https://www.opennet.ru/openforum/vsluhforumID3/119422.html Исследователи из французского государственного института исследований в информатике и автоматике (INRIA) и Наньянского технологического университета (Сингапур) представили метод атаки Shambles (PDF), который преподносится как первая практическая реализация атаки на алгоритм SHA-1, которую можно использовать для создания фиктивных цифровых подписей PGP и GnuPG. Исследователи полагают, что тепепрь все практические атаки на MD5 могут применяться и для SHA-1, хотя пока всё ещё требуют значительных ресурсов для осуществления...<br><br>Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52149<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#81 Wed, 15 Jan 2020 11:53:38 GMT &gt; Ещё годика два подождите и сможете с чистой душой пользоваться вместо TLS <br>&gt; обычным http. Незачем железку зря греть.<br><br>Так в том и беда, что нешифрованные соединения тоже отключают.<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#80 Wed, 15 Jan 2020 11:53:05 GMT &gt; Ну, ставь себе прокси, чтоли, какой, выписав себе любимому сертификат. Придется через <br>&gt; прокси ходить, делая SSL bumping.<br><br>Пробовал ещё пару лет назад Squid поставить и на него мобильник натравить, чот не работает. Не знаю, чего ему не хватает. С MidpSSH решилось включением устаревших шифров на сервере, а тут без понятия даже, куда копать.<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#78 Sun, 12 Jan 2020 15:50:19 GMT &gt;При этом благодаря подбору коллизии идентифицирующий ключи сертификат, включающий ключ и изображение атакующего, имел тот же SHA-1 хэш, что и идентификационный сертификат, включающий ключ и имя жертвы.<br><br>Ну и? Разный хэш позволит что? Поддельный документ с ЧУЖОЙ подписью? И что, доверия к этому ЧУЖОМУ сертификату всё равно нет, так как у меня в доверенных прописан ИСХОДНЫЙ сертификат, а поддельный - нет.<br><br>Эта схема в PKI фатальна, да, если привязки сертификатов нет, а только доверие к выдавшему CA.<br><br>Ну и да, идентифицировать сертификат ТОЛЬКО по его хэшу - лютый трешняк от программистов-недучек.<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#77 Fri, 10 Jan 2020 14:25:09 GMT А вдруг со страху угадает<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#76 Thu, 09 Jan 2020 23:24:19 GMT Вина и невиновность тут не при чём. Главное - знает жопа код или нет. Если не знает, то никакой паяльник не поможет.<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#75 Thu, 09 Jan 2020 20:56:43 GMT В США не обязывают государственный и коммерческий секторы использовать стандарты, разработанные NIST?<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#74 Thu, 09 Jan 2020 17:12:40 GMT это в рф россиян обязывают пользоваться российской криптой. В сша же не обязывают, просто анб выпускает набор шифров, а доверчивые ура-патриоты, не верящие в то, что от анб могут быть подлянки и верящие в то, что анб о них печётся, им пользуются.<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#73 Thu, 09 Jan 2020 15:21:29 GMT https://ru.wikipedia.org/wiki/Dual_EC_DRBG<br> https://www.opennet.ru/openforum/vsluhforumID3/119422.html#72 Thu, 09 Jan 2020 14:48:33 GMT &gt; А вот это кстати не особая проблема. Даже если вероятность будет не <br>&gt; 100%, для многих случаев сойдет. Например, достаточно угадать 70% букв твоего <br>&gt; пароля. Остальное, так и быть, можно брутфорсом взять.<br><br>Ещё раз, для вас, поэтому внимательно читайте: на фоне записи хаотической трескотни от той же клавиатуры. И не тыкайте незнакомым, ради бога.<br>