Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выявлены обманные SSL-сертификаты, полученные в результате х..., opennews (ok), 04-Янв-13, (0) [смотреть все] Поднимите руку, кто доверяет TurkTrust, а так же Machachkala Security Center, ко, pavlinux (ok), 00:47 , 04-Янв-13, (1) –4 // Клоуны в треде, скорее в машину , anonymous (??), 01:26 , 04-Янв-13, (8) +15 Турецкие провайдеры снифят трафик юзеров , Stream (?), 01:58 , 04-Янв-13, (13) // Я в турецком отеле хотел парнушку посмотреть по местному ви-фи Обломись Не дал, ъ (?), 10:15 , 04-Янв-13, (24) –1 // Вы хотели сказать не дала , Аноним (-), 15:14 , 04-Янв-13, (31) +6 Вы таки доверяете другим удостоверяющим центрам , Аноним (-), 05:19 , 04-Янв-13, (17) Ты доверяюешь Гуглю Гугль доверяет туркишу Туркиш доверяет хулиганам Итак ты , robux (ok), 00:03 , 05-Янв-13, (59) +1 // Во-первых, работает это не совсем так твой браузер доверяет Туркишу Туркиш дов, Andrew Kolchoogin (?), 10:48 , 05-Янв-13, (67) +2 // Это в идеале, в жизни в борьбе лень vs паранойа побеждает лень в большинстве, ЬТЛ (?), 12:04 , 09-Янв-13, (81) Как они собираются обновить базу ключей в моем браузере Просто интересен механи, Anonim (??), 00:57 , 04-Янв-13, (2) –1 // Обычно оформляется как новая версия браузера и там этот серт добавлен в недоверя, Аноним (-), 01:07 , 04-Янв-13, (3) +1 // не далее как пару-тройку версий назад база ключей приходит молча, был же анонс, Аноним (-), 03:02 , 04-Янв-13, (14) // Молча для юзера, но не для митм у которого пользовательский ключ изначально в на, Аноним (-), 03:19 , 04-Янв-13, (15) когда ты самолично или например твой друг знакомый сможешь достать сгенерирова, Xasd (ok), 19:34 , 04-Янв-13, (46) Только если вы выпилите все ауторити и оставите только свою Иначе любой козел м, Аноним (-), 22:19 , 04-Янв-13, (54) Ну и сколько вам еще нужно новостей о выявлении таких сертификатов И это мы в с, Аноним (-), 01:44 , 05-Янв-13, (61) сколько угодно тушканчики всё равно уверены в том, что неоднократно скомпромети, arisu (ok), 01:56 , 05-Янв-13, (63) +1 я тебе уже много раз говорил, попробуй хоть в этот раз понять однажды скомпроме, arisu (ok), 01:54 , 05-Янв-13, (62) Mozilla is actively revoking trust for the two mis-issued certificates which wil, wesnoth (?), 01:07 , 04-Янв-13, (4) –1 В Firefox база сертификатов находится в библиотеке NSS Разумеется она будет изм, user (??), 01:08 , 04-Янв-13, (5) +1 // тихо она даже отдельно обновляется , анончик (?), 01:12 , 04-Янв-13, (6) // Да Там, где собрана отдельно, но на некоторых платформах её носят с собой , user (??), 01:26 , 04-Янв-13, (9) pkg_info nss-3 14Information for nss-3 14 Comment Libraries to support develop, iZEN (ok), 01:14 , 04-Янв-13, (7) –1 // Я не знаю что у вас за дистр, но либо в нём не очевидные названия пакетов, либо , user (??), 01:37 , 04-Янв-13, (11) +1 // FreeBSDpkg_info перечислила все узлы в ветвях зависимостей список пакетов от о, iZEN (ok), 01:49 , 04-Янв-13, (12) –1 Я только одно не понял что твой долбаный листинг должен доказывать По нему не , Аноним (-), 06:42 , 04-Янв-13, (20) –7 Этот листинг показывает, что базой из библитеки мозиллы пользуются не только бра, user (??), 15:40 , 04-Янв-13, (36) +1 ты прикинь братан - там думать надо, а тебе хотелось только на кнопки жать , linux must _RIP_ (?), 17:21 , 04-Янв-13, (41) –2 Вот я и интересуюсь какой глобальный вывод сделал мыслитель То что либой оказы, Аноним (-), 22:37 , 04-Янв-13, (55) +1 Что база данных о сертификатах находится не в браузерах, а в отдельном пакете , iZEN (ok), 17:23 , 04-Янв-13, (42) да-да, вот и интересно что понадобилось пакетам вида i18n с переводами вида usr, ананим (?), 20:31 , 04-Янв-13, (48) +1 Интересно, почему сразу же автоматом не убрали T 220 RKTRUST из списка корневых, Аноним (-), 01:32 , 04-Янв-13, (10) +2 // и этот метод тоже не сработает потому что централизованая система обречена на ф, arisu (ok), 01:58 , 05-Янв-13, (64) Конечно-же это была ошибка, и может быть, даже, бес попутал Вся эта система с S, дон педро (?), 05:12 , 04-Янв-13, (16) +3 // Ну да, и вовсе то они и не пытались срубить бабла на доверии Как вы могли такое, Аноним (-), 06:41 , 04-Янв-13, (19) +2 // А на чем они пытались срубить бабла На заявлении в CPS - Мамой клянемся, все б, Аноним (-), 11:45 , 04-Янв-13, (27) Единственное в чем польза ssl - это шифрование Доверие вообще яйца выеденного, дядя (?), 05:46 , 04-Янв-13, (18) +1 // Объясню, почему вас минусуют и раскрою вашу некомпетентность в данном вопросе Ш, Евгений (??), 11:39 , 04-Янв-13, (26) –4 // Делись , Аноним (-), 15:22 , 04-Янв-13, (33) +1 // Читать до посинения http ru wikipedia org wiki SSL, Евгений (??), 15:28 , 04-Янв-13, (34) –1 Спасибо за разъяснения Прочитал Ваш комментарий с интересом А если у меня свой , Аноним (-), 16:14 , 04-Янв-13, (37) –1   // И кто помешает провайдеру перенаправлять пакеты куда нужно Ещё проще попросить , дон педро (?), 16:44 , 04-Янв-13, (40)   Можно как-то противостоять перенаправлению пакетов в этом случае Но вообще печал, Аноним (-), 18:00 , 04-Янв-13, (45) –1   Туннель до своего серванта Хоть тот же опенвпн, где из доверяемых ауторити оста, Аноним (-), 22:41 , 04-Янв-13, (56) +1   при проведении разъяснительной работы и хомячок заинтересуется - но вряд ли смож, an0num0z (?), 18:00 , 05-Янв-13, (70)   Есть такая штука - прозрачный прокси Ну или попросту говоря, технически тот к, Аноним (-), 22:48 , 04-Янв-13, (57)   gt оверквотинг удален где-то видел статью - разъясняющую как легко обнаружить , an0num0z (?), 17:57 , 05-Янв-13, (69)   выкинуть его нафиг оно починке не поддаётся в принципе как 171 запорожец 18, arisu (ok), 02:01 , 05-Янв-13, (65) –2   Простите, а Вы как на гмейл и им подобные ходите и проверяете свои акаунты в онл, an0num0z (?), 17:42 , 05-Янв-13, (68)   никак зачем мне эти зонды у меня свой сервер, с пингвинами и поэзией о какой , arisu (ok), 00:57 , 06-Янв-13, (75) –2   Я так и не понял в каком месте там была некомпетентность Шифрование в ssl работ, Аноним (-), 17:47 , 04-Янв-13, (43) –2 // В слове ключь Правильно ключъ В остальном всё верно, ваш оппонент бредит , filosofem (ok), 17:58 , 04-Янв-13, (44) +2 Сорри, я так и думал, что неправильно понял вас изначально Речь шла именно об э, Евгений (??), 21:10 , 04-Янв-13, (51) и как же они этот внутренний трафик получают неужто это оборудование расшифровы, Xasd (ok), 19:47 , 04-Янв-13, (47) // Никто ничего не расшифровывает Впереди стоит балансировщик Обычно он же SSL-фр, Евгений (??), 21:06 , 04-Янв-13, (49) –1 SSL это протокол, а не шифр или система шифрования Синхронизация ключей шифрова, KT315 (ok), 21:10 , 04-Янв-13, (50) датацентрах находится специальное оборудование для снифинга -- вот как ИМЕННО , Xasd (ok), 06:03 , 07-Янв-13, (78) это оборудование стоит уже за сервером, который расшифровывает трафик Далее тра, KT315 (ok), 12:11 , 07-Янв-13, (79) Перенаправив клиента на левый хост, вы не сможете подделать сертификат, который , Аноним (-), 22:01 , 04-Янв-13, (53) // после чего юзер бездумно тыкнет в кнопку 171 принять и заткнуться 187 , матер, arisu (ok), 02:05 , 05-Янв-13, (66) Это действительно так, только например гугл часто отдает разные сертификаты и оч, an0num0z (?), 18:24 , 05-Янв-13, (71) Да Если уж кто-то читает секретные донесения вслух, а у вас есть возможность по, Ytch (ok), 23:15 , 04-Янв-13, (58) Объясню почему вас минусуют - 99 99 сайтов в интернете с SSL Никакого доверия , дядя (?), 22:38 , 07-Янв-13, (80) Сколько Удивительно, что в такой новости нет ни одного символа , только бред п, Z (??), 07:53 , 04-Янв-13, (21) +1 // Более-менее понятно, что эти сертификаты были тихо выданы под системы выявления , Аноним (-), 09:41 , 04-Янв-13, (23) +1 diginotar2 aka turktrust - давай, до свиданья - , unscrubber (?), 09:23 , 04-Янв-13, (22) –1 ИМХО Доверие не должно происходить автоматически, а до тех пор пока это так 8, Аноним (-), 10:19 , 04-Янв-13, (25) // Готовым к чему Конкретно можно Чушь собачья Костыль костылей Рекомендую внача, Аноним (-), 11:48 , 04-Янв-13, (29) // и какое у него решение текущей проблемы для сертификатов , VoDA (ok), 15:15 , 04-Янв-13, (32) // 1 послать всех на2 покупать сертификаты у него, ему доверять можноКриптографов в, clown (?), 15:39 , 04-Янв-13, (35) –1 Рабинович, не надо перепевать Карузо Ты тоже не читал Шнайера Тащемта - да, дод, Аноним (-), 16:23 , 04-Янв-13, (39) +1 не испортил, а показал несостоятельность доверие, оберегаемое угрозой санкций, , Аноним (-), 21:54 , 04-Янв-13, (52) И не только текущей Пойди на его сайт и почитай Может, просветление наступит , Аноним (-), 16:22 , 04-Янв-13, (38) SSL 8212 это надёжно , arisu (ok), 01:38 , 05-Янв-13, (60) –1 // лениво Толсто же, Арису Толстенный наброс, аж жыр из монитора потек , Аноним (-), 18:40 , 05-Янв-13, (72) +1 SSK TLS v1 2 DNSSEC, Аноним (-), 19:44 , 05-Янв-13, (73) // лучше, чем 171 голый 187 ssl, но не намного к тому же 8212 подписывать в, arisu (ok), 00:28 , 06-Янв-13, (74) MITM-атаки Охохо, MIT - это турецкая гэбня , lincz (?), 02:57 , 06-Янв-13, (76) Порт библиотеки nss на FreeBSD обновили http www freshports org security nss , iZEN (ok), 15:56 , 06-Янв-13, (77) 1,2,10,16,18,21,22,25,60,76,77

Сообщения

[Сортировка по времени | RSS]

	37. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	–1 +/–
	Сообщение от Аноним (-), 04-Янв-13, 16:14
	Спасибо за разъяснения. Прочитал Ваш комментарий с интересом. А если у меня свой днс (например прописаны жестко 8.8.8.8)? По идее это должно снизить вероятность атаки. Кроме SSL пока ничего более надежного для браузеров не наблюдается. Исключая различные альтернативы: свой аля впн-сервер или туннель или какой-то апплет на джаве. Вопрос: Как по Вашему мнению можно улучшить надежность SSL в контексте mitm-атак (включая случаи подмен со стороны провайдеров и не исключая фактор ненадежности удо-центров)? Можно рассмотреть для начала крайности: идеальная схема и реально осуществимая в настоящее время подручными средствами. Вспомнилось: вроде идея подтверждения достоверности сертификата как раз вытекает из голосования несколькими удо-центрами независимыми друг от друга. Чем их больше - тем выше вероятность "правильного подтверждения".
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

	40. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	+/–
	Сообщение от дон педро (?), 04-Янв-13, 16:44
	>А если у меня свой днс (например прописаны жестко 8.8.8.8)? И кто помешает провайдеру перенаправлять пакеты куда нужно? Ещё проще попросить держателя корневого сертификата выдать им на Х дней сертификат. Шах и мат.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	–1 +/–
	Сообщение от Аноним (-), 04-Янв-13, 18:00
	>>А если у меня свой днс (например прописаны жестко 8.8.8.8)? > И кто помешает провайдеру перенаправлять пакеты куда нужно? Ещё проще попросить держателя > корневого сертификата выдать им на Х дней сертификат. Шах и мат. Можно как-то противостоять перенаправлению пакетов в этом случае? Но вообще печалька конечно. Остается только поднимать свой туннель, но и там возможно от другого провайдера перенаправление. В общем нужно для безопасного общения два своих сервера с туннелями, представляющие собой одновременно и клиент и сервер.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	+1 +/–
	Сообщение от Аноним (-), 04-Янв-13, 22:41
	> Можно как-то противостоять перенаправлению пакетов в этом случае? Туннель до своего серванта. Хоть тот же опенвпн, где из доверяемых ауторити оставлена только лично ваша. В таком варианте подделать пакеты будет проблематично. Но это ж надо понимать как все это работает. А типовой хомячок - ну вы поняли.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	+/–
	Сообщение от an0num0z (?), 05-Янв-13, 18:00
	>> Можно как-то противостоять перенаправлению пакетов в этом случае? > Туннель до своего серванта. Хоть тот же опенвпн, где из доверяемых ауторити > оставлена только лично ваша. В таком варианте подделать пакеты будет проблематично. > Но это ж надо понимать как все это работает. А типовой > хомячок - ну вы поняли. при проведении разъяснительной работы и хомячок заинтересуется - но вряд ли сможет что-либо сделать. Без соответствующих знаний и дополнительных усилий заведомо жертва - вы абсолютно правы
	Ответить | Правка | Наверх | Cообщить модератору

	57. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	+/–
	Сообщение от Аноним (-), 04-Янв-13, 22:48
	> А если у меня свой днс (например прописаны жестко 8.8.8.8)? Есть такая штука - "прозрачный прокси". Ну или попросту говоря, технически тот кто передает ваши пакеты может их пропатчить в обе стороны. Он вам может и соврать насчет ответа днс, отредиректить пакеты независимо от того что вам сообщил DNS и прочая. Собственно, SSL/TLS пытаелся бороться в том числе и с этим. Но из-за того что trusted authority легион и любая из них может выписать кому угодно серт на что угодно, хоть на тот же гугл.ком - достаточно одному из списка пролошиться или оказаться не совсем честным и вся схема разваливается. В отдельных применениях типа openvpn это лечится - указанием единственной доверяемой ауторити, вашей. На которую у недругов нет ключа, а остальные - попросту никто и не могут заверить что либо :). Но вот в вебе - оно так не лечится, увы.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	69. "Выявлены обманные SSL-сертификаты, полученные из-за халатнос..."	+/–
	Сообщение от an0num0z (?), 05-Янв-13, 17:57
	>[оверквотинг удален] > вам может и соврать насчет ответа днс, отредиректить пакеты независимо от > того что вам сообщил DNS и прочая. Собственно, SSL/TLS пытаелся бороться > в том числе и с этим. Но из-за того что trusted > authority легион и любая из них может выписать кому угодно серт > на что угодно, хоть на тот же гугл.ком - достаточно одному > из списка пролошиться или оказаться не совсем честным и вся схема > разваливается. В отдельных применениях типа openvpn это лечится - указанием единственной > доверяемой ауторити, вашей. На которую у недругов нет ключа, а остальные > - попросту никто и не могут заверить что либо :). Но > вот в вебе - оно так не лечится, увы. где-то видел статью - разъясняющую как легко обнаружить подмену пакетов и как этому противостоять. Вывод один будущее безопасной сети за персональными серверами. Сейчас народ дурят облаками. Но это легкая нажива. Только свои машинки - не являюсь большим поклонником облаков, но думаю что для защищенности там придется изрядно повозиться. Надо чтобы сервера стали дешевыми как пока еще спички и маленькими таких же размеров а интернет стал бесплатен и РМС высылал как диски с убунтой флэшки с токенами )) И все-же что простым пользователям и разработчикам прикладного софта и админам делать с этим безобразием в SSL. Ведь раньше эти случаи были редки. Надо что-то предпринимать или хотя бы пересмотреть традиционные подходы. Спасибо за развернутый ответ. Может SSL тут не причем в общем. Кроме подделки сертификатов как выясняется слабое звено в первичных не-секурных запросах. Вобщем туннелирование днс запросов через свою доверенную сеть рулит. Может кроме туннелей есть секурный днс?
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Выявлены обманные SSL-сертификаты, полученные из-за..."	–2 +/–
	Сообщение от arisu (ok), 05-Янв-13, 02:01
	> Вопрос: Как по Вашему мнению можно улучшить надежность SSL выкинуть его нафиг. оно починке не поддаётся в принципе: как «запорожец» не тюнь, а «lamborgini» всё равно не получится.
	Ответить | Правка | К родителю #37 | Наверх | Cообщить модератору

	68. "Выявлены обманные SSL-сертификаты, полученные из-за..."	+/–
	Сообщение от an0num0z (?), 05-Янв-13, 17:42
	>> Вопрос: Как по Вашему мнению можно улучшить надежность SSL > выкинуть его нафиг. оно починке не поддаётся в принципе: как «запорожец» не > тюнь, а «lamborgini» всё равно не получится. Простите, а Вы как на гмейл и им подобные ходите и проверяете свои акаунты в онлайне и почту? Только откровенно: вы любите сайты почту, в которых авторизация идет без SSL, а пароли не солятся быстрорастворимой солью? Или может быть это просто старая теплая ненависть к SSL? <--...--> выкинуть всегда успеется, если есть достойная замена. Для меня весь драмматизм с SSL в том, что ему альтернативы нет на фоне браузерных технологий (и не только: все ведь крутится вокруг библиотеки openssl... не так-ли? (хотя эта либа особо тут не причем и не решает "социально-инженерных" проблем) ). Именно это напрягает. Неужели так сложны применяемые технологии? Хотя по-ходу данный монополизм выгоден (вопрос кому) и что подтверждает на практике мы имеем дело с выделяющимися крайностями. С одной стороны монополизм (возможно ошибаюсь но что-то не попадалось альтернатив), с другой жесткая конкуренция и фрагментация + мутная водчика. Хотя man openssl отвечает практически на все вопросы.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Выявлены обманные SSL-сертификаты, полученные из-за..."	–2 +/–
	Сообщение от arisu (ok), 06-Янв-13, 00:57
	> Простите, а Вы как на гмейл и им подобные ходите и проверяете > свои акаунты в онлайне и почту? никак: зачем мне эти зонды? у меня свой сервер, с пингвинами и поэзией. о какой вообще безопасности может идти речь, когда *личная* информация хранится незнамо у кого? ах, да: *свой* сервер. вот он, железный, рядом со мной, можно пощупать. а не загадочное нечто в далёком датацентре. впрочем, если СИЛЬНО хочется обмениваться информацией через гугель, то шифрование никто ещё не отменял. а уж как обменяться ключами — это другой вопрос. > выкинуть всегда успеется, если есть достойная замена. которая не появится, пока «да ладно, оно же даёт иллюзию безопасности. значит — работает. да и бизнес на сертификатах тоже вкусный.»
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема