forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Google заблокирует сертификаты DarkMatter в Chrome и Android, opennews (??), 24-Июл-19, (0) [смотреть все]

Демократия защищена, Аноним (1), 07:08 , 24-Июл-19, (1) +4
Ребята занимаются взломом систем за деньги и удивляются почему их сертификатам н, A.Stahl (ok), 07:08 , 24-Июл-19, (2) +8 //

то ли дело честнейшие ребята из гуглезилы, просто собирающие информацию, в том ч, пох. (?), 07:23 , 24-Июл-19, (3) –6
Гугл занимается сливом спецслужбам всего, что есть на андроидах кто, где, когда, Аноним (4), 07:32 , 24-Июл-19, (4) +4 //

И эти спецслужбы АНБ гнобят россиян в России гы-гы-гы , Аноним (-), 08:36 , 24-Июл-19, (6) –5 //

Эти спецслужбы загнали всех в логическую яму Безопасность нужна Нужна Безопас, Константавр (ok), 09:27 , 24-Июл-19, (8) +9

нет, альтернативно-одаренные разработчики мурзилохрома В спецслужбах таких не т, пох. (?), 10:22 , 24-Июл-19, (12) +1

Разве в цепи доверия нет места своим сертификатам Все от модели угроз и ресурсов, Аноним (-), 11:14 , 24-Июл-19, (15)

нет если ты имеешь в виду свой CA Разьве что ты готов ограничиться единственн, пох. (?), 12:06 , 24-Июл-19, (21)

Значит вы соврали, сказав что пользуетесь виндой Вон ниже Аноним пишет, что нужн, Аноним (26), 13:43 , 24-Июл-19, (26)

так я и в винде могу запустить какую-нибудь мурзилу 3 6 38, сам же ее и собрав , пох. (?), 14:16 , 24-Июл-19, (28) +3

Ничего себе, это вы молодец, что умеете такое Думаю лиса менее опасна чем зонд , Аноним (29), 14:39 , 24-Июл-19, (29)

а по-моему они - одинаковые c даже сливает той же GA нет, мне еще надо есть,, пох. (?), 14:48 , 24-Июл-19, (30) +2

Как вас корёжит-то Выехали бы из Казахстана каким-то чудом И, о сюрприз, кр, Annual (??), 07:38 , 25-Июл-19, (77)

вроде можно и без центров доверия обходится в том же блокчейне , DmA (??), 14:54 , 24-Июл-19, (31) –1

Нет, пока только тех дурачков, которые вздумали спрятаться в разных гостеприимны, Аноним (9), 09:47 , 24-Июл-19, (9) +1

Им там хорошо и без сертификатов, Аноним (-), 11:19 , 24-Июл-19, (19)

Гугл занимается сливом всего того что пользователи ему САМИ добровольно передали, Ilya Indigo (ok), 12:00 , 24-Июл-19, (20) //

араб тоже занимается тем же самым - ты установил гуглозонд - ты добровольно пере, пох. (?), 12:09 , 24-Июл-19, (22) –2
Гугель сливает всю информацию которая через него проходит, хочешь ты этого или н, Аноним (32), 15:06 , 24-Июл-19, (32)
Скрыто модератором, Аноним (36), 15:18 , 24-Июл-19, (36) –2
Разницу чувствуете Заценил тут давече обновления в Ян приложениях Одно как-то, Аноним (68), 23:23 , 24-Июл-19, (68)

Но не тем спецслужбам, которые сажают и убивают людей за нарушение норм ислама , IRASoldier_registered (ok), 15:54 , 24-Июл-19, (39) –2 //

мы политкорректные и толерантные - заплатят те - сольем и тем Кредит под 0 на д, гугель (?), 16:42 , 24-Июл-19, (40) +2
Да, и правда, только за нарушение норм демократии , Аноним (44), 16:51 , 24-Июл-19, (44) +1

Вы так это говорите, как будто бы в этом есть что-то плохое Небось для _запрещё, IRASoldier_registered (ok), 17:47 , 24-Июл-19, (51) –3

Зачастую нормы демократии - просто ширма для прикрытия геополитических и комме, Аноним (44), 18:29 , 24-Июл-19, (54) +1

Племя Ы любит убивать иноплеменников просто так, в силу дикости натуры Племя У , IRASoldier_registered (ok), 18:51 , 24-Июл-19, (56) –1

А зрение у Вас тоже черно-белое Никаких других оттенков не видите , жабабыдлокодер (ok), 21:38 , 24-Июл-19, (60)

Повторяю ещё раз - меньшее из зол , т е чёрное или белое Поаккуратнее на, IRASoldier_registered (ok), 22:31 , 24-Июл-19, (65)

Есть и другие варианты - еще меньшие из зол , жабабыдлокодер (ok), 23:11 , 24-Июл-19, (66)

Тестами покрывал , IRASoldier_registered (ok), 23:35 , 24-Июл-19, (71)

А придётся Отказ принимать ответ не принимается , YetAnotherOnanym (ok), 23:19 , 24-Июл-19, (67)

Непринятие отказа принимать ответ не принимается Это реальная политика, а не ми, IRASoldier_registered (ok), 23:30 , 24-Июл-19, (69)

Отказ от неприятия отказа не принимается Оба племени одинаково заслуживают пого, YetAnotherOnanym (ok), 23:45 , 24-Июл-19, (74)

Экстремист одна штука детектед Может быть экоэкстремист, может быть просто псих, IRASoldier_registered (ok), 17:35 , 25-Июл-19, (87)

Чувствуется зонская школа Странно только что вопрос про два стула с пиками точе, Аноним (70), 23:31 , 24-Июл-19, (70)

Да, сильно специфика национальной истории влияет на некоторых Везде им зона мер, IRASoldier_registered (ok), 23:37 , 24-Июл-19, (72)

Ну ты так не вертись-то ужом Если на тебе специфика месторождения сказалась так, Аноним (70), 23:39 , 24-Июл-19, (73)

Переставай пить коньяк по утрам, а то у тебя в глазах всё время будет вертеться , IRASoldier_registered (ok), 17:36 , 25-Июл-19, (88)

Как позорно слился Впрочем как и всегда здесь в обсуждениях Фантик ты , Аноним (92), 02:43 , 26-Июл-19, (92)

Но Ислам -- это не просто так, в силу дикости натуры А вот это ваше дело -- , Annual (??), 06:17 , 25-Июл-19, (76) +1

Неужели - , IRASoldier_registered (ok), 17:38 , 25-Июл-19, (89)

Прежде чем удивляться, было б неплохо ознакомиться с доказательствами Да что та, AlexYeCu_not_logged (?), 00:15 , 25-Июл-19, (75) –1

когда любой УЦ может выпускать сертификаты для любого домена - вся эта инфрастру, жека воробьев (?), 08:01 , 24-Июл-19, (5) +7 //

Она изначально фиговый лист и профанация Доверять можно только тому, кого ты зн, Аноним (9), 09:49 , 24-Июл-19, (10) +5 //

Таки оно так и работает Иначе никак, Аноним (-), 11:15 , 24-Июл-19, (16) +1 //

так оно - не работает В браузере в целом и в openssl в частности такого механиз, пох. (?), 12:16 , 24-Июл-19, (24)

Ну почему же, в библиотеку openssl вполне можно подать свой список сертификатов , Аноним (44), 16:57 , 24-Июл-19, (46)

таки чем это тебе поможет Проблема в ее неумении обрабатывать ошибки которые, пох. (?), 17:29 , 24-Июл-19, (49)

Например, есть у меня программа, которая коннектится ровно к одному серверу, и б, Аноним (44), 18:11 , 24-Июл-19, (53)

замечательно, но у меня нет такой программы, а если бы и была - вряд ли я бы ста, пох. (?), 18:34 , 24-Июл-19, (55)

Ну, у тебя нет, а у других есть Это не отдельный клиент, это то, как openssl , Аноним (44), 19:20 , 24-Июл-19, (57)

ну я рад за вас, только вот мне браузер нужен, а не непонятная программа Во всех, пох. (?), 21:54 , 24-Июл-19, (63)

Так я с этим никогда и не спорил, даже сказал, что в целом посыл правильный Зач, Аноним (44), 11:34 , 25-Июл-19, (80)

ну для начала - банально тот же pkp-наоборот, или то что делает делал certpatr, пох. (?), 14:08 , 25-Июл-19, (82) +1
Спасибо, что расписал мысли Я не со всем согласен, что-то не понял, но все равн, Аноним (44), 16:00 , 25-Июл-19, (86)

Туннель без openssl Ну, наверное такие бывают Но чаще решения для туннелей к, Аноним (44), 13:51 , 25-Июл-19, (81)

ipsec, pptp - нее, не слышал - Как бы обычно этих называют первыми, а не всем, пох. (?), 14:34 , 25-Июл-19, (85)

Цензура в сети Нет, это просто браузер, используйте старые версии, если они зар, Аноним (11), 10:11 , 24-Июл-19, (11) +4 //

так оно у нас естьcurl, Аноним (-), 11:15 , 24-Июл-19, (17) +1
вот про бизнес прямо в яблочко , lurkr (ok), 12:31 , 24-Июл-19, (25)

А что, логично PKI - это не техническая инфраструктура, а гуманитарная В её осн, Аноним (13), 10:30 , 24-Июл-19, (13) //

Хорошо,что войны так не начинаются Хотя постойте , Аноним (14), 11:02 , 24-Июл-19, (14) +4
Вопрос на лицо - Что и кому вы доверяете посредством сертификатов этих центров , Аноним (-), 11:18 , 24-Июл-19, (18) +2 //

проблема в том, что доверяет не он, а гугль Его гугль даже не спрашивает, довер, пох. (?), 16:47 , 24-Июл-19, (43) +2

проблема что о недоверии заявляют какие-то сми, решение принимают корпорации, а , пох. (?), 12:13 , 24-Июл-19, (23) +3 //

1 Функционала в браузере не предусмотрено потому что функционал это функция, за, Аноним (36), 15:15 , 24-Июл-19, (34) –2 //

его продукт называется интернет Нет, я не могу его создать свой И нет, его , пох. (?), 16:44 , 24-Июл-19, (41) –1

Ты бредишь Продукт из-за которого ты плачешь называется Google Chrome, это брау, Аноним (36), 16:56 , 24-Июл-19, (45) –3

из двух браузеров Внезапно, скопировавший из того, другого браузера, ничем толк, пох. (?), 17:51 , 24-Июл-19, (52)
В смысле 8211 бесплатно разгадывать и вводить гуглокапчу в одном из двух 0 г, Аноним84701 (ok), 20:04 , 24-Июл-19, (58) –1

ну что ты, что ты - только в одном В том, в котором по команде удалить к чертя, пох. (?), 21:40 , 24-Июл-19, (61)

Мда Я много Вас читаю и дело обстоит примерно так У Вас хакнута или перегружен, Павел Отредиез (?), 18:28 , 25-Июл-19, (90)

а вот гугль так не считает казалось бы, люди за которыми охотятся арабские спец, пох. (?), 22:50 , 25-Июл-19, (91)

Факт остаётся фактом PKI не работает Точнее говоря, PKI позволяет любому CA про, Аноним (27), 14:10 , 24-Июл-19, (27) //

Про Certificate Transparency ты не слышал, копротивляльщик мамкин Я про каждый , Аноним (36), 15:17 , 24-Июл-19, (35) –3 //

Про каждый-каждый Точно Вот, скажем в соседней новости сообщают в kz ка, Andrey Mitrofanov_N0 (??), 15:44 , 24-Июл-19, (38) +3

ну как раз СА из списков публичных ЦА в хроме так сделать не смогут Хром такой , Аноним (83), 14:12 , 25-Июл-19, (83) –1
ну как раз СА из списков публичных ЦА в хроме так сделать не смогут Хром такой , Аноним (83), 14:13 , 25-Июл-19, (84) –1

Я один не понимаю чему все ринулись защищать этот убогий УЦ Чем их меньше тем л, Аноним (59), 21:21 , 24-Июл-19, (59) +2 //

да, должен остаться только letshitcrypt , пох. (?), 21:41 , 24-Июл-19, (62) –1

Ну вот, цензура от гуглемозеллы , Аноним (79), 11:13 , 25-Июл-19, (79) –1

Сообщения [Сортировка по времени | RSS]

5. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +7 +/–

Сообщение от жека воробьев (?), 24-Июл-19, 08:01

когда любой УЦ может выпускать сертификаты для любого домена - вся эта инфраструктура фиговый лист

Ответить | Правка | Наверх | Cообщить модератору

10. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +5 +/–

Сообщение от Аноним (9), 24-Июл-19, 09:49

Она изначально фиговый лист и профанация. Доверять можно только тому, кого ты знаешь. С кем при личной встрече обменялся ключами. Всё остальное - фуфло.

Ответить | Правка | Наверх | Cообщить модератору

16. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +1 +/–

Сообщение от Аноним (-), 24-Июл-19, 11:15

Таки оно так и работает ))
Иначе никак

Ответить | Правка | Наверх | Cообщить модератору

24. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от пох. (?), 24-Июл-19, 12:16

так оно - не работает. В браузере в целом и в openssl в частности такого механизма просто не предусмотрено. И построить его на этих деталях - нельзя, только все выбрасывать и делать с нуля, руками.

Ответить | Правка | Наверх | Cообщить модератору

46. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 24-Июл-19, 16:57

Ну почему же, в библиотеку openssl вполне можно подать свой список сертификатов. Из своей программы, которая линкуется с openssl. Перелопачивать список сертификатов в браузере - непрактично, да.

Ответить | Правка | Наверх | Cообщить модератору

49. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от пох. (?), 24-Июл-19, 17:29

> Ну почему же, в библиотеку openssl вполне можно подать свой список сертификатов.
таки чем это тебе поможет? Проблема в ее неумении обрабатывать "ошибки" (которые на самом деле не ошибки, а несовпадение ее представлений о мире с реальностью) и предоставлять выбор приложению и через него - пользователю - причем эта проблема сидит на уровне разработчиков, героически выпиливающих "устаревшие" протоколы и шифры, помимо прочего.
Не говоря уже о том, что она дырява и крива от рождения - автор оригинальной ssleay вовсе не думал ни о какой безопасности, ему надо было "как-нибудь с юникс-системы приконнектиться к шифрованному серверу".
В мазиле все еще веселее, ибо поверх присвинячена nss, и это вообще ад, трэш и п-ц устаревший на 25 лет со своим собственным нескучным интерфейсом, которым умеют пользоваться (теоретически) только авторы мазилы.

Ответить | Правка | Наверх | Cообщить модератору

53. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 24-Июл-19, 18:11

> таки чем это тебе поможет?
Например, есть у меня программа, которая коннектится ровно к одному серверу, и больше ей не нужно. И я могу openssl подать только те сертификаты (в том числе самодельные), которые нужны для проверки сертификата того сервера. И никакой Digicert или Comodo мне сертификат того сервера не подделает.
И, безотносительно того, поможет мне это или нет, я просто поправил твое утверждение "в openssl в частности такого механизма [как обмен ключами заранее, при личной встрече или по-другому] просто не предусмотрено". Да я могу вообще забить на все проверки openssl и сравнить серверный сертификат побитово с заранее полученным эталоном, если захочется. Ну, то есть конкретно это утверждение твое неверное. А другие может и верны. И общий посыл тоже правильный.
> Проблема в ее неумении обрабатывать "ошибки" (которые на самом деле не ошибки, а несовпадение ее представлений о мире с реальностью) и предоставлять выбор приложению и через него - пользователю - причем эта проблема сидит на уровне разработчиков
Ну вот видишь, сам же говоришь, что проблемы на уровне разработчиков (разработчиков браузеров, я так понимаю?), а не на уровне openssl. А openssl проверяет то, что согласно ее функционалу логично проверять и на тех данных, к которым у openssl есть доступ. Если хочется устроить проверки на данных, к которым openssl доступа не имеет - это другой код или другая библиотека должна делать.
> автор оригинальной ssleay вовсе не думал ни о какой безопасности, ему надо было "как-нибудь с юникс-системы приконнектиться к шифрованному серверу".
Вот эта информация откуда? Просто предположение?

Ответить | Правка | Наверх | Cообщить модератору

55. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от пох. (?), 24-Июл-19, 18:34

> Например, есть у меня программа, которая коннектится ровно к одному серверу, и больше ей не
> нужно.
замечательно, но у меня нет такой программы, а если бы и была - вряд ли я бы стал ради нее писать свой отдельный клиент.
Если сервер мой - скорее всего обернул бы траффик в туннель, и избавился от лишнего ненужно в виде openssl.

> "в openssl в частности такого механизма [как обмен ключами заранее, при личной встрече или
> по-другому] просто не предусмотрено". Да я могу вообще забить на все проверки openssl
и написать свою заново - можешь, теоретически. Но детей твоих кто кормить все это время будет - штандартенфюрер?
Это и есть "не предусмотрено".
> Ну вот видишь, сам же говоришь, что проблемы на уровне разработчиков (разработчиков браузеров,
> я так понимаю?),
нет, они начинаются с разработчиков самой openssl. Вот включая их любовь в каждой новой версии решать за тебя, какими протоколами тебе "безопастно" пользоваться. Хотя это вообще не собачье дело низкоуровневой библиотеки.
И заканчивая ее интерфейсом - совершенно невменяемым, все эти закорючки внутренних макросов - они не только потому что разработчики браузеров такие козлы (хотя они да) а еще и потому, что она возвращает крайне мало или ноль информации и в неудобоприменимом формате.
отчасти из-за этого мазила пилила свою libnss (правда, получилось как всегда)
> Если хочется устроить проверки на данных, к которым openssl доступа не имеет
наоборот - только она к ним доступ и имеет, если ты вообще планируешь ей пользоваться.
> Вот эта информация откуда? Просто предположение?
оттуда, что я застал и ssleay, и ее "документацию" (впрочем, у openssl много лет не было никакой вообще) и радостные письма разработчика "го, я создал, мы теперь можем https!"

Ответить | Правка | Наверх | Cообщить модератору

57. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 24-Июл-19, 19:20

> замечательно, но у меня нет такой программы,
Ну, у тебя нет, а у других есть. :)
> а если бы и была - вряд ли я бы стал ради нее писать свой отдельный клиент.
Это не отдельный клиент, это то, как openssl в программах используется. Ты либо подаешь в openssl "системную конфигурацию", либо свой список сертификатов. A сия "системная конфигурация", в удобоваримом для openssl виде, не на всех ОС вообще-то присутствует. И подать свой список сертификатов - вообще-то не сложно.
> Если сервер мой - скорее всего обернул бы траффик в туннель, и избавился от лишнего ненужно в виде openssl.
Ага, а туннель у тебя сам собой образуется, без openssl или других средств шифрования и аутентификации. И сам настроится на всех клиентских устройствах на всех ОСях. Далеко не всегда туннель городить имеет смысл, не всегда это даже возможно.
> Но детей твоих кто кормить все это время будет - штандартенфюрер?
Очевидно, работодатель, для которого я ту програму и пишу. :)

Ответить | Правка | Наверх | Cообщить модератору

63. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от пох. (?), 24-Июл-19, 21:54

> Ну, у тебя нет, а у других есть. :)
ну я рад за вас, только вот мне браузер нужен, а не непонятная программа.
Во всех остальных случаях я предпочитаю без openssl'я.
> Это не отдельный клиент, это то, как openssl в программах используется. Ты
> либо подаешь в openssl "системную конфигурацию", либо свой список сертификатов. A
ну да, и что с того? (собственно, гуглезила свой список и подает, она ничего не знает ни о каких системных, наоборот - то что в линухе у вас считается "системным" - понатырено с ее исходников)
> ОС вообще-то присутствует. И подать свой список сертификатов - вообще-то не
> сложно.
какую проблему он этим решит применительно к браузеру? То и оно - никакой.
> Ага, а туннель у тебя сам собой образуется, без openssl или других
без ненужного ssl-bloatware - да, разумеется. (нет, идея сертификатов как одного из средств авторизации мне в целом нравится, но реализация - ни к черту)
> средств шифрования и аутентификации.
так другие-то руками сделаны. А где опенссл - там сразу и начинается - ой уязвимость, ой не работает то, не работает это...
>> Но детей твоих кто кормить все это время будет - штандартенфюрер?
> Очевидно, работодатель, для которого я ту програму и пишу. :)
ну рад за твоего работодателя, только нам бы - браузер.
Работодателей под них ровно два, оба г-но.
Предположим даже, ты решился сделать форк. Объем работ и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь? Вот ровно об этом и шла речь.

Ответить | Правка | Наверх | Cообщить модератору

80. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 25-Июл-19, 11:34

> Предположим даже, ты решился сделать форк [браузера]. Объем работ и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь? Вот ровно об этом и шла речь.
Так я с этим никогда и не спорил, даже сказал, что в целом посыл правильный. Зачем меня так активно убеждать в том, с чем я и так согласен - непонятно. :)
> и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь?
Вот, кстати, не представляю. Может расскажешь, как правильно? И чтобы взлетело в современном Интернете, чтоб масштабируемо было и т.д.? А то были разные попытки, типа Convergence, Monkeysphere, но как-то не взлетели.

Ответить | Правка | Наверх | Cообщить модератору

82. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +1 +/–

Сообщение от пох. (?), 25-Июл-19, 14:08

> Вот, кстати, не представляю. Может расскажешь, как правильно?
ну для начала - банально. тот же pkp-наоборот, или то что делает(делал) certpatrol - "у уже знакомого нам сертфиката изменился CA - на какого-то даркшиттер, открываем сайтец или ну его нахрен?" Для этого надо, для начала, вернуть в браузер обратно поддержку гуя операционной системы, с рисованием диалогов, а не трэш-"страниц" - страница - она занята веб-содержимым (а диалог про сертификат мог относиться к 1x1px.gif на ней или css)
Дальше больше - нормальные, а не "tls min level" настройки выбора протоколов и алгоритмов, per host, и, кстати, с нормальным доступом к per-host настройкам через опять же интерфейс, а не пиксельхантинг в букве i.
Выброс на помойку sni - опять с предуреждением пользователю - "ты шел на одессу а вышел на какую-то cloudflare - хочешь ты передать ей информацию, или лучше нафиг?"
Восстановление и расширение tls renegotiation, ликвидированной борцунами за псевдосекьюрить (после того предупреждения надо бы переинициализировать сессию - теперь уже для выяснения, а там вообще есть ли сертификат искомого сайта, опять с предупреждением пользователю, если его там вообще нет или вернули нечто странное - понадобится расширение протокола, ага, нет, меганавороты defective by design esni не нужны - шифрованный канал у нас уже есть)
Чтоб взлетело в современном интернете, не для полутора фриков - его надо сперва у гугля отжать. В противном случае тот примет меры, чтоб не взлетело.

Ответить | Правка | Наверх | Cообщить модератору

86. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 25-Июл-19, 16:00

Спасибо, что расписал мысли. Я не со всем согласен, что-то не понял, но все равно спасибо.

Ответить | Правка | Наверх | Cообщить модератору

81. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от Аноним (44), 25-Июл-19, 13:51

> [туннели] руками сделаны ... без ненужного ssl-bloatware ... А где опенссл - там сразу и начинается - ой уязвимость, ой не работает то, не работает это...
Туннель без openssl? Ну, наверное такие бывают... Но чаще решения для туннелей как раз используют openssl под капотом. Со всеми вытекающими уязвимостями и неработостями. Проверил вот навскидку: stunnel, vtun, openvpn - все используют openssl.

Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

85. "Google заблокирует сертификаты DarkMatter в Chrome и Android" +/–

Сообщение от пох. (?), 25-Июл-19, 14:34

> Туннель без openssl? Ну, наверное такие бывают...
ipsec, pptp - нее, не слышал? ;-) Как бы обычно этих называют первыми, а не всеми давно вроде забытый stunnel.
ну или хоть любимый админами c опеннета wireгад - там все честно, при некоторых странностях, вся шифросистема написана автором вручную и, как минимум, исходя из верных идей, так что, возможно, правильно.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

5. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+7 +/–
Сообщение от жека воробьев (?), 24-Июл-19, 08:01
когда любой УЦ может выпускать сертификаты для любого домена - вся эта инфраструктура фиговый лист
Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+5 +/–
	Сообщение от Аноним (9), 24-Июл-19, 09:49
	Она изначально фиговый лист и профанация. Доверять можно только тому, кого ты знаешь. С кем при личной встрече обменялся ключами. Всё остальное - фуфло.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+1 +/–
	Сообщение от Аноним (-), 24-Июл-19, 11:15
	Таки оно так и работает )) Иначе никак
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от пох. (?), 24-Июл-19, 12:16
	так оно - не работает. В браузере в целом и в openssl в частности такого механизма просто не предусмотрено. И построить его на этих деталях - нельзя, только все выбрасывать и делать с нуля, руками.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 24-Июл-19, 16:57
	Ну почему же, в библиотеку openssl вполне можно подать свой список сертификатов. Из своей программы, которая линкуется с openssl. Перелопачивать список сертификатов в браузере - непрактично, да.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от пох. (?), 24-Июл-19, 17:29
	> Ну почему же, в библиотеку openssl вполне можно подать свой список сертификатов. таки чем это тебе поможет? Проблема в ее неумении обрабатывать "ошибки" (которые на самом деле не ошибки, а несовпадение ее представлений о мире с реальностью) и предоставлять выбор приложению и через него - пользователю - причем эта проблема сидит на уровне разработчиков, героически выпиливающих "устаревшие" протоколы и шифры, помимо прочего. Не говоря уже о том, что она дырява и крива от рождения - автор оригинальной ssleay вовсе не думал ни о какой безопасности, ему надо было "как-нибудь с юникс-системы приконнектиться к шифрованному серверу". В мазиле все еще веселее, ибо поверх присвинячена nss, и это вообще ад, трэш и п-ц устаревший на 25 лет со своим собственным нескучным интерфейсом, которым умеют пользоваться (теоретически) только авторы мазилы.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 24-Июл-19, 18:11
	> таки чем это тебе поможет? Например, есть у меня программа, которая коннектится ровно к одному серверу, и больше ей не нужно. И я могу openssl подать только те сертификаты (в том числе самодельные), которые нужны для проверки сертификата того сервера. И никакой Digicert или Comodo мне сертификат того сервера не подделает. И, безотносительно того, поможет мне это или нет, я просто поправил твое утверждение "в openssl в частности такого механизма [как обмен ключами заранее, при личной встрече или по-другому] просто не предусмотрено". Да я могу вообще забить на все проверки openssl и сравнить серверный сертификат побитово с заранее полученным эталоном, если захочется. Ну, то есть конкретно это утверждение твое неверное. А другие может и верны. И общий посыл тоже правильный. > Проблема в ее неумении обрабатывать "ошибки" (которые на самом деле не ошибки, а несовпадение ее представлений о мире с реальностью) и предоставлять выбор приложению и через него - пользователю - причем эта проблема сидит на уровне разработчиков Ну вот видишь, сам же говоришь, что проблемы на уровне разработчиков (разработчиков браузеров, я так понимаю?), а не на уровне openssl. А openssl проверяет то, что согласно ее функционалу логично проверять и на тех данных, к которым у openssl есть доступ. Если хочется устроить проверки на данных, к которым openssl доступа не имеет - это другой код или другая библиотека должна делать. > автор оригинальной ssleay вовсе не думал ни о какой безопасности, ему надо было "как-нибудь с юникс-системы приконнектиться к шифрованному серверу". Вот эта информация откуда? Просто предположение?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	55. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от пох. (?), 24-Июл-19, 18:34
	> Например, есть у меня программа, которая коннектится ровно к одному серверу, и больше ей не > нужно. замечательно, но у меня нет такой программы, а если бы и была - вряд ли я бы стал ради нее писать свой отдельный клиент. Если сервер мой - скорее всего обернул бы траффик в туннель, и избавился от лишнего ненужно в виде openssl. > "в openssl в частности такого механизма [как обмен ключами заранее, при личной встрече или > по-другому] просто не предусмотрено". Да я могу вообще забить на все проверки openssl и написать свою заново - можешь, теоретически. Но детей твоих кто кормить все это время будет - штандартенфюрер? Это и есть "не предусмотрено". > Ну вот видишь, сам же говоришь, что проблемы на уровне разработчиков (разработчиков браузеров, > я так понимаю?), нет, они начинаются с разработчиков самой openssl. Вот включая их любовь в каждой новой версии решать за тебя, какими протоколами тебе "безопастно" пользоваться. Хотя это вообще не собачье дело низкоуровневой библиотеки. И заканчивая ее интерфейсом - совершенно невменяемым, все эти закорючки внутренних макросов - они не только потому что разработчики браузеров такие козлы (хотя они да) а еще и потому, что она возвращает крайне мало или ноль информации и в неудобоприменимом формате. отчасти из-за этого мазила пилила свою libnss (правда, получилось как всегда) > Если хочется устроить проверки на данных, к которым openssl доступа не имеет наоборот - только она к ним доступ и имеет, если ты вообще планируешь ей пользоваться. > Вот эта информация откуда? Просто предположение? оттуда, что я застал и ssleay, и ее "документацию" (впрочем, у openssl много лет не было никакой вообще) и радостные письма разработчика "го, я создал, мы теперь можем https!"
	Ответить \| Правка \| Наверх \| Cообщить модератору


	57. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 24-Июл-19, 19:20
	> замечательно, но у меня нет такой программы, Ну, у тебя нет, а у других есть. :) > а если бы и была - вряд ли я бы стал ради нее писать свой отдельный клиент. Это не отдельный клиент, это то, как openssl в программах используется. Ты либо подаешь в openssl "системную конфигурацию", либо свой список сертификатов. A сия "системная конфигурация", в удобоваримом для openssl виде, не на всех ОС вообще-то присутствует. И подать свой список сертификатов - вообще-то не сложно. > Если сервер мой - скорее всего обернул бы траффик в туннель, и избавился от лишнего ненужно в виде openssl. Ага, а туннель у тебя сам собой образуется, без openssl или других средств шифрования и аутентификации. И сам настроится на всех клиентских устройствах на всех ОСях. Далеко не всегда туннель городить имеет смысл, не всегда это даже возможно. > Но детей твоих кто кормить все это время будет - штандартенфюрер? Очевидно, работодатель, для которого я ту програму и пишу. :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	63. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от пох. (?), 24-Июл-19, 21:54
	> Ну, у тебя нет, а у других есть. :) ну я рад за вас, только вот мне браузер нужен, а не непонятная программа. Во всех остальных случаях я предпочитаю без openssl'я. > Это не отдельный клиент, это то, как openssl в программах используется. Ты > либо подаешь в openssl "системную конфигурацию", либо свой список сертификатов. A ну да, и что с того? (собственно, гуглезила свой список и подает, она ничего не знает ни о каких системных, наоборот - то что в линухе у вас считается "системным" - понатырено с ее исходников) > ОС вообще-то присутствует. И подать свой список сертификатов - вообще-то не > сложно. какую проблему он этим решит применительно к браузеру? То и оно - никакой. > Ага, а туннель у тебя сам собой образуется, без openssl или других без ненужного ssl-bloatware - да, разумеется. (нет, идея сертификатов как одного из средств авторизации мне в целом нравится, но реализация - ни к черту) > средств шифрования и аутентификации. так другие-то руками сделаны. А где опенссл - там сразу и начинается - ой уязвимость, ой не работает то, не работает это... >> Но детей твоих кто кормить все это время будет - штандартенфюрер? > Очевидно, работодатель, для которого я ту програму и пишу. :) ну рад за твоего работодателя, только нам бы - браузер. Работодателей под них ровно два, оба г-но. Предположим даже, ты решился сделать форк. Объем работ и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь? Вот ровно об этом и шла речь.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	80. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 25-Июл-19, 11:34
	> Предположим даже, ты решился сделать форк [браузера]. Объем работ и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь? Вот ровно об этом и шла речь. Так я с этим никогда и не спорил, даже сказал, что в целом посыл правильный. Зачем меня так активно убеждать в том, с чем я и так согласен - непонятно. :) > и вообще как правильно надо работать с сертификатами без доверия к CA и возможностью для пользователя вмешаться на любом этапе - представляешь? Вот, кстати, не представляю. Может расскажешь, как правильно? И чтобы взлетело в современном Интернете, чтоб масштабируемо было и т.д.? А то были разные попытки, типа Convergence, Monkeysphere, но как-то не взлетели.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	82. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+1 +/–
	Сообщение от пох. (?), 25-Июл-19, 14:08
	> Вот, кстати, не представляю. Может расскажешь, как правильно? ну для начала - банально. тот же pkp-наоборот, или то что делает(делал) certpatrol - "у уже знакомого нам сертфиката изменился CA - на какого-то даркшиттер, открываем сайтец или ну его нахрен?" Для этого надо, для начала, вернуть в браузер обратно поддержку гуя операционной системы, с рисованием диалогов, а не трэш-"страниц" - страница - она занята веб-содержимым (а диалог про сертификат мог относиться к 1x1px.gif на ней или css) Дальше больше - нормальные, а не "tls min level" настройки выбора протоколов и алгоритмов, per host, и, кстати, с нормальным доступом к per-host настройкам через опять же интерфейс, а не пиксельхантинг в букве i. Выброс на помойку sni - опять с предуреждением пользователю - "ты шел на одессу а вышел на какую-то cloudflare - хочешь ты передать ей информацию, или лучше нафиг?" Восстановление и расширение tls renegotiation, ликвидированной борцунами за псевдосекьюрить (после того предупреждения надо бы переинициализировать сессию - теперь уже для выяснения, а там вообще есть ли сертификат искомого сайта, опять с предупреждением пользователю, если его там вообще нет или вернули нечто странное - понадобится расширение протокола, ага, нет, меганавороты defective by design esni не нужны - шифрованный канал у нас уже есть) Чтоб взлетело в современном интернете, не для полутора фриков - его надо сперва у гугля отжать. В противном случае тот примет меры, чтоб не взлетело.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	86. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 25-Июл-19, 16:00
	Спасибо, что расписал мысли. Я не со всем согласен, что-то не понял, но все равно спасибо.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	81. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от Аноним (44), 25-Июл-19, 13:51
	> [туннели] руками сделаны ... без ненужного ssl-bloatware ... А где опенссл - там сразу и начинается - ой уязвимость, ой не работает то, не работает это... Туннель без openssl? Ну, наверное такие бывают... Но чаще решения для туннелей как раз используют openssl под капотом. Со всеми вытекающими уязвимостями и неработостями. Проверил вот навскидку: stunnel, vtun, openvpn - все используют openssl.
	Ответить \| Правка \| К родителю #63 \| Наверх \| Cообщить модератору


	85. "Google заблокирует сертификаты DarkMatter в Chrome и Android"	+/–
	Сообщение от пох. (?), 25-Июл-19, 14:34
	> Туннель без openssl? Ну, наверное такие бывают... ipsec, pptp - нее, не слышал? ;-) Как бы обычно этих называют первыми, а не всеми давно вроде забытый stunnel. ну или хоть любимый админами c опеннета wireгад - там все честно, при некоторых странностях, вся шифросистема написана автором вручную и, как минимум, исходя из верных идей, так что, возможно, правильно.
	Ответить \| Правка \| Наверх \| Cообщить модератору