| 1.1, nebularia (ok), 12:04, 07/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > Перенаправив трафик, атакующие смогли подтвердить владение доменами и получить TLS-сертификаты, так как после изменения данных в DNS проверочные запросы от удостоверяющих центров были отправлены не на реальные, а на подменённые хосты и обработаны на них
Да, ради этого определённо стоило выкидывать EV сертификаты и заменять проверку владения доменом на проверку владения каналом
| | |
| |
| 2.18, Аноним (18), 13:52, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Тут EV ничем не помог бы.
Разве что зеленой полоски не было бы, а так браузеру без разницы DV, OV, EV. Любой из них пройдет валидацию.
| | |
|
| 1.2, Аноним1234 (?), 12:05, 07/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– | |
>что позволило заменить DNS-серверы для доменов в этих зонах и перенаправить запросы на серверы злоумышленников. Перенаправив трафик, атакующие смогли подтвердить владение доменами и получить TLS-сертификаты
Главная проблема тут. Любой провайдер может изменить DNS. Это не должно никак повлиять на то, какие сертификаты будут выдаваться этому провайдеру. При повторном получении сертификата нужно подтвердить владение старым закрытым ключём.
| | |
| |
| 2.3, Аноним (3), 12:16, 07/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> При повторном получении сертификата нужно подтвердить владение старым закрытым ключём
переустановил сервант - протерял всё. Отличненько
| | |
| |
| 3.13, Аноним1234 (?), 12:54, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
>переустановил сервант - протерял всё. Отличненько
Вместе с биткоинами, и остальными данными на там.
| | |
|
| 2.5, Аноним (5), 12:29, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> нужно подтвердить владение старым закрытым ключём
а если сервер сгорел, а если злодеи его украли и восстановили старый ключ.
можно сколько угодно придумывать "механизмов", идеальных никогда не было и не будет, https сделали относительно удобным для обывателей, и эта новость яркая иллюстрация того как это стало опасно для корпораций, той самой которая активно продвигает этот самый https, что смешно, но это малая плата за возможность забанить чьи угодно сертификаты в своем браузере.
| | |
| |
| 3.9, Аноним1234 (?), 12:47, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> нужно подтвердить владение старым закрытым ключём
> а если сервер сгорел, а если злодеи его украли и восстановили старый
> ключ.
> можно сколько угодно придумывать "механизмов", идеальных никогда не было и не будет,
> https сделали относительно удобным для обывателей, и эта новость яркая иллюстрация
> того как это стало опасно для корпораций, той самой которая активно
> продвигает этот самый https, что смешно, но это малая плата за
> возможность забанить чьи угодно сертификаты в своем браузере.
Так можно и про биткоины сказать. Имейте бэкап ключа.
| | |
| |
| 4.14, Аноним (5), 12:55, 07/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
ну, биткоин уже был скомпрометирован, я беспонятия что с ним так носятся, и блокчейн подделывался не раз, но хомячки упорно верят что это спасет их от чегото
| | |
|
|
|
| 1.4, Мемоним (?), 12:23, 07/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
> Common Name google.as
> Subject CN=google.as
> Issuer CN=YR1,O=Let's Encrypt,C=US
Да что же такое. Опять система, основанная на доверии Большому Белому Господину, дала сбой.
> ".gh" (Гана), ".sl" (Сьерра-Леоне)
А, нет. Теперь еще и Большому Черному Господину.
| | |
| |
| 2.7, Аноним (5), 12:36, 07/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
я конечно могу ошибаться, но эти банановые республики продали права на национальные домены каким то мутным компаниям, порнушку и прочие прелести надо тоже гдето размещать, разумеется мутные компании, это кого надо компании, и они легко выпустят и выдадут сертификаты любые на запрос из высоких кабинетов.
| | |
| |
| |
| 4.11, Аноним (5), 12:50, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
бананавость не определяется континентом или цветом кожи президента, а мутностью организации в чье ведение отдан вопрос, порносайтов хватает и в de и в прочих "солидных" казалось бы юрисдикциях, любые правительства нарушают закон, и им нужны для этого инструменты и руки, поэтому никакие алгоритмы ничего не гарантируют
| | |
| 4.16, User (??), 13:20, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Да-да, Словакия, Словения, Сьерра-Леоне - какая в общем-то разница?
| | |
|
|
| 2.17, Аноним (17), 13:27, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Common Name google.as
> Subject CN=google.as
В чем здесь криминал? Где сказано, что домен google.as *обязательно* должен принадлежать главному гуглу?
| | |
|
| 1.6, Аноним (6), 12:36, 07/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
>Google заблокировала полученные в ходе атаки нелегитимные сертификаты при помощи механизма CRLSets в браузере Chrome, а также добилась отзыва этих сертификатов удостоверяющими центрами.
Вот и хорошо!
DoH надо включать.
| | |
| |
| 2.21, Аноним (21), 14:02, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
И как DoH поможет в этом случае? Включать то его, конечно, надо, но, он просто шифрует запросы и больше ничего
| | |
|
| 1.19, Ivan_83 (ok), 13:55, 07/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 > атакующие смогли подтвердить владение доменами и получить TLS-сертификаты, так как после изменения данных в DNS проверочные запросы от удостоверяющих центров были отправлены не на реальные, а на подменённые хосты и обработаны на них.
Гугол с друзьями превратили тему с сертификатами в онлайн регистраицю сервера в шаражках типа LE ради своей выгоды.
Теперь только своим УЦ и можно доверять + пиниг своих сертов, а остальное мало отличимо от голого http по надёжности.
| | |
| |
| 2.20, пох.. (?), 14:01, 07/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
А пининг они - отломали в браузерах.
Для большей безопастносте! (прям так на самом деле и было сформулировано)
> а остальное мало отличимо от голого http по надёжности.
ну нет, так содержимое того http читает товарищмайёр, а тут ты оставляешь массу цифровых следов в логах разных уважаемых, г-н inspector (у них по-простецки, без званий) тоже может приобщиться, ну и товарищмаёра тоже не забыли - оба могут выписывать себе твоих сертификатов сколько захотят.
А поскольку ты не гугль - хрен ты добьешься чтобы их заблокировали даже если спалишь эту схему. (но поскольку не гугль и пиннинг запрещен а certpatrol потерял смысл, то не спалишь)
| | |
|
|
