Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Компанию Nokia уличили в транзитной дешифровке HTTPS-трафика..., opennews (??), 11-Янв-13, (0) [смотреть все] Откровенный обман, как и вся политика Ноклы и ее продукция , Аноним (-), 15:33 , 11-Янв-13, (1) +31 // Нокия не путай с прекрасной фирмой Нокла, wS (?), 15:44 , 11-Янв-13, (6) +26 За что вы так не любите NOKLA Фирме NOKIA скоро придется их подделывать, потому, Аноним (-), 16:05 , 11-Янв-13, (15) +23 // Возможно Вы путаете причину и следствие Достойная компания не подружилась бы с , Aleks Revo (ok), 17:07 , 13-Янв-13, (89) +1 Даже обидно, раньше хорошие телефоны делали, n900, например , Аноним (-), 00:02 , 12-Янв-13, (72) +1 // Ну так пришел троян из редмонда - элоп , Аноним (-), 03:03 , 12-Янв-13, (73) +1 всё верно 8212 за вычетом того, что N900 не телефон это tablet с кое-как пр, arisu (ok), 00:39 , 14-Янв-13, (91) +1 Интересно, кому Элоп сливает инфу о владельцах девайсов Nokia , Nokia RIP (?), 15:37 , 11-Янв-13, (2) +6 // Для майкрософта не впервой фишингом заниматься Они вон в ынтырнет эксплорерах ш, Аноним (-), 16:06 , 11-Янв-13, (16) +4 // FF и Opera шлют на Google Analytics, анонимус (??), 22:00 , 11-Янв-13, (63) –1 // Файрфокс сам по себе на Google Analytics вообще ничего не шлет В чем можно убед, Аноним (-), 22:29 , 11-Янв-13, (68) +3 Тем же, кому Опера сливает инфу об использующих турбо-режим , YetAnotherOnanym (ok), 17:56 , 11-Янв-13, (38) +1 // В опере же отключается А тут нет В том и разница, Аноним (-), 18:16 , 11-Янв-13, (41) +2 http www opera com browser turbo Надежная защита конфиденциальностиДаже при ис, Аноним (-), 19:17 , 11-Янв-13, (47) +4 А еще телефонные звонки прослушиваются, записываются и анализируются американско, Аноним (-), 15:38 , 11-Янв-13, (3) +6 // Раньше их провайдеры сливают СОРМу Прикинь - без предупреждения И, кстати, про, Аноним (-), 16:03 , 11-Янв-13, (13) +1 // А приколись, есть такая штука - секурные туннели Вот бдит прокся, бдит, а там к, Аноним (-), 16:08 , 11-Янв-13, (17) +6 // расскажите, как в анальном аппарате прикрутить туннель , Андрей (??), 17:08 , 11-Янв-13, (32) –3 Берешь голубя, кусочек бумаги, веревочку и ручку остальное по RFC , rshadow (ok), 18:10 , 11-Янв-13, (40) +1 А если голубя прикормили большой брат и ко, и он по дороге еще и к ним залетит, Аноним (-), 18:39 , 11-Янв-13, (42) Новая атака голубь-in-the-middle Реквестую proof-of-concept , XoRe (ok), 18:53 , 11-Янв-13, (44) +5 Вот конкретно в этом фуфле от нокии - вероятно путем приколачивания аппарата на , Аноним (-), 19:50 , 11-Янв-13, (49) Список - в студию, пожалуйста , прохожий (?), 21:12 , 11-Янв-13, (57) Как ни странно, N900 от нокии, например благо выпущен до того как они скурвилис, Аноним (-), 22:10 , 11-Янв-13, (64) +3 Термин ректальный криптоанализ появился не просто так , prokoudine (ok), 22:19 , 11-Янв-13, (67) Ну как бы у него есть важный бонус его довольно сложно произвести втихаря и оно, Аноним (-), 22:31 , 11-Янв-13, (69) +1 желаю тебе его, Аноним (-), 23:40 , 11-Янв-13, (71) +1 Если вспомнить, кто нынче составляет основной контингент разрабов и манагеров M , Аноним (-), 15:39 , 11-Янв-13, (4) +2 // потому-что МС - компания-паразит, доказано всеми её партнёрами , Аноним (-), 15:54 , 11-Янв-13, (10) +7 Как-то так получается что после партнерства мухи с пауком, в паутине неизбежно о, Аноним (-), 16:09 , 11-Янв-13, (18) +10 айЯболко делало тоже самое не , wS (?), 15:43 , 11-Янв-13, (5) +3   // много кто такое делает Но обычно всё же предупреждают, Crazy Alex (ok), 15:46 , 11-Янв-13, (8) –5   // Не обязаны, прикинь И ОпСоСы не предупреждают 72м шрифтом в контрактах, что ВЕС, Аноним (-), 16:02 , 11-Янв-13, (12) +2   // Зеркалят трафик и не дешифруют Пусть СОРМ копается, чо , hizel (ok), 16:05 , 11-Янв-13, (14) +5   что-то я пока ещё НЕ замечал чтобы при подключении к httpS-сайту через ОпСоСа , Xasd (ok), 16:16 , 11-Янв-13, (20) –2   Пусть сливают SSL сессии, мне не жалко А что они с ней делать будут В общем сл, Аноним (-), 16:17 , 11-Янв-13, (21) +3   Только браузер ругнется все равно хоть и не строго если vasyapupkin-supersite , Ytch (ok), 21:41 , 11-Янв-13, (58) +1   Вы не поняли 1 Вы заходите на google com Гуглком отдал один серт Васе Пупки, Аноним (-), 21:53 , 11-Янв-13, (62)   Ты упорот MITM для SSL работает по другому и для этого нужно много условий , nyt (?), 12:12 , 12-Янв-13, (78) –2   Опишите тогда более точную схему, пожалуйста , anonymous (??), 13:25 , 12-Янв-13, (86)   Да вот как раз-таки нет MITM для SSL работает именно так, как описал товаристч , Andrew Kolchoogin (?), 15:04 , 14-Янв-13, (96)   Да понял я это, понял Они говорят о том, что кроме этого плюс к этому, дополни, Ytch (ok), 12:33 , 12-Янв-13, (79)   Опсосы - они по дефолту внешние и недоверенные, SSL - в том числе для защиты от , Crazy Alex (ok), 16:50 , 11-Янв-13, (28)   // Некотрые не учат историю И поэтому не знают чем закончилась любовь к стремным д, Аноним (-), 19:54 , 11-Янв-13, (50) +4   наивно А в этом лучшем из миров, в области публичной связи, есть нестремные де, Аноним (-), 12:46 , 12-Янв-13, (80)   ham radio , arisu (ok), 00:46 , 14-Янв-13, (92)   Они открыли SSL-bump На прокси-серверах Они убили К, Аноним (-), 16:01 , 11-Янв-13, (11) –3 // Ну, слили вы себе SSL сессию И чего Пассивный сниффинг SSL неэффективен А акт, Аноним (-), 16:14 , 11-Янв-13, (19) +3 Во-первых, сорм запоминает время, адреса, количество пакетов, мегобайты С каког, Мимо проходил (?), 16:20 , 11-Янв-13, (24) +3 // При том для ее реализации в браузере должен быть заранее подпихан скомпрометиров, Аноним (-), 16:28 , 11-Янв-13, (25) +3 Обычный - да А с опцией ssl_bump - нет , XoRe (ok), 19:07 , 11-Янв-13, (45) // Если о ssl_bump не предупреждается в лицензии то она незаконна, поскольку занима, Аноним (-), 19:23 , 11-Янв-13, (48) +1 Расскажи это Амосу Джеффрису Угу И - да, ссылку на нарушенный закон, пжалста -, Аноним (-), 12:47 , 12-Янв-13, (81) Ну и чаво толку этому СОРМУ с зашифрованного траффика Замахали уже с этим СОРМом, ЕЕ (?), 23:19 , 12-Янв-13, (87) Я 1 думал,что транзитный сервер не может расшифровать https трафик Так и любой , Anonim (??), 16:38 , 11-Янв-13, (26) // Нет, не любой Только тот, который сможет убедить браузер в том, что сертификат,, Ordu (ok), 16:50 , 11-Янв-13, (27) +2 // Сертификат привязывается к домену и возможно сгененерировать 2 и более сертифика, Anonim (??), 13:12 , 12-Янв-13, (85) Не может Но здесь вендор заботливо оставил в устройстве для себя дыру, сунув св, Crazy Alex (ok), 16:53 , 11-Янв-13, (30) +1 В одной известной компании софт с погонялом TMG имеет фичу ssl inspection из кор, Аноним (-), 17:44 , 11-Янв-13, (36) // А кем фэйк-серт выдан Это как раз теми турками или это кто-то другой отличился , Аноним (-), 19:57 , 11-Янв-13, (51) // больше никогда не старайся показатся умнее, чем ты есть Церт у нас выпускает, , ООО_171Майкрософт_Рус187 (?), 22:43 , 11-Янв-13, (70) –1 Ыгыгы, понятно все с вами Моему файрфоксу к счастью подобные инициативы сильно , Аноним (-), 03:09 , 12-Янв-13, (74) Хомячки - они дома А энтерпрайз админ - админит энтерпрайз, как это не банально, mr_gfd (?), 02:40 , 13-Янв-13, (88) Индюк тоже думал Гуглить SSL_BUMP До просветления , Аноним (-), 12:47 , 12-Янв-13, (82) –1 // и что браузер заорёт натурально, идиотов, у которых в браузере есть 171 безус, arisu (ok), 00:50 , 14-Янв-13, (93) Nokia открыла для себя Opera Mini - Правда похоже забыла пользователей об это, serg1224 (ok), 17:06 , 11-Янв-13, (31) +1 // При соблюдении совсем несложных правил анонимность есть Ни разу не заливал своё, Аноним (-), 17:24 , 11-Янв-13, (35) // Ты не залил - знакомые родственники зальют из самых благих побуждений, или паспо, anonymous (??), 18:01 , 11-Янв-13, (39) +3 // sarcasm Т е по принципу опереди знакомых родственников - залей свои фото сам , Аноним (-), 18:49 , 11-Янв-13, (43) +3 Правда они никак не коррелируют с вон тем сферическим анонимом в вакууме А родс, Аноним (-), 20:00 , 11-Янв-13, (53) И ты ошибаешься Немцы намедни разработали программу, эффективно вычисляющую дыр, Аноним (-), 12:49 , 12-Янв-13, (83) Действительно, зачем мыть руки и заботиться о гигиене Все равно ведь рано или , Аноним (-), 19:58 , 11-Янв-13, (52) +2 Ну так об идеальной защите, да ещё из коробки никто и не говорит Но сделать сто, Crazy Alex (ok), 21:01 , 11-Янв-13, (56) +1 Значит, Нокии 8212 бойкот Не покупать, не пользоваться Вот и все дела , Maresias (ok), 20:09 , 11-Янв-13, (54) +2 // Давно пора Они в г вно скатились , Аноним (-), 20:16 , 11-Янв-13, (55) +2 Блин, никому верить нельзя, кругом одни враги , Сергей (??), 21:43 , 11-Янв-13, (59) +1 // Акулы бизнеса же Дадите палец - отхватят всю руку по локоть , Аноним (-), 22:16 , 11-Янв-13, (65) А мама говорила - Не играй с Болмером , robux (ok), 21:50 , 11-Янв-13, (60) +1 Шпионаж отныне называется акселерация HTTPS-трафика Спасибо, нокла , haku (??), 21:50 , 11-Янв-13, (61) // Борман шёл по коридору рейхсканцелярии и увидел возле одной из дверей Штирлица, , Аноним (-), 22:18 , 11-Янв-13, (66) +1 Начнем с того, что факт - факт, а не домыслы упоротых анонов - именно шпионажа -, Аноним (-), 12:50 , 12-Янв-13, (84) –1 // а в данном случае не важно, доказан или нет налицо mitm-атака с использованием , arisu (ok), 00:56 , 14-Янв-13, (94) https 8212 это надёжно и безопасно , arisu (ok), 00:38 , 14-Янв-13, (90) на gmail com зайдите и на содержимое адресной строки посмотрите -цепочка вида ht, Аноним (-), 10:27 , 14-Янв-13, (95) 1,2,3,4,5,11,26,31,54,59,60,61,90,95

Сообщения

[Сортировка по времени | RSS]

5. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+3 +/–
Сообщение от wS (?), 11-Янв-13, 15:43
айЯболко делало тоже самое! не?
Ответить | Правка | Наверх | Cообщить модератору

	8. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	–5 +/–
	Сообщение от Crazy Alex (ok), 11-Янв-13, 15:46
	много кто такое делает. Но обычно всё же предупреждают
	Ответить | Правка | Наверх | Cообщить модератору

	12. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+2 +/–
	Сообщение от Аноним (-), 11-Янв-13, 16:02
	Не обязаны, прикинь! И ОпСоСы не предупреждают 72м шрифтом в контрактах, что ВЕСЬ твой трафик сливают СОРМу! (иначе лицензию не дадут на услуги публичной связи - ни-ко-му)
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+5 +/–
	Сообщение от hizel (ok), 11-Янв-13, 16:05
	Зеркалят трафик и не дешифруют. Пусть СОРМ копается, чо.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	–2 +/–
	Сообщение от Xasd (ok), 11-Янв-13, 16:16
	> И ОпСоСы не предупреждают 72м шрифтом в контрактах, что ВЕСЬ твой трафик сливают СОРМу что-то я пока ещё НЕ замечал чтобы при подключении к httpS-сайту [через ОпСоСа] -- Firefox показывал бы мне TLS/SSL-сертификат с модифицированным значением Fingerprint :-) так-что утверждение о том что они сливают трафик -- это как-то спорно... больше похоже на то что они сливают мусор :-D :-D [как обычно всё делается для галочки, в нашей рашке]..
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	21. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+3 +/–
	Сообщение от Аноним (-), 11-Янв-13, 16:17
	> ВЕСЬ твой трафик сливают СОРМу! Пусть сливают SSL сессии, мне не жалко. А что они с ней делать будут? В общем случае активный сниффинг (MITM) SSL может детектировать а пассивный - не позволит расшифровать сессию. Сама по себе основа SSL в общем то не настолько уж и плоха. Плоха затея вокруг оного с кучей "доверяемых по дефолту" ауторитей в браузерах. При том что каждая ауторити может выписать сертификат на все. Вплоть до того что Вася Пупкин - это гугл, мамой клянусь!
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	58. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+1 +/–
	Сообщение от Ytch (ok), 11-Янв-13, 21:41
	> Вплоть до того что Вася Пупкин - это гугл, мамой клянусь!   Только браузер ругнется все равно (хоть и не строго) если vasyapupkin-supersite.com дает  сертификат хоть и вроде валидный, но выписаный на google.com. А их встроенный браузер, безо всяких предупреждений жрет сертификат от одного сайта, хотя он и выписан на другой. Цитата: One more thing that should be noticed here is that the DNS request was send for “cloud13.browser.ovi.com” where as certificate (middle one) says it was issued to “cloud1.browser.ovi.com”, and still there was no security warning thrown on the phone.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от Аноним (-), 11-Янв-13, 21:53
	> Только браузер ругнется все равно (хоть и не строго) если vasyapupkin-supersite.com дает >  сертификат хоть и вроде валидный, но выписаный на google.com. Вы не поняли. 1) Вы заходите на google.com. Гуглком отдал один серт...Васе Пупкину! Который вклинился посередине. Вася его радостно получил со своей стороны. И установил секурное соединение с гуглем. Но вам этот серт ясен фиг не отдал совсем. 2) Вася присылает вам другой сертификат. Васин. Где тем не менее, какая-то ауторити (скорее всего другая) из списка доверяемых ауторитей браузера просто мамой клянется что вот именно этот вот Вася и его хост - google.com и все тут. 3) Поскольку Вася прислал вполне валидный на вид сертификат "якобы гуглокома" - для вас все выглядит как будто бы вы просто зашли на гуглоком. Тем не менее, посередине линка сидит Вася. Он получает данные по SSL от вас, расшифровывает их, делает с ними все что сочтет нужным, перешифровавывает и закидывает гуглю (если посчитает нужным). В обратную сторону аналогично. Тем не менее, подобная схема в принципе детектабельна. 1) Айпишник будет не из числа обычно принадлежащих данной конторе. 2) Сертификат, ясен хрен, другой. Если вы ранее юзали этот сервис и у вас есть старый серт, можно сравнить сертификат и если он существенно изменился с того момента - это уже должно вызывать вопросы. В принципе, может быть сертификат и просто перевыпущен. А может быть там наглый MITM орудует. Вариантов два. Собственно основная проблема SSL в том виде как это сделано в браузере - в том что он никак не отслеживает такие фокусы с выпиской некоей ауторити сертификата который уже был выписан на тот же объект другой ауторити. Что позволяет постороннему закосить под этот объект, если одна из ауторитей облажается или обнаглеет.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	–2 +/–
	Сообщение от nyt (?), 12-Янв-13, 12:12
	Ты упорот. MITM для SSL работает по другому и для этого нужно много условий.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от anonymous (??), 12-Янв-13, 13:25
	> Ты упорот. MITM для SSL работает по другому и для этого нужно > много условий. Опишите тогда более точную схему, пожалуйста.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от Andrew Kolchoogin (?), 14-Янв-13, 15:04
	Да вот как раз-таки нет: MITM для SSL работает именно так, как описал товаристч. И проблему он правильно обозначил: всё, что для браузеров Builtin Security Token, является абсолютно доверенным. Поэтому если скомпрометировать закрытый ключ корневой CA, тогда можно выписывать себе сертификаты (валидные!) от любого HTTPS-сервера, посещаемого пользователем, буквально-таки на лету. И такие случаи, как ни странно, бывали: посмотрите в FireFox'е список ревокнутых сертификатов корневых CA, вы таки очень удивитесь. Это фундаментальный design flaw всей модели доверия SSL: есть мнение, что правильней был бы регулируемый кворум (например, сертификат должен быть подписан тремя разными корневыми CA -- или любым другим числом, в зависимости от параноидальности пользователя), но это всё теория. Пока же для того, чтобы стать Builtin Security Token'ом в браузере, надо просто пройти сертификацию на соответствие тем-то и тем-то требованиям -- но человеческий фактор в них учесть довольно сложно.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

	79. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от Ytch (ok), 12-Янв-13, 12:33
	Да понял я это, понял. Они говорят о том, что кроме этого (плюс к этому, дополнительно), не выводится никаких предупреждений даже если сертификат выдан на другое имя.  Идешь на один сайт, тебе суют сертификат от другого и никаких предупреждений. В этом случае ауторити клянется, что это vasyapupkin-supersite.com (и так оно и есть!), хотя вы изначально шли-то на google.com, но браузер решил не беспокоить вас по столь незначительному поводу. Тут даже не нужны шаманства с ауторити и встраиванием сомнительных сертификатов. Может быть, конечно, такой трюк работает только на их собственные сайты, но какая уже разница (если есть в одном случае - будет и в других).
	Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

	28. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от Crazy Alex (ok), 11-Янв-13, 16:50
	Опсосы - они по дефолту внешние и недоверенные, SSL - в том числе для защиты от них. А если не знаешь, что от своего устройства ждать - то на кой оно такое нужно.
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	50. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+4 +/–
	Сообщение от Аноним (-), 11-Янв-13, 19:54
	> своего устройства ждать - то на кой оно такое нужно. Некотрые не учат историю. И поэтому не знают чем закончилась любовь к стремным девайсам у жителей города Троя.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Компанию Nokia уличили в дешифровке HTTPS-трафика с мобильны..."	+/–
	Сообщение от Аноним (-), 12-Янв-13, 12:46
	>> своего устройства ждать - то на кой оно такое нужно. > Некотрые не учат историю. И поэтому не знают чем закончилась любовь к > стремным девайсам у жителей города Троя. (наивно) А в этом лучшем из миров, в области публичной связи, есть нестремные девайсы? Вообще - в природе существуют? Огласите весь список, пжалста!
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Компанию Nokia уличили в дешифровке HTTPS-трафика с..."	+/–
	Сообщение от arisu (ok), 14-Янв-13, 00:46
	> (наивно) А в этом лучшем из миров, в области публичной связи, есть > нестремные девайсы? ham radio.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема