https://opennet.ru/openforum/vsluhforumID3/76545.html Некоммерческая правозащитная организация Electronic Frontier Foundation (EFF) анонсировала (https://www.eff.org/press/archives/2011/04/19-0) проведение акции по привлечению пользователей к оценке степени корректности и полноты использования HTTPS различными ресурсами в сети. По задумке создателей, благодаря вовлечению в процесс сбора информации пользователей, акция поможет сформировать реальную картину использования HTTPS в сети и указать создателям сайтов о возможных угрозах, с которыми могут столкнуться пользователи, когда поддержка HTTPS реализована не должным образом.<br><br><br>В рамках акции запущен сайт httpsnow.org (https://www.httpsnow.org/), на котором началось формирование каталога поддерживающих HTTPS web-ресурсов с указанием таких особенностей, как длинна SSL/TLS ключа, наличие смешанных областей на сайте (ссылки из шифрованной области в незашифрованную), поддержка механизма HSTS (http://ru.wikipedia.org/wiki/HSTS) (форсирование использования HTTPS на сайте), степень охвата стра...<br><br>URL: https://www.ef https://opennet.ru/openforum/vsluhforumID3/76545.html#28 Fri, 22 Apr 2011 09:59:20 GMT Вот вам сайт, проверьте, что один из его разделов использует https. http://www.yandex.ru/<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#25 Thu, 21 Apr 2011 17:58:11 GMT pavlinux Иногда лучше жевать :))<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#24 Thu, 21 Apr 2011 16:08:38 GMT &gt;Там от силы 2 поля можно автоматом получить. Все остальное надо уже смотреть.<br><br>Не думаю.<br><br>Вот поля:<br>0.Сайт существует - можно проверить автоматом. Важный признак, надо сказать.<br>1.Uses HSTS - можно проверить автоматом.<br>2.Uses HTTPS - можно проверить автоматом.<br>3.No mixed content - да, вот здесь уже нельзя полностью автоматом проверить, поскольку нужно проверять все возможные страницы. С другой стороны, если хотя бы на главной есть Mixed Content, можно сразу сказать, что нет.<br>4.All HTTPS - аналогично<br>5.All Identifying - тут только вручную<br>6.Uses secure cookies - тут окончательный вердикт только вручную, да.<br>7.Valid SSL Certificate - проверяется автоматически.<br><br>Да, не все поля можно заполнить автоматом, но облегчить жизнь и занести хотя бы формальные критерии можно.<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#23 Thu, 21 Apr 2011 15:58:03 GMT 2.45*10^54 лет<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#21 Thu, 21 Apr 2011 15:45:10 GMT &gt; Непонятно только, почему вся информация вносится вручную? Почему нельзя установить SSL-соединение <br>&gt; с целевым веб-сайтом и запросить все данные? Тем более, что на <br>&gt; их же сайте есть ссылка на сервис от Qualys SSL Labs, <br>&gt; который ровно это и делает.<br><br>Там от силы 2 поля можно автоматом получить. Все остальное надо уже смотреть.<br><br><br> https://opennet.ru/openforum/vsluhforumID3/76545.html#20 Thu, 21 Apr 2011 15:44:36 GMT HTTPS - это тот же PGP, но прозрачный, специально адаптированный для HTTP<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#19 Thu, 21 Apr 2011 15:19:50 GMT &gt; Флэшина-флэшина. Я думал, ты про Adobe Flash.<br><br>O_O<br>я, конечно, псих, но ведь не настолько, чтобы доверять этим странным существам.<br><br>&gt; Почта<br><br>PGP<br><br>&gt; бложик, социальная сеть, форум<br><br>там нужно шифрование? O_O в местах, где изначально на security возложен болт &#8212; именно в силу специфики мест?<br><br>&gt; или еще какой угодно сервис, куда могут передаваться хоть сколько-нибудь важные данные<br><br>например? нет, реально: примеры. везде, где данные *реально* важные, VPN работает. где нужно подписывать/шифровать тексты и прочее &#8212; PGP.<br><br>&gt; все они тебе тоже по носителю с ключом вышлют?<br><br>кагбэ проблемы обмена привтной информацией в публичных сетях &#8212; они не только что появились. и методов тоже придумано. если тебе действительно интересно &#8212; то ты или их уже знаешь и ёрничаешь, или сходи почитай, интернеты большие.<br><br>&gt; Вот только количество контор, которые могут выдать сертификат, которому большинство браузеров <br>&gt; будут доверять, крайне ограничено.<br><br>любой, у кого есть программа, формирующая серт https://opennet.ru/openforum/vsluhforumID3/76545.html#18 Thu, 21 Apr 2011 15:02:16 GMT &gt;а ещё вставляются в USB-разьём и читаются.<br><br>Флэшина-флэшина. Я думал, ты про Adobe Flash.<br><br>Да, если дать ключ на носителе, а еще лучше сразу криптографический токен, защита будет более надежной, чем по HTTPS. Однако ведь не только в банковских системах шифрование нужно. Почта, бложик, социальная сеть, форум или еще какой угодно сервис, куда могут передаваться хоть сколько-нибудь важные данные - все они тебе тоже по носителю с ключом вышлют?<br><br>&gt;точно так же: дать левый сертификат и наслаждаться кайфом.<br><br>Вот только количество контор, которые могут выдать сертификат, которому большинство браузеров будут доверять, крайне ограничено. Необходимо соучастие хотя бы одной из них. Потом, хорошие браузеры при смене сертификата при повторном посещении сайта предупреждают пользователя.<br> https://opennet.ru/openforum/vsluhforumID3/76545.html#17 Thu, 21 Apr 2011 14:56:08 GMT &gt;&gt;вот в частности для этого и дать флэшину.<br>&gt; Они дизассемблируются и подделываются, было бы желание.<br><br>а ещё вставляются в USB-разьём и читаются.<br><br>&gt;&gt;точно такую же хрень можно спокойно делать с SSL <br>&gt; Да ну, правда, что ли? Как же это можно сделать без соучастия <br>&gt; корневых контор?<br><br>точно так же: дать левый сертификат и наслаждаться кайфом.<br><br>&gt; Ладно, покормил &#8212; и хватит.<br><br>и то правда, хватит тебя кормить.<br>