Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Let's Encrypt опубликовал описание атаки и план по устранени..., opennews (??), 10-Янв-18, (0) [смотреть все] То есть проблема даже не в CA Расходимся , Аноним (-), 21:12 , 10-Янв-18, (1) +3 // Если CA выдает сертификаты не тем доменам, для которых они запрошены - это таки , тоже Аноним (ok), 21:50 , 10-Янв-18, (4) +7 // В том то и проблема, что тем, которые запрошены P S Интересно, причем тут пр, КО (?), 09:40 , 11-Янв-18, (22) // Проблема в том, что те кто придумывал протокол, не подумали, что на одному ip мо, КО (?), 09:52 , 11-Янв-18, (23) +1 Провайдер вообще должен запретить загрузку сертификатов для невалидных доменов , Аноним (-), 13:14 , 11-Янв-18, (31) Об чем и речь Только вот должен ли Одно дело, когда провайдер может предложить , КО (?), 14:24 , 11-Янв-18, (32) Если ты не в курсе, это давно уже нормальная практика на многих хостингах примен, Аноним (-), 15:17 , 11-Янв-18, (35) Тогда и проблемы нет То есть не было бы А за сертификаты отвечает эта Authorit, Анонимный Алкоголик (??), 12:17 , 11-Янв-18, (27) Проблема не в том, чтобы выдавать сертификат на запрошенный домен, а в том, чтоб, КО (?), 14:29 , 11-Янв-18, (33) Эпично , Аноним (-), 21:34 , 10-Янв-18, (3) –4 Let s Encrypt как всегда рулит и оперативно исправляет проблемы В отличии от пр, Nikodim (?), 21:54 , 10-Янв-18, (5) +16 // да-да, как всегда, своим обычным способом - ничего не улучшая в технике, занимае, пох (?), 22:13 , 10-Янв-18, (6) –12   // Предложите, что бы ему следовало сделать на самом деле , XoRe (ok), 22:31 , 10-Янв-18, (7) +2   // Для начала использовать действительно безопасные механизмы верификации HTTP, DNS, Аноним (-), 22:39 , 10-Янв-18, (8) –1   и не оставляют следов на стороне CA Удобно Бе фор безопастность мущина, просн, пох (?), 22:50 , 10-Янв-18, (10) –1   А че вы их так не любите Я конечно тоже против монополии, но на моей памяти LE , key (??), 05:46 , 11-Янв-18, (16) +2   А вот и боты-добровольцы пожаловали Мы ради вас стараемся и так бесплатно же , Аноним (-), 09:27 , 11-Янв-18, (21) –3   Удивился Загуглил Ты долбoёб Меланин 8212 это пигмент, совершенно безвредн, Аноним (-), 10:41 , 11-Янв-18, (25) +2   Удивился МелаМин Нашумевшие скандалы в Китае Но нет, кое-кто умудрился не усл, другой Аноним (?), 16:11 , 11-Янв-18, (37)   Да, удивился, что кто-то путает меламин с меланином Меня китайские проблемы мало, Аноним (-), 16:21 , 12-Янв-18, (40) –1   Неуклюжая попытка юлежа и спрыга Зарепорть 25, а то палишься аж два раза А во, другой Аноним (?), 20:20 , 12-Янв-18, (41)   А что бесплатно молоко или похороны , Аноним (-), 12:39 , 11-Янв-18, (28)   То есть, если писать короче и без обличительного тона, LE обладает всеми теми же, Аноним (-), 15:17 , 11-Янв-18, (34) +2   Какие Однако между теоретической уязвимостью и практической ее реализацией лежит, angra (ok), 06:56 , 11-Янв-18, (17)   Иными словами, SSL бесполезен Громкое заявление , Аноним (-), 09:09 , 11-Янв-18, (19)   У меня даже идей нет, как из моих слов можно было сделать столь идиотский вывод , angra (ok), 20:27 , 11-Янв-18, (39)   Каким ещё шантажом Клиенты таких хостингов в любом случае не имеют возможности , Аноним (-), 22:39 , 10-Янв-18, (9) +1   По принципу - мы пока не знаем как, поэтому объявим виновными кого-то еще и подо, КО (?), 09:54 , 11-Янв-18, (24) –1 8230 и как всегда 8212 только после того, как смачно въехала таблом в стену, arisu (ok), 13:12 , 11-Янв-18, (30) –2 // Такая-то возможность выстрелить с отличным прибыльным бизнесом и показать и этим, Аноним (-), 15:24 , 11-Янв-18, (36) А если в роли атакующего будет хостинг провайдер Который специально все неправи, Аноним (-), 23:29 , 10-Янв-18, (11) –1 // а ему-то зачем У него уже все твои юзеры, пароли и явки - в расшифрованном виде, пох (?), 23:53 , 10-Янв-18, (12) +1 // Мы хоть и не хостинг провайдеры но и сейчас оформляем вместо клиентов бесплатные, key (??), 05:39 , 11-Янв-18, (15) А если у него нет - Вот начинающий такой провайдер из Франции Без твоих па, Анонимный Алкоголик (ok), 12:50 , 11-Янв-18, (29) Ваш хостинг-провайдер сможет себе выписать сертификат не EV в любом CA, а може, Анонимус2 (?), 00:38 , 11-Янв-18, (13) У хостинг-провайдера и без сертификата есть возможность напрямую забрать твои да, Аноним (-), 10:46 , 11-Янв-18, (26) Порицаю провайдеров , Аноним (-), 02:58 , 11-Янв-18, (14) Спасибо за информацию, будем ждать список провайдеров, mrkaban (ok), 08:24 , 11-Янв-18, (18) // GoDaddy там будет на первом месте, я думаю , Аноним (-), 09:20 , 11-Янв-18, (20) 1,3,5,11,14,18

Сообщения

[Сортировка по времени | RSS]

	6. "Let's Encrypt опубликовал описание атаки и план по устранени..."	–12 +/–
	Сообщение от пох (?), 10-Янв-18, 22:13
	> Let's Encrypt как всегда рулит и оперативно исправляет проблемы! да-да, как всегда, своим обычным способом - ничего не улучшая в технике, занимается банальным шантажом. На этот раз - провайдеров. "настраивайте хостинг как МЫ, великие и спонсируемые КЕМ НАДА велим, или мы занесем вас в черный список". Отличное "исправляет проблемы".
	Ответить | Правка | Наверх | Cообщить модератору

	7. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+2 +/–
	Сообщение от XoRe (ok), 10-Янв-18, 22:31
	>> Let's Encrypt как всегда рулит и оперативно исправляет проблемы! > да-да, как всегда, своим обычным способом - ничего не улучшая в технике, > занимается банальным шантажом. Предложите, что бы ему следовало сделать на самом деле?
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Let's Encrypt опубликовал описание атаки и план по устранени..."	–1 +/–
	Сообщение от Аноним (-), 10-Янв-18, 22:39
	Для начала использовать действительно безопасные механизмы верификации. HTTP, DNS, SNI — все они уязвимы к MITM. Впрочем, спонсоры LE никогда не позволят сделать его безопасным – если появятся безопасные методы подтверждения, клиенты и  алгоритмы для SSL-шифрования, то лавочку тут же прикроют.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Let's Encrypt опубликовал описание атаки и план по устранени..."	–1 +/–
	Сообщение от пох (?), 10-Янв-18, 22:50
	> HTTP, DNS, SNI — все они уязвимы к MITM. и не оставляют следов на стороне CA. Удобно. Бе фор безопастность! > Впрочем, спонсоры LE никогда не позволят сделать его безопасным "мущина, проснитесь, вы обоcpались!" Больно они этого хотят. Они хотят совсем другого - отжать максимум возможного, чтобы иметь еще больше вариантов диктовать свои условия. И в этом у них со спонсорами трогательное согласие. За то деньги и вбухивают. Лет через пять останутся только пара-тройка провайдеров EV за уже совсем безобразные деньги и сплошной летсдекрипт для всей остальной серой массы. Остальные либо разорятся, либо им "помогут".
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+2 +/–
	Сообщение от key (??), 11-Янв-18, 05:46
	> Лет через пять останутся > только пара-тройка провайдеров EV за уже совсем безобразные деньги и сплошной > летсдекрипт для всей остальной серой массы. > Остальные либо разорятся, либо им "помогут". А че вы их так не любите? Я конечно тоже против монополии, но на моей памяти LE еще ни разу не подводили, наоборот, с таким количеством пользователей и работников, они реагируют очень чутко, оперативно и православненько. А что касается монополии, то ничего не мешает вам сделать свой СА хоть сейчас. Дело за малым - заслужить доверие и протолкнуть ваш корневой сертификат в браузеры пользователей. Переплюните в этом LE?
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Let's Encrypt опубликовал описание атаки и план по устранени..."	–3 +/–
	Сообщение от Аноним (-), 11-Янв-18, 09:27
	А вот и боты-добровольцы пожаловали. "Мы ради вас стараемся" и "так бесплатно же!" можно и про меланин в молоке сказать — а что, насыпали яду в жратву, — зато бесплатно! На практике, LE это активная группа лоббирования, которая совместно с разработчиками ряда браузеров проталкивает услуги CA по принципу "первая доза бесплатно". Первые шаги уже сделаны — не-SSL сайтами всё труднее пользоваться в Firefox и Chrome, в каждом поле ввода всплывающие окошки с предупреждениями, не работает часть современных API. Никаких гарантий, что Lets Encrypt продолжат существовать завтра или послезавтра нет и не может быть. Никакого прецедента появления независимого CA не было, — напротив, первым же делом они заручились поддержкой Гугла, Мозиллы и ещё толпы игроков, к которым тебя без пары миллиардов в приёмную не пустят. "А что касается монополии" — так эта монополия в систем сертификатов там by design. Нет никакого механизма "получения доверия" и быть не может. Самая красноречивая подтверждение, что доверять LE нельзя, — ненавязчивый уход Symantec из бизнеса (действительно ли они отошли от кормушки или нет, но формально от своего имени бизнес с сертификатами уже отвязали). Ни одна адеватная коммерческая компания не сделает такого с перспективной технологией. Т.е. с точки зрения Symantec — SSL и система CA настолько себя дискредитировали, что пора передавать батон медиа-компаниям. А уж святые гугол с мозиллой найдут способ очистить свои и без того покрытые г**ом имена, когда вся система навернётся. Может ещё и в создании её новой итерации поучаствуют.
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+2 +/–
	Сообщение от Аноним (-), 11-Янв-18, 10:41
	> меланин в молоке Удивился. Загуглил. Ты долбoёб. Меланин — это пигмент, совершенно безвредный, вырабатывается в коже, волосах и т.п. > На практике, LE это активная группа лоббирования, которая совместно с разработчиками ряда браузеров проталкивает услуги CA по принципу "первая доза бесплатно". Первые шаги уже сделаны — не-SSL сайтами всё труднее пользоваться в Firefox и Chrome, в каждом поле ввода всплывающие окошки с предупреждениями, не работает часть современных API. И правильно. Отсутствие шифрование выгодно только гебне (всех стран) и ворью. Ты дважды дoлбoёб. > Нет никакого механизма "получения доверия" и быть не может. Если его не может быть, то глупо жаловаться, что его нет. Предложи альтернативу лучше. > с точки зрения Symantec — SSL и система CA настолько себя дискредитировали Это Symantec себя настолько дискредитировал, что оставаться в этом бизнесе для него не стало никакого смысла. По крайней мере под тем же брендом.
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от другой Аноним (?), 11-Янв-18, 16:11
	>> меланин в молоке > Удивился. Удивился. МелаМин? Нашумевшие скандалы в Китае? Но нет, кое-кто умудрился не услышать, видимо за пределами родного Гадюкино ничего не интересно. > Загуглил. Ты долбoёб. Странно. Гугл «мелаНин молоко» исправно выдает «МелаМиновый скандал — скандал с китайским молоком» и прочее на всю первую страницу результата. > И правильно. Отсутствие шифрование выгодно только гебне (всех стран) и ворью. Ты > дважды дoлбoёб. Нет. О такой крайности, как полное отсутствие шифрования, никто не говорит. Но повальное использование сертификатов, учитывая именно олигополию - это другая, ничем не лучшая крайность. Еще раз, на всяк пожарный, для спецов-гугловщиков с «обширным» кругозором подчеркиваю – проблема не в шифровании, как таковом, а именно в навязывании одной группой и отсутствию альтернатив.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Let's Encrypt опубликовал описание атаки и план по устранени..."	–1 +/–
	Сообщение от Аноним (-), 12-Янв-18, 16:21
	> Удивился. МелаМин? Да, удивился, что кто-то путает меламин с меланином. > Нашумевшие скандалы в Китае? Меня китайские проблемы мало трогают, своих хватает. Так что либо я про это не слышал, либо благополучно забыл за десять-то лет.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от другой Аноним (?), 12-Янв-18, 20:20
	>>>> меланин в молоке >>> Удивился. Загуглил. Ты долбoёб. Меланин — это пигмент, совершенно безвредный, вырабатывается в коже, волосах >> Удивился. МелаМин? > Да, удивился, что кто-то путает меламин с меланином. Неуклюжая попытка юлежа и спрыга. Зарепорть #25, а то палишься аж два раза ) А вообще, да. Кто-то может и очепятывается или пусть даже и путает меламин с меланином. Но cамое забавное, что всегда найдутся те, кто даже не знает тривиальных и базовых вещей: что такое меланин и почему он не может вырабатываться в волосах (для этого достаточно примерно догадываться, что из себя представляют волосы), зато гордо и важно надувает щечки, величая других долбодятлами )
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от Аноним (-), 11-Янв-18, 12:39
	> "Мы ради вас стараемся" и "так бесплатно же!" можно и про меланин > в молоке сказать — а что, насыпали яду в жратву, — > зато бесплатно! А что бесплатно молоко или похороны?
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	34. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+2 +/–
	Сообщение от Аноним (-), 11-Янв-18, 15:17
	То есть, если писать короче и без обличительного тона, LE обладает всеми теми же недостатками, что и любой другой CA, только делает это бесплатно. В чём проблема, не пойму?
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	17. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от angra (ok), 11-Янв-18, 06:56
	> Для начала использовать действительно безопасные механизмы верификации. Какие? > HTTP, DNS, SNI — все они уязвимы к MITM. Однако между теоретической уязвимостью и практической ее реализацией лежит пропасть. На данный момент тем, кому по силу осуществить MITM такого масштаба, это не нужно, а те, кому это обычно нужно, на такое не способны. > если появятся безопасные методы подтверждения О подтверждении чего именно идет речь?
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	19. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от Аноним (-), 11-Янв-18, 09:09
	> На данный момент тем, кому по силу осуществить MITM такого масштаба, это не нужно, а те, кому это обычно нужно, на такое не способны. Иными словами, SSL бесполезен? Громкое заявление.
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от angra (ok), 11-Янв-18, 20:27
	У меня даже идей нет, как из моих слов можно было сделать столь идиотский вывод.
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+1 +/–
	Сообщение от Аноним (-), 10-Янв-18, 22:39
	Каким ещё шантажом? Клиенты таких хостингов в любом случае не имеют возможности нормально использовать TLS-SNI, так что они ничего не потеряют.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема