveřejnit informaci o tom, že opravuje prasklou vodu a že poskytuje služby nonstop. Přesně ten potřebuje, aby jeho jednoduchá HTTP stránka, která nestála skoro ani korunu, napřístě stála každoročně víc a víc, jak budeme nakládat nové technologie. Až jednoho dne, nejen pod tíhou IT, ale i pod tíhou požadavků od státu pověsí živnost na hřebík. Přesně to nám všem prospěje, když ty peníze nebude vydělávat instalatér, ale gigahosteři.
Za sebe volím raději HTTP a raději o pár set korun ročně navíc, co zbude tomu instalatérovi.
-
webmaster dělat web, než opačně? Proč by měla webová stránka stát ročně víc a víc? Zavedení HTTPS dnes nemusí stát ani korunu.
Do teď to nepotřeboval a dál tu potřebu necítí. Stejně jako já necítím potřebu vyměňovat vodovodní trubku ve zdi, byť by mi, nepochybně, instalatér vysvětlil, že dnešní trubky jsou mnohem lepší než ty z doby před 30 lety. Dokud mi voda teče a je nezávadná, je mi jedno, jestli je jedná o PVDF, PE-HD, PVC, ocel, měď, nebo potažené olovo.
Je velmi naivní, že něco složitějšího nemusí stát ani korunu. VŽDY to někoho stojí korunu, maximálně může být v něčem skrytá nebo rozpuštěná. Ale s trochou nadsázky, ani elektron Vám drátem neletí zadarmo (a to nemluvím o střídavém proudu, kdy veškeré elektrony poctivě, prakticky hned vracíte dodavateli!!!).
-
Kvůli tomu, že webmaster necítí potřebu aktualizovat, máme mít všichni nebezpečný web? Server taky nebude mít potřebu aktualizovat, takže mu ho někdo hackne, bude rozesílat spam, a všichni z toho máme být happy? Webhoster stejně musí implementovat automatickou obnovu certifikátů kvůli těm, co to chtějí – takže ten instalatér to má zadarmo.
-
Webhoster stejně musí implementovat automatickou obnovu certifikátů kvůli těm, co to chtějí – takže ten instalatér to má zadarmo.
Ano. Přesně tak vypadá náš svět v porovnání s tím před 30 lety. Zadarmo se máme tak dobře, že už nezvládáme platit daně, plnit si všechny povinnosti, ...
U nás v baráku dělají hasiči pravidelné revize. Zkusím jim navrhnout, že když už tu jsou, aby se mi na moji firmu mrkli zdarma. Know how přeci už mají (kvůli mně ho nepořizovali), na místě už také jsou (zaplatil to někdo jiný)...
Fííííha, pane Jirskáku, vím, že nejste žádný pitomec, proto nevěřím, že tohle myslíte opravdu vážně.
-
Já nevěřím tomu, že to myslíte vážně vy. Webhoster má pro své zákazníky nějaký systém, který umožňuje objednat službu, nastavit jí atd. Do tohohle systému implementuje podporu pro Let's Encrypt certifikáty – vyžadují to někteří vaši zákazníci. Jaké náklady bude webhoster mít se zpřístupněním této služby i těm zákazníkům, kteří to nevyžadovali?
Ti hasiči by snad revizi ve vaší firmě zvládli za nulový čas?
-
Jaké náklady bude webhoster mít se zpřístupněním této služby i těm zákazníkům, kteří to nevyžadovali?
Ti hasiči by snad revizi ve vaší firmě zvládli za nulový čas?
Ale o tom jsem mluvil. Po desetníčcích dáváme všechno těm, co to dělají ne ve velkém, ale v gigantickém.
Toho hostera ten výkon, zavádění, upgrade a support technologií také nestojí nulu.Proč nás stojí nová auta takové sumy ne jen při pořízení, ale hlavně na údržbe? Proč auto neopotřebujeme, ale nejčasteji mu nenávratně zdechne nějaká elektronika? Opravdu jezdíme o tolik bezpečněji a dýcháme o tolik lepší vzduch? Opravdu nám cílené pěstování rostlin kvůli přimíchávání biosložky šetří životní prostředí? Určitě nám elktroauta, vozící kila lithia, hrozí méně, než rtuť, kterou nesmíme mít už ani v teploměru? Tomu všemu fakt věříte, že je JEN dobré?
-
Zdá se, že jste vypadl z kontextu diskuse. Nebavíme se o zavádění HTTPS od nuly. Bavíme se o tom, že si dnes instalatér na svém webu zapne HTTPS, aby mu od července prohlížeč nezobrazoval, že komunikace je nezabezpečená. Zavedení, upgrade a support pro toho instalatéra nestojí webhostera vůbec nic, naopak by měl náklady s tím, kdyby to měl speciálně pro toho instalatéra vypínat. Zda to webhostera stojí výkon, nebo zda naopak na výkonu ušetří, asi těžko rozhodneme a nejspíš to závisí na konkrétní situaci.
V případě těch aut je to posun k lepšímu, ale hlavně se to situaci s tím instalatérem a HTTPS nijak nepodobá.
-
Bavíme se o tom, že si dnes instalatér na svém webu zapne HTTPS, aby mu od července prohlížeč nezobrazoval, že komunikace je nezabezpečená. Zavedení, upgrade a support pro toho instalatéra nestojí webhostera vůbec nic, naopak by měl náklady s tím, kdyby to měl speciálně pro toho instalatéra vypínat. Zda to webhostera stojí výkon, nebo zda naopak na výkonu ušetří, asi těžko rozhodneme a nejspíš to závisí na konkrétní situaci.
Tak já jsem se setkal, a ne jednou, že aplikace webu zapnutí HTTPS neunesla, protože interně má natahování obsahu napevno v http schématu. Takže instalatér si bude muset nechat upravit aplikaci. Odhaduji, že v 85 % případů to dopadne tak, že se bude celý web přepisovat, protože už se nikomu nebude chtítí jít do rizik, že za pár stovek bude upravovat web z http na https.
Webhostera tyto legrace stojí peníze, jakákoliv změna = náklady. Vynucení zapnutí https = odhaduji, že bude spíš zdrojem příjmů. A kdo bude ztrácet a kdo profitovat?
V případě těch aut je to posun k lepšímu
V roce 1985 bylo 5,48 mrtvých na 100 nehod se zraněním, dnes je 2,72 mrtvých na 100 nehod se zraněním. Za zranění se dnes považuje už i modřina, v roce 1985 byla metodika trochu jiná. Opravdu jsou vynaložené biliardy (EUR) adekvátní takové změně? Nešly utratit smysluplněni, např. do lepší osvěty, prevence, ..., do něčeho, co by živilo lidi a ne jen automobilové koncerny?
-
Aha, instalatér, který se o svůj web stará sám a neumí si ani v administraci webu zapnut HTTPS, má aplikaci napsanou na míru. To je opravdu věrohodné.
Webhoster ty peníze vynaložil už dříve, když tu technologii zaváděl pro ty, kteří HTTPS chtěli. Náklady s HTTPS pro toho instalatéra nemá žádné, naopak by měl náklady s tím, kdyby mu měl HTTPS znepřístupnit.
-
Aha, instalatér, který se o svůj web stará sám a neumí si ani v administraci webu zapnut HTTPS, má aplikaci napsanou na míru. To je opravdu věrohodné.
Ne, jedná se o instalace bůhví čeho prehistorického, co často funguje 5 i 10 let bez zásahu lidské ruky. I takoví se najdou.
Webhoster ty peníze vynaložil už dříve, když tu technologii zaváděl pro ty, kteří HTTPS chtěli. Náklady s HTTPS pro toho instalatéra nemá žádné, naopak by měl náklady s tím, kdyby mu měl HTTPS znepřístupnit.
To je naivní pohled na svět. Webhostér vynakládá zase nyní náklady na něco jiného, a to zase zaplatít ten instalatér (aby to ti další v budoucnu dostali zdarma).
-
Ne, jedná se o instalace bůhví čeho prehistorického, co často funguje 5 i 10 let bez zásahu lidské ruky. I takoví se najdou.
To ale neznamená, že to musí všichni podporovat. To by si taky mohl ten instalatér vzpomenout, že ty stránky má vlastně ještě v Gopheru, a že tedy musí prohlížeče podporovat tenhle protokol.To je naivní pohled na svět. Webhostér vynakládá zase nyní náklady na něco jiného, a to zase zaplatít ten instalatér (aby to ti další v budoucnu dostali zdarma).
Nemotejte dohromady náklady a cash flow. Pro toho webhostera jsou náklady na zavedení HTTPS pro toho instalatéra nulové, s tím nic nenaděláte. -
Nemotejte dohromady náklady a cash flow. Pro toho webhostera jsou náklady na zavedení HTTPS pro toho instalatéra nulové, s tím nic nenaděláte.
No když myslíte, nechme to při tom.
Já s tím ostatně nic dělat nebudu, mně nedělalo problém na https přejít v minulosti, a u zákazníků na tom můžu jedině vydělat. Vadí mi to jen z principu, ale to už bych se opakoval.
ČLÁNKY DO MAILU