The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Китай начал блокировать HTTPS-соединения, устанавливаемые с TLS 1.3 и ESNI, opennews (?), 08-Авг-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


12. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –6 +/
Сообщение от Онаним (?), 08-Авг-20, 22:39 
Ахах, то есть в перспективе весь HTTPS.
Самовыпиливание из интернетиков в данном случае заслуживает похвалы.
Ответить | Правка | Наверх | Cообщить модератору

39. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –2 +/
Сообщение от пох. (?), 09-Авг-20, 00:20 
> Ахах, то есть в перспективе весь HTTPS.

только если мурзила с гуглем заставят всех вокруг внедрить еще одно вредное и опасное ненужно (как обычно, объявив все остальные протоколы небезопастными и отказываясь открывать сайты - с идиотскими пустыми страницами, полными непонятной херни вместо объяснений)

В этом случае таки да, может оказаться, что китай вообще обойдется без такого интернета (а 360квадратик таки продолжит нормально работать для тех сайтов, которые это ненужно не внедрили)

Они не особо много чего и потеряют.

Ответить | Правка | Наверх | Cообщить модератору

43. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +1 +/
Сообщение от Аноним (149), 09-Авг-20, 00:43 
> вредное и опасное ненужн

Ты тоже любишь подглядывать? Ай-яй-яй…

Ответить | Правка | Наверх | Cообщить модератору

48. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +3 +/
Сообщение от Аноним (171), 09-Авг-20, 00:49 
Он просто в британском провайдере работает.
Ответить | Правка | Наверх | Cообщить модератору

176. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –1 +/
Сообщение от пох. (?), 09-Авг-20, 12:25 
>> вредное и опасное ненужн
> Ты тоже любишь подглядывать? Ай-яй-яй…

нет, я просто прекрасно помню времена до ненужно-sni. А вот он как раз - для любителей подглядывать, но только - самим, а не кому попало это делать позволять.
При этом в немодном http-протоколе, внезапно, все еще есть заголовок host, передающийся внутри  зашифрованной сессии. Ну да, ну да - любитель подглядывать при этом не сможет делать вид, что он тут не при делах. Как мне его жаль!

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

180. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 09-Авг-20, 12:30 
По одному IP на хост - вот они, ваши времена до "ненужно" SNI.
Спасибо, нет.
Ответить | Правка | Наверх | Cообщить модератору

267. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +1 +/
Сообщение от username (??), 09-Авг-20, 20:30 
c ipv6 вообще никаких проблем, так даже лучше.
Ответить | Правка | Наверх | Cообщить модератору

299. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 01:46 
> По одному IP на хост - вот они, ваши времена до "ненужно"
> SNI.

нет - хоть десять хостов на этот ip повесь. Только уже не получится делать вид, что данные пользователя на самом деле недоступны третьим лицам.
Прямо вот большими красными буквами будет написано - кому (теоретически, конечно, ничто не мешало сделать возможность renegotiation уже после - теперь-то хост знает, какой сертификат нам показывать - но это огорчит пользователя, наивно полагающего что он от всех спрятался, поэтому нате вам невменяемое нагромождение бреда esni).

> Спасибо, нет.

пожалуйста, мне нахрен не надо "шифрования" при хождении по помойкам, где висит стопиццот мусорных сайтов на одном ip.

А если при заходе на сайт банка выяснится, что там не только банк - я, пожалуй, просто закрою окошко.

Ответить | Правка | К родителю #180 | Наверх | Cообщить модератору

308. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –1 +/
Сообщение от Онаним (?), 10-Авг-20, 08:21 
> нет - хоть десять хостов на этот ip повесь. Только уже не

Ну да, можно было ещё по портам разбить.

Проблема, из-за которой сделали SNI - это выбор сертификата под хост.
Нет, когда у тебя все хосты на IP укладываются в *.localhost.shit - можно один wildcard на всех.
Ещё можно SAN, но с SAN есть свой таракан - большинство trusted issuer'ов не дают SAN произвольно расширять, то есть если понадобится новый хост - придётся платить второй раз.

А "стопицот сайтов на одном IP" - это вполне может быть и очень часто бывает балансер/antiDDOS/whatever.

Ответить | Правка | Наверх | Cообщить модератору

330. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 12:26 
> Проблема, из-за которой сделали SNI - это выбор сертификата под хост.

повторяю, проблема высосана из пальца.

> Нет, когда у тебя все хосты на IP укладываются в *.localhost.shit - можно один wildcard на всех.

а если не укладываются - значит шифрованные данные пользователя сайта some.shit при минимальных трудозатратах или прямо by design доступны владельцу сайта some-other.shit, и нехрен маскировать этот факт.

Наоборот, о нем надо звонить максимально громко.

> А "стопицот сайтов на одном IP" - это вполне может быть и очень часто бывает балансер/antiDDOS

вот и пусть собственным сертификатом представляется. А мы подумаем - балансер он, антиддос или таки "whatever", и тихонечко пишет все сессии кому надо.

Для этого не надо изобретать совершенно невменяемый и явно чреватый эксплойтами новый протокол - надо просто выпороть макак, чтобы бредовая пустая страница с непонятным заклинанием посередине была заменена на внятное объяснение, что нам предъявлено той стороной, почему это плохо, и как следует принимать решение. Оставив его принятие пользователю.

Что, собственно, и было во времена до sni-мусора.


Но тогда бузинес по воровству твоей информации окажется под угрозой. Поэтому макаку порют как раз за попытки что-то на самом деле сообщить пользователю.

Ответить | Правка | Наверх | Cообщить модератору

344. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 13:39 
Ну вот простой пример.
-
У меня на одной паре хостов находятся данные для ЧЕТЫРЁХ wildcard-доменов, там сразу несколько поддоменов - их надо дублировать в четыре разных домена.
Все четыре принадлежат одной и той же организации, это алиасы для разных стран.
Ну и чего мне, четыре IP теперь выделять? Или разбивать на четыре порта и объяснять web-разработчику, что его ждёт геморрой с разруливанием гиперссылок на порты?
Multi-wildcard у некоторых issuer'ов доступен, но во-первых дороже, чем 4 wildcard'а, во-вторых, у конкретного issuer'а не доступен.
-
Добавим ада: эта пара хостов сидит за балансировщиком. Который помимо этих доменов, умеет и ряд прочих. Внешние IP при этом абсолютно одинаковые, но все домены контролируются всё той же организацией.
Ответить | Правка | Наверх | Cообщить модератору

348. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 13:53 
> Все четыре принадлежат одной и той же организации, это алиасы для разных стран.

ну вот теперь представь, что пользователю выдается не типовая неведомая херня, а нормальный модальный диалог, с надписью "сертификат выдан для company.com, ты пытаешься зайти на company.it - продолжать будем, или нуееенах?"

Хотя, разумеется, жадность порок, и ничто не мешало получить универсальный сертификат, особенно  если это правда одна компания - и он будет подтверждать, помимо прочего, именно этот факт - проверенный по документам, а не всеми любимое "кто сегодня угнал dns, тому и подпишем".

> Добавим ада: эта пара хостов сидит за балансировщиком. Который помимо этих доменов,
> умеет и ряд прочих.

и дешифрует траффик? Ну так все, приехали - доверять сертификату твоего сервера теперь очевидно не имеет смысла.
Мы только что убедились, что mitm вполне в наличии. А что это хороший, правильный, одобряемый mitm - лично мне совершенно наплевать.

Ответить | Правка | Наверх | Cообщить модератору

350. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 13:58 
> и дешифрует траффик? Ну так все, приехали

Неа, не дешифрует. Это хитрый MITM, TCP-mode.
Ловит SNI, открывает коннект к нужному серверу, отдаёт поток так, как он пришёл.
С ESNI будет даже несколько красивее.

Ответить | Правка | Наверх | Cообщить модератору

351. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 14:01 
И при этом даже клиентские сертификаты работают нормально, с сервером напрямую, балансеру не обязательно вообще знать, что там внутри потока ходит, ему кроме SNI ничего не нужно.
Ответить | Правка | К родителю #348 | Наверх | Cообщить модератору

357. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 14:55 
> И при этом даже клиентские сертификаты работают нормально, с сервером напрямую, балансеру
> не обязательно вообще знать, что там внутри потока ходит, ему кроме
> SNI ничего не нужно.

ну вот заодно и товарищмайор знает, к кому твой клиент ходит. Ну а что, полезно же ж.


Ответить | Правка | Наверх | Cообщить модератору

398. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 21:50 
С ESNI всё сложнее, но ты ведь против ESNI, да?
Ответить | Правка | Наверх | Cообщить модератору

399. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 22:42 
Да, я считаю ее то ли тщательно спланированным источником бэкдоров, то ли продукцией "полезных идиотов" с тем же самым результатом.

sni не нужен, никакой. Если с той стороны не тот сайт, на который мы шли - секьюрить уже сведена к х...ю, было бы честно просто уведомлять об этом пользователя, оставляя за ним решение.

Ответить | Правка | К родителю #398 | Наверх | Cообщить модератору

232. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +2 +/
Сообщение от Kuromi (ok), 09-Авг-20, 17:03 
Ну в каком-то смысле это радует даже. Неоднократно приходилось сталкиваться с спамом по вэб-формам из Китая. Теперь выходит переходим на TLS1.3 и китайские власти сами спамеров заблокируют.

Тенденция как таковая конечно не радует, нов целом, настоящим китайцам нечего делать в рунете и россиянам почти нечего - в китайнете.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

246. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +1 +/
Сообщение от Карабьян (?), 09-Авг-20, 18:36 
Это ж настоящее разобщение цивилизаций, как ни крути
Ответить | Правка | Наверх | Cообщить модератору

295. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Аноним (321), 10-Авг-20, 00:52 
Уже так. Индусы в своём, китайцы в своём, мы тоже почти в своём...
Ответить | Правка | Наверх | Cообщить модератору

309. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 08:23 
Ну да, вся архаика ныкается по собственным норкам, лишь бы не видеть прогресса.
Ушли бы в историю поскорее уже, что-ли...
Ответить | Правка | Наверх | Cообщить модератору

336. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Аноним (336), 10-Авг-20, 12:41 
В Китае как раз прогресса хоть отбавляй
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру