Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Let's Encrypt опубликовал описание атаки и план по устранени..., opennews (??), 10-Янв-18, (0) [смотреть все] То есть проблема даже не в CA Расходимся , Аноним (-), 21:12 , 10-Янв-18, (1) +3 // Если CA выдает сертификаты не тем доменам, для которых они запрошены - это таки , тоже Аноним (ok), 21:50 , 10-Янв-18, (4) +7 // В том то и проблема, что тем, которые запрошены P S Интересно, причем тут пр, КО (?), 09:40 , 11-Янв-18, (22)   // Проблема в том, что те кто придумывал протокол, не подумали, что на одному ip мо, КО (?), 09:52 , 11-Янв-18, (23) +1   Провайдер вообще должен запретить загрузку сертификатов для невалидных доменов , Аноним (-), 13:14 , 11-Янв-18, (31)   Об чем и речь Только вот должен ли Одно дело, когда провайдер может предложить , КО (?), 14:24 , 11-Янв-18, (32)   Если ты не в курсе, это давно уже нормальная практика на многих хостингах примен, Аноним (-), 15:17 , 11-Янв-18, (35)   Тогда и проблемы нет То есть не было бы А за сертификаты отвечает эта Authorit, Анонимный Алкоголик (??), 12:17 , 11-Янв-18, (27)   Проблема не в том, чтобы выдавать сертификат на запрошенный домен, а в том, чтоб, КО (?), 14:29 , 11-Янв-18, (33)   Эпично , Аноним (-), 21:34 , 10-Янв-18, (3) –4 Let s Encrypt как всегда рулит и оперативно исправляет проблемы В отличии от пр, Nikodim (?), 21:54 , 10-Янв-18, (5) +16 // да-да, как всегда, своим обычным способом - ничего не улучшая в технике, занимае, пох (?), 22:13 , 10-Янв-18, (6) –12 // Предложите, что бы ему следовало сделать на самом деле , XoRe (ok), 22:31 , 10-Янв-18, (7) +2 // Для начала использовать действительно безопасные механизмы верификации HTTP, DNS, Аноним (-), 22:39 , 10-Янв-18, (8) –1 и не оставляют следов на стороне CA Удобно Бе фор безопастность мущина, просн, пох (?), 22:50 , 10-Янв-18, (10) –1 А че вы их так не любите Я конечно тоже против монополии, но на моей памяти LE , key (??), 05:46 , 11-Янв-18, (16) +2 А вот и боты-добровольцы пожаловали Мы ради вас стараемся и так бесплатно же , Аноним (-), 09:27 , 11-Янв-18, (21) –3 Удивился Загуглил Ты долбoёб Меланин 8212 это пигмент, совершенно безвредн, Аноним (-), 10:41 , 11-Янв-18, (25) +2 Удивился МелаМин Нашумевшие скандалы в Китае Но нет, кое-кто умудрился не усл, другой Аноним (?), 16:11 , 11-Янв-18, (37) Да, удивился, что кто-то путает меламин с меланином Меня китайские проблемы мало, Аноним (-), 16:21 , 12-Янв-18, (40) –1 Неуклюжая попытка юлежа и спрыга Зарепорть 25, а то палишься аж два раза А во, другой Аноним (?), 20:20 , 12-Янв-18, (41) А что бесплатно молоко или похороны , Аноним (-), 12:39 , 11-Янв-18, (28) То есть, если писать короче и без обличительного тона, LE обладает всеми теми же, Аноним (-), 15:17 , 11-Янв-18, (34) +2 Какие Однако между теоретической уязвимостью и практической ее реализацией лежит, angra (ok), 06:56 , 11-Янв-18, (17) Иными словами, SSL бесполезен Громкое заявление , Аноним (-), 09:09 , 11-Янв-18, (19) У меня даже идей нет, как из моих слов можно было сделать столь идиотский вывод , angra (ok), 20:27 , 11-Янв-18, (39) Каким ещё шантажом Клиенты таких хостингов в любом случае не имеют возможности , Аноним (-), 22:39 , 10-Янв-18, (9) +1 По принципу - мы пока не знаем как, поэтому объявим виновными кого-то еще и подо, КО (?), 09:54 , 11-Янв-18, (24) –1 8230 и как всегда 8212 только после того, как смачно въехала таблом в стену, arisu (ok), 13:12 , 11-Янв-18, (30) –2 // Такая-то возможность выстрелить с отличным прибыльным бизнесом и показать и этим, Аноним (-), 15:24 , 11-Янв-18, (36) А если в роли атакующего будет хостинг провайдер Который специально все неправи, Аноним (-), 23:29 , 10-Янв-18, (11) –1 // а ему-то зачем У него уже все твои юзеры, пароли и явки - в расшифрованном виде, пох (?), 23:53 , 10-Янв-18, (12) +1 // Мы хоть и не хостинг провайдеры но и сейчас оформляем вместо клиентов бесплатные, key (??), 05:39 , 11-Янв-18, (15) А если у него нет - Вот начинающий такой провайдер из Франции Без твоих па, Анонимный Алкоголик (ok), 12:50 , 11-Янв-18, (29) Ваш хостинг-провайдер сможет себе выписать сертификат не EV в любом CA, а може, Анонимус2 (?), 00:38 , 11-Янв-18, (13) У хостинг-провайдера и без сертификата есть возможность напрямую забрать твои да, Аноним (-), 10:46 , 11-Янв-18, (26) Порицаю провайдеров , Аноним (-), 02:58 , 11-Янв-18, (14) Спасибо за информацию, будем ждать список провайдеров, mrkaban (ok), 08:24 , 11-Янв-18, (18) // GoDaddy там будет на первом месте, я думаю , Аноним (-), 09:20 , 11-Янв-18, (20) 1,3,5,11,14,18

Сообщения

[Сортировка по времени | RSS]

	22. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от КО (?), 11-Янв-18, 09:40
	В том то и проблема, что тем, которые запрошены. :) P.S. Интересно, причем тут провайдеры. Тут либо запрет всем, кто сидит на одном ip, получать LE сертификаты. Либо получать их сможет кто-то один (провайдер), а потом уж отдавать трафик клиенту. Чтоб тот даже не заморачивался с сертификатами.
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+1 +/–
	Сообщение от КО (?), 11-Янв-18, 09:52
	Проблема в том, что те кто придумывал протокол, не подумали, что на одному ip могут быть сопоставлены несколько имен. У провайдера есть клиент1 с example1.com и клиент2 с example2.com. Сейчас, чтобы получать LE сертификат оба клиента должны иметь возможность поднять сервер *.acme.invalid. Причем по адресу и не скажешь зачем он нужен. Поэтому провайдер и проверить то ничего не может. Еслиб надо было бы поднимать сервак *.example.com.acme.invalid - провайдер мог бы ограничивать клиентов в своих хотелках (мол хочешь example2.com, можешь поднимать *.example2.com.acme.invalid, но не *.example1.com.acme.invalid).
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от Аноним (-), 11-Янв-18, 13:14
	Провайдер вообще должен запретить загрузку сертификатов для невалидных доменов. А если он хочет дать возможность юзерам нормально использовать LE, лучший способ — самому получать и продлевать сертификаты для клиентов.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от КО (?), 11-Янв-18, 14:24
	Об чем и речь. Только вот должен ли? Одно дело, когда провайдер может предложить посреднические услуги (хоть xthtp LE, хоть через еще кого). Другое дело, когда по сговору с LE эти услуги навязываются.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от Аноним (-), 11-Янв-18, 15:17
	Если ты не в курсе, это давно уже нормальная практика на многих хостингах применительно к другим CA.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от Анонимный Алкоголик (??), 11-Янв-18, 12:17
	> В том то и проблема, что тем, которые запрошены. :) Тогда и проблемы нет. То есть не было бы. А за сертификаты отвечает эта Authority.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	33. "Let's Encrypt опубликовал описание атаки и план по устранени..."	+/–
	Сообщение от КО (?), 11-Янв-18, 14:29
	Проблема не в том, чтобы выдавать сертификат на запрошенный домен, а в том, чтобы не выдавать его кому-попало. Ущербен сам подход, что тот кто живет в квартире по адресу 3-я улица Строителей, д. 3. кв. 3 и знает ответ на вопрос: "У Вас продается славянский шкаф?" и есть Иванов. Особенно в случае если по этому адресу коммуналка.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема