ссл перехватывается на ура методом чувак-в-середине
что отлично делается на уровне провайдеров везде
причем можно перехватить не только у непосредственного, но на всех прочих узлах по пути
отсутсвие недовльства спецслужб по поводу ссл железный агрумент что с ним у них не проблем
тогда от кого он защищает? и нафига сайты его используют?
Я изъездил эту страну вдоль и поперек, общался с умнейшими людьми и я могу вам ручаться в том, что обработка данных является лишь причудой, мода на которую продержится не более года. (с) Эксперт, авторитет и профессионал из 1957 г.
Здравствуйте, Barbar1an, Вы писали:
B>ссл перехватывается на ура методом чувак-в-середине
Нет.
B>что отлично делается на уровне провайдеров везде
Нет.
B>причем можно перехватить не только у непосредственного, но на всех прочих узлах по пути
Нет.
Поищите, что такое цепочка доверия сертификатов. Вы сами хоть раз SSL настраивали, создавали связки сертификатов?
Здравствуйте, Слава, Вы писали:
С>Поищите, что такое цепочка доверия сертификатов. Вы сами хоть раз SSL настраивали, создавали связки сертификатов?
Сейчас есть очень много trusted certification authorities, которые непонятно, кому принадлежат, и непонятно, кем контролируются. Посмотри, какому количеству корневых сертификатов доверяет твой бровсер, там их несколько сотен, и про большинство из них вообще невозможно понять, кто это такие.
В этой связи возникает естественный вопрос, можно ли всем им доверять. Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
Здравствуйте, Pzz, Вы писали:
Pzz>В этой связи возникает естественный вопрос, можно ли всем им доверять. Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
Я в курсе, но — вот какое это имеет отношение к самому протоколу? Можно ведь построить инфраструктуру на своих корневых сертификатах, и доверять только им. Например, если некое мобильное приложение обращается к вашему серверу и использует сессионный ключ длительного действия. Как защититься от его перехвата в случае работы по голому HTTP? Проще всего всё же перейти на HTTPS.
Здравствуйте, Barbar1an, Вы писали:
B>отсутсвие недовльства спецслужб по поводу ссл железный агрумент что с ним у них не проблем
B>тогда от кого он защищает?
Защищает от случайных, посторонних третьих лиц. Очевидно же, родные спецслужбы не случайные и не посторонние.
B>и нафига сайты его используют?
Чтоб школьник-админ, настроивший wifi в папиной кафешке не перехватил твой порнхаббанковский фейсбук аккаунт.
Здравствуйте, Слава, Вы писали:
С>Я в курсе, но — вот какое это имеет отношение к самому протоколу? Можно ведь построить инфраструктуру на своих корневых сертификатах, и доверять только им. Например, если некое мобильное приложение обращается к вашему серверу и использует сессионный ключ длительного действия. Как защититься от его перехвата в случае работы по голому HTTP? Проще всего всё же перейти на HTTPS.
Здравствуйте, Pzz, Вы писали:
Pzz>Сейчас есть очень много trusted certification authorities, которые непонятно, кому принадлежат, и непонятно, кем контролируются. Посмотри, какому количеству корневых сертификатов доверяет твой бровсер, там их несколько сотен, и про большинство из них вообще невозможно понять, кто это такие.
Pzz>В этой связи возникает естественный вопрос, можно ли всем им доверять. Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
Не обязательно. В какой-то степени можно защищаться с помощью HPKP и DANE.
Здравствуйте, Иван Дубров, Вы писали:
Pzz>>В этой связи возникает естественный вопрос, можно ли всем им доверять. Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
ИД>Не обязательно. В какой-то степени можно защищаться с помощью HPKP и DANE.
Насколько я понял, HPKP использует HTTP-заголовки в ответе сервера, которые атакер легко может и подделать, а DANE полагается на DNS, ответы которого легко может подделать интернет-провайдер (а мой так и подделывает время от времени, экспериментальный факт). Бровсер при этом даже и не пикнет, а у нормального пользователя нет никаких других инструментов, чтобы проверить, что в соединение не влезли.
Здравствуйте, Pzz, Вы писали:
Pzz> Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
Здравствуйте, Лось Чтостряслось, Вы писали:
Pzz>> Если спецслужбы некоторого государства смогут "убедить" какую-либо из итих CA с ними сотрудничать и иногда выписывать фальшивые сертификаты, то они без проблем влезут в твой траффик.
ЛЧ>если?
Здравствуйте, Pzz, Вы писали:
Pzz>Насколько я понял, HPKP использует HTTP-заголовки в ответе сервера, которые атакер легко может и подделать, а DANE полагается на DNS, ответы которого легко может подделать интернет-провайдер (а мой так и подделывает время от времени, экспериментальный факт). Бровсер при этом даже и не пикнет, а у нормального пользователя нет никаких других инструментов, чтобы проверить, что в соединение не влезли.
HPKP полагается на TOFU. DNS, по идее, защищается через DNSSEC.
P.S. Но я сварщик ненастоящий, практики применения у меня нет. Что в википедии вижу, то и пишу
Здравствуйте, Иван Дубров, Вы писали:
ИД>HPKP полагается на TOFU. DNS, по идее, защищается через DNSSEC.
Я не уверен, поддерживает ли хоть один бровсер TOFU, и в них, бровсерах, нет кнопки "не верить DNS без DNSSEC".
ИД>P.S. Но я сварщик ненастоящий, практики применения у меня нет. Что в википедии вижу, то и пишу
Ну да, есть некоторые интересные теоретические идеи
Здравствуйте, Barbar1an, Вы писали:
B>тогда от кого он защищает?
Этот вопрос сродни "нафига людям двери?". Да, дверь можно открыть отмычкой, выбить головой соседа, разрезать лазером Терминатора, но... двери всё равно нужны! Это ЗАЩИТА. Каждая защита имеет свой уровень, который выбирается в зависимости от стоимости защищаемого. Если SSL почти бесплатен, но позволяет убрать из цепочки "хакающее школоло", то и пусть себе используется! На подходе, кстати, TLS 1.3;
Здравствуйте, Barbar1an, Вы писали:
B>тогда от кого он защищает? и нафига сайты его используют?
То что провайдер или спецслужбы могут тебя прослушать не означает, что надо дать эту возможность любому прохожему. Влезть посредине и подменить сертификаты достаточно сложно чтобы большинство атакуюших ушли искать способ попроще.
Опять же, если ты такой зашифрованый, то настрой соединение по-своему, не доверяя никаким ключам кроме своих и требуя клиентский сертификат а не только серверный. Протокол это позволяет, хотя никто такое и не делает обычно.
Здравствуйте, Artifact, Вы писали:
A>Здравствуйте, Barbar1an, Вы писали:
B>>отсутсвие недовльства спецслужб по поводу ссл железный агрумент что с ним у них не проблем
A>А что, обычно они Вам лично обо всём докладывают?
скайп до мс, телеграм щас
Я изъездил эту страну вдоль и поперек, общался с умнейшими людьми и я могу вам ручаться в том, что обработка данных является лишь причудой, мода на которую продержится не более года. (с) Эксперт, авторитет и профессионал из 1957 г.
Здравствуйте, Pzz, Вы писали:
Pzz>Я не уверен, поддерживает ли хоть один бровсер TOFU
Еще как поддерживают. Особенно это заметно когда владелец сайта что-то у себя меняет, а ты ищешь, как все HSTS из браузера вычистить, не удаляя профиль.
Переубедить Вас, к сожалению, мне не удастся, поэтому сразу перейду к оскорблениям.
