Vlákno názorů k článku
Oznámen plán spuštění Let's Encrypt
od j - Ucel tohodle je proste jednoduse a pouze v...
-
j (neregistrovaný)
Ucel tohodle je proste jednoduse a pouze v tom, aby browser drzel hubu a neprudil BFU s pindama o neduveryhodnych certifikatech.
Ostatne MTA taky mailuje pres ssl a je mu naprosto uprdele ze se pouzivaj klido 10 let expirovany certifikaty ... proste proto, ze na to sral pes. Porat lepsi sifrovani expirovany nez zadny.
Jen dmentni tvurci prohlizecu to porad nechtej pochopit. Proto tvrdej svym oveckam, ze je lepsi http nez https.
-
Šifrování bez ověření protistrany je jako by tam žádné šifrování nebylo. Minimálně je třeba ověřit, že stále ještě komunikujete se stejnou stranu, že se třeba během komunikace nezměnil certifikát. A to je minimum, samozřejmě je nutné třeba vědět, že pepa.example.com je ve vašem případě totéž co skutečný pepa example provozuje.
-
j (neregistrovaný)
Boze ... zas ty zvasty ... sifrovani nema s overovanim protistrany ZHOLA NIC SPOLECNYHO.
Kdyz prijimam mail, tak pokud nemam system vylozene nastavenej tak, ze overuje proti mnou zadanym podpisum kazdyho jednoho odesilatele a nic jinyho neprijme, tak vzdy prijima zcela anonymni mail. A kupodivu, nejakym zazrakem, umi ten mail prijmout na sifrovanym kanale ... neuveritelne co?
Web je PRESNE totez. Kdyz lezu na root, tak je rootu uprele co sem zac, a me je stejne tak upr.. co je zac ten server. Ale co mi vadit muze, ze si nekdo cestou cte, co ctu a pisu.
http taky kupodivu neresi, ze se behem browsani po jednom webu klidanko i nekolikrat meni IPcko ... divny co?
A jeste divnejsi je, ze nekteri ani netusi, ze prakticky vsechny browsery se zvladaji vuci serveru prokazat klicem ... proc to ty servery nevyzadujou a staci jim, kdyz klient pouziva https? Zeby proto, ze jim je JEDNO kdo je na druhy strane?
-
Kdyz lezu na root, tak … me je stejne tak upr.. co je zac ten server. Ale co mi vadit muze, ze si nekdo cestou cte, co ctu a pisu.
A přesně tady si protiřečíte. Je vám tedy jedno, co je zač server, a že to klidně může být útočník, který si někde cestou čte, co čtete a píšete? Nebo vám to může vadit? -
Jenda (neregistrovaný)
> Šifrování bez ověření protistrany je jako by tam žádné šifrování nebylo.
To není pravda. Pokud jsi internet-scale adversary a provoz je nešifrovaný, stačí poslouchat a nikdo o tom nemusí vědět. Pokud je tam šifrování bez ověření protistrany, musíš dělat MITM na všechna spojení a tím strašně roste riziko, že si toho někdo všimne (admin vyměňující certifikát a kontrolující jestli se změna projevila atd.).
-
musíš dělat MITM na všechna spojení
Proč na všechna? Úplně stačí na ta, která mne zajímají - třeba od jednoho uživatele. Ostatně v některých sítích se prý MitM na HTTPS provoz dělá (pod vlajkou zvýšení bezpečnosti), aby bylo možné kontrolovat i obsah HTTPS spojení. A to je MitM zaměřený samozřejmě jen na uživatele dané sítě, a někdy prý není aplikován na všechny servery, ale třeba vybrané banky jsou z MitM vyňaty. -
Cohen (neregistrovaný)
Tak zase ta rizika nepřehánějme, pokud mám kvalitní MITM implementaci, což se tak nějak předpokládá, když mám koupený intermediate certifikát, tak budu generovat stínové certifikáty tak, aby se v maximální možné míře shodovaly s těmi původními, takže si samozřejmě včas všimnu, že se ten zdrojový změnil.
99-procentní admin skončí u toho, že se mu změnilo datum ukončení platnosti, protože certifikát obnovuje den před skončením platnosti, případně pár dní poté, protože byla párty apod. A.k.a. me. Minimum lidí si ověří řetězec vydavatelů a ještě menší minimum i otisk. Šacoval bych to spíš na nějaký addon v prohlížeči, který bude mít nainstalovaný nějaký aktivní blbec. Blbec ve smyslu "den blbec" pro ISP.
ČLÁNKY DO MAILU