душная гомофобная троллолита
25.11.2015 в 05:50
Пишет Sindani:25.11.2015 в 03:01
Пишет Всё плохо:Компания Dell уличена в действиях, позволяющих организовать незаметный перехват и модификацию соединений с сайтами по HTTPS. На выставляемых в продажу с августа ноутбуках и персональных компьютерах Dell, среди которых модели Inspiron, XPS, Precision и Latitude, зафиксирована поставка закрытого ключа для корневого сертификата eDellRoot, который включён в локальный список доверительных сертификатов Windows.
Данный сертификат позволяет сгенерировать подставной SSL-сертификат для любого сайта и симулировать фиктивное HTTPS-cоединение, которое не приведёт к выводу предупреждения в браузерах Internet Explorer, Edge, Chrome и Safari, использующих список доверительных сертификатов Windows. Firefox не использует общее хранилище сертификатов, поэтому выявляет факт подмены и предупреждает об этом пользователя. Сообщается, что сертификат начал предустанавливаться в августе, но, в отличие от случая с Lenovo, явно не использован производителем для подстановки рекламы или анализа трафика.
Так как на все устройства предустанавливается общий сертификат и он легко может быть извлечён из системного хранилища сертификатов, злоумышленники могут воспользоваться eDellRoot для организации MITM-атаки, в результате которой возможно незаметное изменение или прослушивание HTTPS-трафика пользователей оборудования Dell, на котором установлен данный сертификат (сертификат входит только локальные списки доверия на ПК и ноутбуках Dell и не принимается на системах остальных пользователей).
www.opennet.ru/opennews/art.shtml?num=43390
URL записиДанный сертификат позволяет сгенерировать подставной SSL-сертификат для любого сайта и симулировать фиктивное HTTPS-cоединение, которое не приведёт к выводу предупреждения в браузерах Internet Explorer, Edge, Chrome и Safari, использующих список доверительных сертификатов Windows. Firefox не использует общее хранилище сертификатов, поэтому выявляет факт подмены и предупреждает об этом пользователя. Сообщается, что сертификат начал предустанавливаться в августе, но, в отличие от случая с Lenovo, явно не использован производителем для подстановки рекламы или анализа трафика.
Так как на все устройства предустанавливается общий сертификат и он легко может быть извлечён из системного хранилища сертификатов, злоумышленники могут воспользоваться eDellRoot для организации MITM-атаки, в результате которой возможно незаметное изменение или прослушивание HTTPS-трафика пользователей оборудования Dell, на котором установлен данный сертификат (сертификат входит только локальные списки доверия на ПК и ноутбуках Dell и не принимается на системах остальных пользователей).
www.opennet.ru/opennews/art.shtml?num=43390
А ведь многие возлагают надежды на "анонимность" в Интернете путем использования вот ентого https
-
-
25.11.2015 в 12:04И да, автор новости изрядно рукожоп - в предустановке сертификата самого по себе криминального не очень, чтобы очень - этим тащем-та, все занимаются - от производителей ОС до разработчиков браузера, а вот закрытый ключ прилагать - это разве что какой-нибудь http://www.theregister.co.uk/2015/09/18/d_link_code_signing_key_leak/ может.
Ну и да, проблема с тем, что любой CA может выписать сертификат на любой сервер и он таки пройдет все проверки уже окостыливается с помощью http public key pinning'а со стороны браузера и DANE уровнем ниже. И то, и другое выходит не очень хорошо (ЕМНИП, pinning захардкоден в браузерах для конкретных сайтов, а DNSSEC поддерживают не все резолверы, не все зоны подписаны и вообще DANE статус стандарта не имеет) - примерно как с DKIM\SPF\Sender ID, но народ работает.
-
-
26.11.2015 в 18:52-
-
27.11.2015 в 08:28Эээээ... а грязных подробностей можно?
-
-
27.11.2015 в 17:52-
-
28.11.2015 в 15:15\Рукалицо\ "Остальное", это извиняюсь, что? Добавление российских центров сертификации для работы с ресурсами, защищенными выписанными этими CA сертификатами?
Не, есть конечно альтернатива... Выпустить Государственный Браузер для доступа к Государственным Ресурсам и захардкодить туда открытые ключи сайтов, в этом случае даже сертификаты не нужны, да. Правда при компроментации какой-нито почтыросиии придется браузер перевыпускать - но эт мелочи, главное бизопастность! Еще можно хеши ресурсов в газетах печатать, пусть пользователи глазами сравнивают, не изменилось ли чего при каждом новом входе, открываешь утром газетку и идешь в сбербанк.онлайн - зашибись идея, пойду стартап мутить!
Ну вот работает так x509 - распределенная сеть доверия в которой by design (почти) невозможно установить градации-и-границы этого самого доверия. Доверяешь CA - доверяешь всем (неотозванным) сертификатам этого центра. Если производитель программного продукта Х доверяет центру сертификации (После соответствующего аудита, удостоверяющего выполнение списка требований-и-правил толщиной пальца в три) - он добавляет его в список "доверенных" и тебя не спрашивает. Не нравится - не пользуйся или веди этот список ручками.
Ну да, в жизни с этим !внизапна! возникают проблемы - то какой-нибудь центр сертификации subordinate ca для DLP-оборудования Ну Очень Корпоративных Клиентов выпишет, то какой рукожоп закрытый ключ забудет то Большой Брат нос сунет - вот и пытается народ окостыливать опасные места. Достаточно давно уже пытается. Что-то даже уже выходит.
-
-
29.11.2015 в 22:28