Názory k článku
Lidé ignorují téměř 90 % bezpečnostních varovaní
-
Peter FodrekZlatý podporovatelJa túto správu vidím na troch zdrojoch a na dvoch je názov
90 per cent of people ignore security notices because their brains are too busy
10 per cent of people probably double knot their shoe lacesČo by som preložil inak ako je toto (tak je to na treťom zdroji)
-
Petr M (neregistrovaný)
Přesně tak. Bfu jde na web. Vyskočí na něj hláška s červeným vykřičníkem: "Pozor! Na výhodné pojištění vaší nemovitosti máte už jen tři dny!"
Za 20 minut hláška, pro změnu červenými písmeny: "Pozor! Nabídka, která se nebude opakovat!"
Za dalších 20 minut, tentokrát varování: "Pozor, naše konkurence jsou amatéři, my víme nejlíp, jak vás oškubat"
Za chvíli notifikace na výhodný úvěr někde v bublině.
Za další chvíli popup "Chcete výhodné povinné ručení? Ano-Ne"
A v zápětí relevantní chybová hláška... Když je úorveň naštvání nějde mazi 100% a nekonečnem. -
j (neregistrovaný)
Naprosto logicky a zcela ocekavatelny ... protoze (nejen) browsery vopruzujou s kazdou picovinou, doslova a dopismene, a uzivatele vazne naprosto nezajima, ze na nejakym webu typu root/fckbook/... (a no, stovnavam to umyslne) je nejakej certifikat, co se browseru zrovna nelibi ... protoze je to naprosto nezajima. Browser by mel hlidat tech 5 webu, kery uzivatele zajimaj (=mozna banky). U vsech ostatnich by mel drzet hubu a nevopruzovat.
Protoze vysledek tohodle pruzeni je, ze useri na to serou i v ty bance.
Je to presne stejny, jako kdyz nejakej kkt nastavi politiku na hesla typu zmena co tyden, aspon 20 znaku, velky/maly/cisla/... historie navzdy ... a pak se divej, ze si to lepej lidi na klavesnici.
-
Jenda (neregistrovaný)
Na to, že to nezobrazuje varování u prostého HTTP, nebo na to, že HTTP je méně bezpečné než HTTPS s vadným certifikátem?
Ad. 1: Můžeš si vyzkoušet, http://blebleble.hrach.eu/ vs. https://blebleble.hrach.eu/
Ad. 2: Pro napadení HTTPS s vadným certifikátem pořád potřebuješ MITM (aktivní zasahování do komunikace), pro HTTP ti stačí pasivní odposlech.
-
Nejde o to, jestli je https aspoň stejně bezpečné jako http, ale o to, jak aktuální stav zlepšit:
a. Varování bude na všech plán stránkách. Konzistentni, ale dnes docela odvážné, kdyz zatim ještě dost stránek má plán http, a tedy by uzivatel nejspíš tyto hlášky začal brzy ignorovat. Za deset let to bude třeba way-to-go, pokud se https rozšíří a bude tu dobrý způsob zabezpečení komunikace v lokální síti. Dnes radši ne.
b. Stejný přístup k broken https jako k plain http zní jako fajn nápad, dokud nezačneme řešit důsledky na same-origin policy, leaky privátních URL apod. Pak zjistíme, že si tím přidáme spoustu nových problémů. -
j (neregistrovaný)
2pepak: Uzivatel vubec netusi ze se neco nekde sifruje, protoze ho to NEZAJIMA, co na tom je k nepochopeni? Myslis tu miliontinu promile useru, kery aspon vedi co znamena ten zelenej zamek?
Funguje to totiz VSUDE a PRESNE stejne. Adminuju trebas ERPcko, a davat tam zcela LIBOVOLNY hlasky, ktery uzivatele VARUJOU pred nejakou cinnosti, je naprosto zbytecny. Protoze to maximalne bez cteni odklikne. Proste danno cinnost bud udelat muze, a pak tam nema co bejt jakakoli hlaska, protoze je to jen vopruz, nebo ji udelat nemuze, a pak to ma byt natvrdo znemozneno.
V pripade http/https aktualni stav vede k tomu, ze si miliony domacich useru vypinaji na svych domacich routerech https, protoze se k nim nemuzou prihlasit. Protoze ty routery pouzivaj prece tu zastaralou a nebezpecnou sifru, takze je zjevne mnohem bezpecnejsi posilat heslo jako opentext rovnou.
-
Ondra Satai NekolaZlatý podporovatelTo je pravda... technicky. Asi jako ze dopis je vzdy alespon tak bezpecny jako pohlednice.
Ale...
HTTP je pohlednice. Dokud na ni nepises heslo, tak prohlizec mlci.
Kdy prohlizec rve je, kdyz jde o dopisy s poskozenou peceti. Ano, teoreticky nejsou nebezpecnejsi nez pohlednice. Ale neco smrdi.(jednoho dne se snad zbavime http pro vetsinu pripadu, pak varovani asi bude davat smysl. Dneska tak daleko jeste nejsme.)
-
Jenda (neregistrovaný)
> Kdy prohlizec rve je, kdyz jde o dopisy s poskozenou peceti. Ano, teoreticky nejsou nebezpecnejsi nez pohlednice. Ale neco smrdi.
Výsledkem tohoto uvažování je bezpečnostní průser, kdy všichni raději používají pohlednice, než aby používali dopisy s poškozenou pečetí. NSA pak pohlednice může hromadně nepozorovaně sniffovat, zatímco dopisy s poškozenou pečetí hromadně sniffovat nejdou.
-
pepak (neregistrovaný)
Jistě že jsou chyby certifikátu podstatné - ale jen u minima webů. Jestli je chyba certifikátu na Rootu nebo iDnes, tak to je nanejvýš další připomínka, ať jejich informacím slepě nevěřím, ale proč proboha by měl prohlížeč reagovat blokujícím způsobem? Ať třeba vysvítí adresu červeně a dá k ní vykřičník. Ale ne, on stránku nezobrazí a místo toho vyhodí hlášku, že web není důvěryhodný a že pokud si ho chci přesto prohlédnout, tak musím udělat to a to a to; tím ovšem uživatele učí, že kdykoliv a kdekoliv dojde k chybě certifikátu, tak je potřeba udělat to a to a to a "tím problém zmizí". Ve výsledku to bezpečnost na webu snižuje, ne zvyšuje. (A to se ani nebavíme o tom, jak je současné pojetí certifikačních autorit fundamentálně špatné.)
Na druhou stranu chápu vývojáře, že nejsou ochotni vzít to bezpečnostní rozhodnutí na sebe a případně se za to zodpovídat, a také chápu, že není jednoduchá cesta, jak určit, kterých pět webů je těch důležitých, kde to varování fakt má být důrazné. Na tvůrci webu to nechat nemůžeme, jak je vidět na HSTS.
-
Petr M (neregistrovaný)
Ono by vůbec bylo fajn, kdyby:
1) Doménový záznam v DNS 1. řádu by byl podepsaný registrátorem na jméno toho, komu doména patří (stejně ho ověřuje, už jenom kvůli platbě za doménu).
2) Doménu nižšího řádu by byl podepsaný vlastníkem domény vyššího řádu.
2) DNS dotaz (šifrovaný) předával veřejný klíč pro https, který vygeneroval provozovatel webu.
3) Veškerá komunikace po https, http se nepoužívalo (pro konfiguraci offline systémů používat jiný protokol, stejně na to http+html není nejvhodnější).
4) Pokud by certifikát jenom expiroval, prohlížeč zobrazí varování, po kliknutí lze pokračovat.
5) Pokud certifikát nesedí, natvrdo error a nenačíst stránku. -
peter (neregistrovaný)
Timhle si nadelas vic problemu nez uzitku. Vsechny certifikaty by meli byt na serveru, ktery muze byt 24h online. Tudiz ma pro pripad vypadku a nekolik klonu po republice, svete. Kdyz jsi server s weby uzivatelu a mas jich tam 1000, nemuzes si dovolit, aby kvuli chybe certifikatu nesel uzivatelum web.
A tez by bylo snadne to hacknout, kdyz ti staci jeden server certifikat znat. -
j (neregistrovaný)
Browser ma proste by default drzet hubu, a jak pises, maximalne podbarvit adresu cervene s tim, ze je/muze byt neco spatne. A presne stejne se ma chovat zcela bez ohledu na typ problemu - at uz selfsign, expirace, sifrovani, ...
Pak ma uzivateli UMOZNIT nastavit nejake zcela konkretni weby jako ty, kde ho bezpecnost vazne zajima, a k nim priradit pripadne zcela konkretni certifikaty/autority/... a na takovy web by prozmenu browser nemel uzivatele pustit vubec, pokud nesplnuje nastaveny pravidla.
Vyvojari by se meli zodpovidat tak maximalne ze svyho kretenismu, protoze to je stavajici stav. Prave sem konfiguroval diskovy pole a musel sem si kvuli tomu instalovat asi 5 let starej browser, a k tomu 5 let stary javy a flashe ... abych se k tomu vubec dostal.
-
Nox (neregistrovaný)
Tak zrovna s certifikaty nebyva tolik problemu, vetsinou to jen znaci to, ze se na pc vyresetovalo datum. Nebo ze je nejaky maly provozovatel napriklad voip zapomnel prodlouzit. Taky s tim casto ma problem statni sprava.
Spis mi prijde, ze dnesni weby jsou agresivni. Treba zobrazi reklamu pres celou obrazovku a vypinaci tlacitko je velmi nevyrazne, obcas uplne chybi. Nebo nektere weby klidne v dnesni dobe zavedou prihlasovani pop-up oknem. Proste si clovek zvykne, ze mu furt neco brani v kyzene cinnosti a musi to furt rusit... tak proste bezpecnostni hlasu prehlidne.
Hesla jsou takovy korporatni alibismus.. dame je co nejslozitejsi a kdyz bude prusvih, tak to mame na koho svest. Ze si kazdy zamestnanec ma udrzovat ruzna hesla do 10 ruznych systemu a neustale je podle ruznych pravidel menit, nikoho nezajima. -
Ľudia sú pohodlní (neregistrovaný)
Napríklad tie trezory v cloude na heslá a podobné neduhy. Alebo rovnaké heslá všade. Tak sa nečudujme,že useri na vyrovania zvysoka se***. JE TO LENIVOST - SI PRECITAT VYROVANIA A TROCHU GOOGLIT ZE CO TO VAROVANIE ZNAMENA - ZABRALO BY TO PAR MINUT. Ale useri na to kaslu a potom su dni bez PC a este musia platit komplet reinstalaciu systemu alebo plakat nadtym ak im ransomware zablokoval fotky z dovolenky. Ach jaj. Netrpezlivost a lenivost.
-
t (neregistrovaný)
Vsechno navic zabere jen par minut... Tamto 3 minuty, tamhleto 10, jeste tamto 5, toto si taky musime precist, jinak se nedostaneme dal, tak dalsich 6. Ano .. jedna vec trva par minut, jenze to neni bohuzel jen jedna samotna vec, ale tech veci je uz tolik, ze clovek aby se dostal k tomu k cemu se dostat chce, 24 minut resi debiloviny, ktere ho nezajimaji. A to prosim jsem clovek ktery se it zivi ale i z pozice BFU tohle naprosto chapu. To je totez (kdyz odbocim) jak systemd v linuxu. Kvuli vecem, ktere drive fungovaly v pohode, ted musis udelat tamto, toto, ono, pak protoze se to nechova dle ocekavani, sahodlouze hledas na googlu a dojde to k tomu, ze se na systemd a jeho udajne vyhody proste vykasles a nainstalujes devuan a jedes v poho jako doposavad a mas nove verze vseho, od jadra, pres drivery pres software kolem toho. Proste mozna napady jednotlive dobre, ale jak se to nakumuluje tak je to na posr*ni. Aneb cesta do pekla je vdy dlazdena dobrymi umysly. Obzvlaste je to videt u tech, kteri nedokazou spravne trefit hranici tech dobrych umyslu.
