Vlákno názorů k článku
Linux.org měl unesenou doménu od Miroslav Šilhavý - Dávno už mám obavu, že zaslepený přechod na...

Dávno už mám obavu, že zaslepený přechod na SSL přesune hrozby z únosu spojení na únos domén, manipulace s DNS záznamy apod. Registrátoři a zprostředkovatelé jsou prachbídně chráněni. Ještě poměrně solidně je řešené ověřování pokynů do centrálního registru (i když i to má své mezery).

Přístup k DNS bývá extrémní slabina, maximálně chráněná jménem a heslem, které se dá resetovat pomocí e-mailu. E-mail běží nezabezpečeně - takže stačí MITM na e-mail s resetem hesla a tradá, doména je v ohrožení.

Pak už stačí v DNS na 10 minut (možná ani to ne) uchvátit provoz, kterážto doba bohatě stačí na získání např. Let's Encrypt certifikátu. Provoz se pak může potichu navrátit zpět na původní server, ale útočník už disponuje certifikátem, kterým může provozovat MITM útok i přes SSL (a návštěvník webu trpí o to falešnějším dojmem bezpečí).

Pokud musí všichni na SSL přecházet, měly by být dořešeny i všechny tyto mechanismy. Řetěz je tak silný, jako jeho nejslabší článek.

Riziko resetu hesla emailem se dá omezit správným použitím 2FA. Samozřejmě se to dá taky obejít, ale MITM útok na email a současně i na druhý inf. kanál (nejlépe úplně oddělený od toho prvního) je vyšší liga.

Pochopitelně, že 2FA toto riziko výrazně sníží. Pokud se jedná např. o SMS, pak to riziko zůstává např. ve vztahu zaměstnavatel (služební telefon) => zaměstnanec (přístup k registrátorovi, do banky, ...). Málokdo si uvědomuje, že SIM kartu lze u operátora vyměnit. V případě služebního telefonu to může udělat dost často asistentka firmy. V případě soukromého telefonu je potřeba podvést zaměstnance operátora (případně to spáchat společně s ním).

Možná se zdá, že 2FA slabinu úplně vyřeší, ale není tomu tak. Nejbližší okolí má často velký zájem zabezpečení překonat (spory mezi společníky firem, spory mezi vedením a zaměstnancem, spory mezi kolegy, spory mezi (bývalými) partnery), ... Na to je bohužel ani 2FA neposkytuje úplnou ochranu.

Ale zpět do reality. Podívejte se po českých registrátorech. Spočítejte, kolik z nich má 2FA (aspoň volitelně, když už ne vynuceně). Spočítejte, kolik z nich povoluje uložení kredencí v prohlížeči. Spočítejte, kolik z nich Vám pošle reset hesla e-mailem.

Každý klacek pod nohy útočníka se počítá. Bohužel je důležité to slovo "správném" použití 2FA.

Já s tímto tvrzením souhlasím jen částečně.

Útočníci se dělí na amatéry, poloprofesionály a profesionály (těch naštěstí není moc). Tím, jak zvedáme úroveň zabezpečení, tak na jedné straně odřezáváme amatéry. Na druhé straně ale poloprofesionály "vyškolujeme" a zvedáme jejich znalosti.

Dříve se dávaly úplatky ve stokorunách, tisících a desetitisících. Dnes už si nikdo netroufne zničit si život kvůli pár desítkám tisíců. Zde "klacek pod nohy" pomohl. Na druhé straně vznikla kasta, která už nekrade statisíce, ani miliony, ale rovnou miliardy - protože za to riziko stojí. A tuto kastu ten samý "klacek pod nohami" stvořil.

Dříve dokázal auto ukrást pitomec s hasákem na urvání zámku volantu a s vědomostí, jaké dráty má z vytržené spínačky spojit. Takového pitomce většinou chytli ve vedlejší vsi, jak večer ukradené auto rozřezával v garáži. Dnes auto kradou organizované gangy, které ho během dvou, tří hodin dostanou za hranice a během celé cesty mají zapnutou rušičku GSM a GPS. To je další příklad sporného působení "klacku pod nohami".

Dříve lidé pěstovali konopí za okny a lidé si navzájem ochutnávali "matroš". Pak přišla kriminalizace marihuany. Nikdo už nechtěl riskovat, že ho soused napráská. A tak lidé začali hulení kupovat. I ti, co nikdy k tvrdým drogám netíhli, začali potkávat dealery, kteří měli v levé kapse konopí a v pravé kapse větší dobroty. Další "klacek" co "pomohl".

Podle mě je potřeba velmi pečlivě zvažovat dopady každého opatření, protože ne každý dobrý partikulární nápad je prospěšný globálně.

To že jeden vámi vybraný web nemusí jít hacknout dobře NEZNAMENÁ že je systém nastavený správně. Touto výzvou se snižujete pod domnělou úroveň vyzývaného.

Lumír ale nereagoval na nějakého kritika systému, ale na konkrétní tvrzení j. J tu opakovaně tvrdí, že je triviální získat uznávaný certifikát vydaný na jakékoli doménové jméno – a když to má předvést, obrátí a začne tvrdit, že to vlastně vůbec jednoduché není a že by to stálo miliony.

To máš pravdu, od toho je alerting, vysoká TTL záznamy. Stejně tak si můžeš vybrat vhodného registrátora, který má zabezpečení na vysoké úrovni.

Ale chápu, velká část registrátorů (či jen nameserver hostingů) je šílené zabezpečení a poustu let beze změny, teď k nim přichází pozornost.