Исходное сообщение
"Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..." Отправлено Andrew Kolchoogin, 14-Янв-13 15:04
Да вот как раз-таки нет: MITM для SSL работает именно так, как описал товаристч. И проблему он правильно обозначил: всё, что для браузеров Builtin Security Token, является абсолютно доверенным. Поэтому если скомпрометировать закрытый ключ корневой CA, тогда можно выписывать себе сертификаты (валидные!) от любого HTTPS-сервера, посещаемого пользователем, буквально-таки на лету. И такие случаи, как ни странно, бывали: посмотрите в FireFox'е список ревокнутых сертификатов корневых CA, вы таки очень удивитесь. Это фундаментальный design flaw всей модели доверия SSL: есть мнение, что правильней был бы регулируемый кворум (например, сертификат должен быть подписан тремя разными корневыми CA -- или любым другим числом, в зависимости от параноидальности пользователя), но это всё теория. Пока же для того, чтобы стать Builtin Security Token'ом в браузере, надо просто пройти сертификацию на соответствие тем-то и тем-то требованиям -- но человеческий фактор в них учесть довольно сложно.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Да вот как раз-таки нет: MITM для SSL работает именно так, как > описал товаристч. И проблему он правильно обозначил: всё, что для браузеров > Builtin Security Token, является абсолютно доверенным. > Поэтому если скомпрометировать закрытый ключ корневой CA, тогда можно выписывать себе сертификаты > (валидные!) от любого HTTPS-сервера, посещаемого пользователем, буквально-таки на лету. > И такие случаи, как ни странно, бывали: посмотрите в FireFox'е список ревокнутых > сертификатов корневых CA, вы таки очень удивитесь. > Это фундаментальный design flaw всей модели доверия SSL: есть мнение, что правильней > был бы регулируемый кворум (например, сертификат должен быть подписан тремя разными > корневыми CA -- или любым другим числом, в зависимости от параноидальности > пользователя), но это всё теория. > Пока же для того, чтобы стать Builtin Security Token'ом в браузере, надо > просто пройти сертификацию на соответствие тем-то и тем-то требованиям -- но > человеческий фактор в них учесть довольно сложно.
	Введите код, изображенный на картинке: