| 1.1, Аноним (1), 08:36, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +9 +/– |
Нет удостоверяющего центра у SSH, например, и нет проблем такого уровня.
| | |
| |
| 2.2, Хру (?), 08:57, 12/11/2026 [^] [^^] [^^^] [ответить]
| +12 +/– |
Зато БроБлемы есть у людей, не проверяющих отпечаток ключа при первом подключении к серверу:)
| | |
| |
| 3.6, Аноним (6), 09:21, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
А оно при удаленной установке сервера указывает отпечатки сгенерированных ключей? Или тогда как?
| | |
| |
| 4.56, Аноним (56), 13:28, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> А оно при удаленной установке сервера
Кто кому чего указывает? Если вы о VPS провайдерах, то очевидно ответ "как получится".
| | |
|
| 3.17, Аноним (1), 10:11, 12/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Да везде есть проблемы, просто что проблема с сертификатами в веб это уже как клише.
Захотят - отнимут, захотят сделают криво-косо и будешь пользоваться, потому что некуда деваться...
| | |
| 3.55, Аноним (55), 13:08, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> не проверяющих отпечаток ключа при первом подключении
Как ты проверяешь скачиваемый браузер с ключами внутрях?
| | |
|
| 2.7, Аноним (7), 09:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
У них задачи кардинально противоположные. У SSH — обеспечить доступ строго ограниченному кругу лиц, а у HTTPS — неограниченному.
| | |
| |
| 3.14, Аноним (1), 10:06, 12/11/2026 [^] [^^] [^^^] [ответить]
| –3 +/– |
Что такое публично и НЕ публичное спорить на сегодня не хочу. Везде туннели и прочее. Но факт в том что кому мешает одной рукой держаться за принцип SSH, хотя бы даже накидать поверх него приложение... и то работает более надежнее, безопаснее и конфиденциальнее, чем через какой-то контроль сертификатов.
| | |
|
| 2.34, User (??), 11:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну, пока пользователей у того ssh вот джва - то да, нету. А в районе первой сотни уже что-то подобное само собой и отрастает - или в расширенные атрибуты ад ключи идут, или вот какой stepca образуется, или вокруг vault'а чего или самоделка на ssh CA какая...
Ну или вот мы все читаем аффигительные новости про взлом инфры очередного хххх.
| | |
| |
| 3.91, _ (??), 20:23, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> или самоделка на ssh CA
Чёо?
Вот прямо в твоём, который у тебя установлен, поищи про: TrustedUserCAKeys
| | |
| |
| 4.95, User (??), 21:21, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> или самоделка на ssh CA
> Чёо?
> Вот прямо в твоём, который у тебя установлен, поищи про: TrustedUserCAKeys
Э? Ну, в смысле внутри организации в какой-то момент тебе придётся (одно из решений) САМОМУ САМОСДЕЛАТЬ этот самый ssh CA.
Не в смысле "ssh патчить" или "чего-то там васянить", а на базе ssh CA разворачивать этот самый CA.
| | |
|
|
| 2.59, Аноним (59), 14:36, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
У нас давно есть инфраструктура публичных ключей - DNSSEC. В DNS можно указать отпечаток ключа SSH (SSHFP), отпечаток или сам открытый ключ TLS для почты (TLSA), и открытый ключ ECH (HTTPS). Но вместо этого браузеры держат кучу дармоедов по типу eMudhra.
| | |
| 2.70, Аноним (70), 15:52, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Нет удостоверяющего центра у SSH, например, и нет проблем такого уровня.
Там и доверия нет - ты подключаешься первый раз к серверу, он спрашивает доверять или нет ключу, что ты выберешь, и как ты поймёшь его ли это ключ. В HTTPS то же самое есть с самоподписанными ключами, хочешь фикцию безопасности - делай фикцию.
| | |
| 2.88, Grigoriy Wiser (ok), 07:27, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Ошибаетесь. Ваша первая попытка подключения и сохранение отпечатка\самого публичного ключа и есть по сути микро-уц)
| | |
| |
| 3.92, _ (??), 20:32, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Нет - увы не ошибается.
> Ваша первая попытка подключения и сохранение отпечатка\самого публичного ключа и есть по сути микро-уц)
Да чего там - бросай тогда монету!
Если админы фингерпринты не прислали - то это лотерея. А они-ж не прислали да? ;-)
| | |
|
|
| |
| 2.35, Qqq (?), 11:39, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Так судя по новости проблема не в HSM, которой эти ключи генерировались. Они их оттуда экспортировали и работали с ними самописным кривым скриптом, который в свою очередь эти самые ключи и кастрировал. Конечно, всё это с их слов (если верить данной новости, в первоисточник я не пошел)
| | |
| |
| 3.66, Аноним (66), 15:29, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | Тут есть нестыковочка CA-Sub-Root промежуточные сертификаты, которыми подписыв... большой текст свёрнут, показать | | |
|
| 2.54, Аноним (55), 13:00, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> всего 1 байт энтропии вместо 48
А если другие центры тряхнуть? Может, там тоже случайно что-то найдётся?
| | |
|
| 1.4, bOOster (ok), 09:10, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 OpenPGP - нет корневых сертификатов - нет проблем.
Если-уж на то прошло все это DV/EV - какая-то шляпа. Проверяйте уже выданный OpenPGP ключ и самосгенерированный сертификат.
DMARC/DKIM - тоже много эффективнее с ключами работают без всяких корневых "шляп" и сертификатов.
| | |
| |
| 2.8, Аноним (7), 09:37, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Есть очевидная проблема — обменяться ключами и обеспечить отсутствие мужика посередине. Именно её (пусть и из рук вон плохо) призваны решать сертификационные центры.
Если их выкинуть, то остаётся только WoT, что при нынешней атомизации общества взлететь не сможет принципиально. Вместо цельной сети будут множества уязвимых микропузырей.
| | |
| |
| 3.10, Аноним (10), 09:58, 12/11/2026 [^] [^^] [^^^] [ответить]
| +7 +/– |
А серификационный центр - это не мужик посередине?
Единственную проблему, которую хорошо решает метод с сертификатами - это концентрация контроля над вебом в правильной юрисдикции под предлогом безопасности. Что и показали последние события с LE. Просто теперь им нет необходимости скрывать это - все на поводке.
| | |
| |
| 4.12, нах.. (?), 10:05, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> А серификационный центр - это не мужик посередине?
нет, он сам чистенький непричемыш. Вон все регламенты соблюдал, приседал, кланялся, только сертификат вышел с ключом 4.
Он просто _инструмент_ в руках того мужика. Вероятно таки да, неплохо оплаченный тем мужиком.
Но ты тоже мог бы выпустить поддельный сертификат емуд..ы.
| | |
| 4.13, Аноним (7), 10:05, 12/11/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
Предложите децентрализованную схему, которая бы работала лучше, делов–то. Только чтобы не надо было с каждым владельцем сайта лично встречаться и ключами обмениваться.
| | |
| |
| 5.22, Аноним (10), 10:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Я за метод ssh. А то, что хомяки будут игнорить несовпадение ключей, так им ни кто и сейчас не мешает игнорить левый серт и даже его отсутствие
| | |
| |
| 6.58, Аноним (58), 14:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
И чем в SSH он отличается от веба? Там также надо скачать публичный ключ с сервера. И в вебе точно так же ты можешь выписать сам себе серт и каждый, кто к тебе на сайт придет, точно также должен его к себе в доверенные добавить. В чем разница то?
| | |
| 6.72, Аноним (70), 15:56, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
В ssh нет никакого доверия вообще именно из-за того что нет CA. Ты подключаешься первый раз к серверу и получаешь mitm сходу. И ладно ещё сервер обычно свой, там есть хоть какая-то возможность проверить фингерпринт по другим каналам, с http сайтами её нет никакой.
| | |
|
|
| 4.78, Аноним (70), 19:46, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> А серификационный центр - это не мужик посередине?
Сертификационный центр - это мужик сбоку. Он не генерит серт, а всего лишь подписывает, в худшем случае подпишет чужой, но для этого ему нужно постараться. Чтобы подписать самоподписанный серт, который дурачки тут предлагают, стараться вообще не надо.
| | |
|
| 3.11, нах.. (?), 10:02, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Именно её (пусть и из рук вон плохо) призваны решать сертификационные центры.
нет.
потому что консорциум владельцев интернета сделал все, чтобы подменить решение этой и только этой проблемы. Заменив доверие сертификату - целиком и полностью доверием дядям-подписантам без возможности их перепроверить. Отсюда отмена pinning (о, для вашей же безопастносте!), уничтожение смысла EV, сертификаты со сроком жизни полдня, иди0тская борьба с selfsigned.
Проблема при этом по большей части вообще высосана из пальца. Проверить сертификат можно было бы мильеном разных способов, а в большинстве же случаев его можно вовсе не проверять.
| | |
| |
| 4.16, Аноним (7), 10:09, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну вот у узла висит selfsigned. Вы стучитесь на узел в первый раз. Как вы будете удостоверять, что это selfsigned владельца узла, а не мужЫка посередине, который сидит на вашем канале связи?
| | |
| |
| 5.20, нах.. (?), 10:22, 12/11/2026 [^] [^^] [^^^] [ответить] | –1 +/– | Какого еще узла Ты шнурки без сертификата не можешь развязать Если селфсигне... большой текст свёрнут, показать | | |
| |
| |
| 7.43, нах.. (?), 11:53, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Один?
> А протухшие корневые?
прости, ты чем читаешь? Они после первого раза не нужны вообще.
(более того, никакого смысла в "протухании" сертификатов в этой схеме нет)
| | |
|
| 6.27, Аноним (27), 10:57, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
С опеннетом и банком понятно. Что делать с условным днс или озоном? У них нет пластиковых карт, а украсть ник кто-то может захотеть.
| | |
| |
| 7.45, нах.. (?), 12:04, 12/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | у озона вообще-то есть карта, вон у меня в углу валяется для активации хотят па... большой текст свёрнут, показать | | |
|
| 6.28, Аноним (27), 10:59, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> у меня дома снова нулевая вероятность что злой хакер подключился к моему проводу прямо вот щас
Хакер - маловероятно, да. А вот автоматизированный скрипт, подменяющий сайты топ10 наиболее популярных банков - запросто.
| | |
| |
| 7.41, нах.. (?), 11:48, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> у меня дома снова нулевая вероятность что злой хакер подключился к моему проводу прямо вот щас
> Хакер - маловероятно, да. А вот автоматизированный скрипт, подменяющий сайты топ10 наиболее
и зачем ты у себя дома запускаешь этот скрипт и что ему помешает заодно васян-CA установить тебе?
> популярных банков - запросто.
да, каждый же день так делают!
А на практике - ноль подобных случаев. И не ноль - просто выпуска сертификата на васянский ключ перехватом на пять секунд управления или маршрута к самому серверу (он-то вот известно где и когда и никуда не убежит). Даже гугль вляпался.
Но девляпсы отряхнулись и сделали вид что от них не воняет.
| | |
|
|
| 5.57, Аноним (56), 13:39, 12/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Откуда ты знаешь, что сайт подписанный Let's Encrypt не был куплен третьим лицом в связи с тем что предыдущий владелец домена забыл его продлить или рожей/паспортом/etc не вышел и домен просто отобрали, после чего неделю-две спустя "новый мененджмент" взял и подписал серт сам себе? Проверку первого подключения по доверию ты не решишь никак кроме наличия распределённой (чтобы можно было сравнить у всех сразу и на протяжении времени) таблички с взаимоподписанными ключами, где у тебя хоть какая-то мера репутации присутствует по доверию с другими ключами. С сертами хоста сроком в неделю ты понятия не имеешь, кто теперь владеет доменом. Зато точно знаешь, что подключился по этим буковкам туда, куда автоматизированный подписывальщик сказал, ага.
| | |
| |
| 6.61, нах.. (?), 14:45, 12/11/2026 [^] [^^] [^^^] [ответить] | +1 +/– | необязательно забыл - может честно продал У покупателя нашлись в кармане убеди... большой текст свёрнут, показать | | |
|
|
| 4.73, Аноним (70), 16:07, 12/11/2026 [^] [^^] [^^^] [ответить] | –3 +/– | Что такое доверие сертификату Сертификат может выпустить кто угодно, включая Ев... большой текст свёрнут, показать | | |
| |
| 5.75, Аноним (56), 17:37, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> selfsigned эквивалентен отсутствию сертификата
Вообще нет, если приложение поддерживает pinning серта руками юзера (как в ssh, при первом подключении спрашивает "верить ли этому серту"). Тогда эта схема будет надёжнее, чем с сертами от LE, потому что ну никак ты не вскроешь доверие к один раз добавленному сертификату, даже если вскроешь хост потому что никто не запрещает тебе самостоятельно сделать цепочку из них.
| | |
| |
| 6.77, Аноним (70), 19:42, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Вообще нет, если приложение поддерживает
При чём тут приложение, когда речь про веб?
> pinning серта руками юзера
Вот оказалось что запиненный юзером сертификат невалиден, что юзер будет делать?
> ну никак ты не вскроешь доверие к один раз добавленному сертификату
Ещё раз, схема вскрывается при "один раз добавлении", как и с ssh. А так как эта схема предполагает долгоживущие сертификаты, то тебя будут (более того, тебя придётся, чтобы ты не догадался) слушать всё время его жизни.
| | |
|
|
|
| 3.86, bOOster (ok), 04:22, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Есть очевидная проблема — обменяться ключами и обеспечить отсутствие мужика посередине.
> Именно её (пусть и из рук вон плохо) призваны решать сертификационные
> центры.
> Если их выкинуть, то остаётся только WoT, что при нынешней атомизации общества
> взлететь не сможет принципиально. Вместо цельной сети будут множества уязвимых микропузырей.
Серверов обмена PGP ключами как грязи. И без проблем свой поднять можно.
Какой "мужик по середине", если обмен ТОЛЬКО открытыми ключами происходит? Да и пох. где у тебя открытый ключ валяется, и кто его взял - вообще никакого значения не имеет. Бред какой-то. Рассуждаешь так, будто симметричным ключем шифрования обмениваешься.
| | |
| |
| 4.89, Аноним (66), 10:45, 13/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Какой "мужик по середине", если обмен ТОЛЬКО открытыми ключами происходит?
Ты че серьезно? Ты думаешь, что публичный ключ можно публично передавать? :))) Наивный.
| | |
|
|
| 2.84, Аноним (84), 23:14, 12/11/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> OpenPGP - нет корневых сертификатов - нет проблем.
Пользователей тоже нет. Кроме 0.1% от 4% никому в голову даже не приходит пользоваться pgp.
| | |
|
| 1.9, Аноним (10), 09:43, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Вот мне интересно, что подразумевается под:
>обработка ключей в обычной памяти
Если ключи сгенерила желехка, то чего их обрабатывать еще?
| | |
| |
| 2.15, нах.. (?), 10:08, 12/11/2026 [^] [^^] [^^^] [ответить]
| +3 +/– | |
ну неисключено что железка сгенеренное не очень желала отдавать (что в случае с HSM вообще-то и должно было быть заложено конструкцией) но хитропопые индусы таки нашли лазейку.
но что-то в воздухе снова ощутимо пахнет индусским враньем.
| | |
| |
| 3.29, Аноним (29), 11:11, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Саказано же, старые HSM протухли, ключи надо перенести на новые. Правда, как при этом можно было ТАК накосячить - это надо уметь.
| | |
| |
| |
| 5.40, Qqq (?), 11:46, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну да, всё так, сдуй чип - офигеешь в попытках извлечь. А вот интерфейс экспорта ключей через стандартные механизмы может быть. Также может быть отдельный флаг при генерации говорящий железке является ли этот ключ экспортируемым, и без него - блокировать механизмы экспорта
| | |
| |
| 6.49, User (??), 12:22, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ну да, всё так, сдуй чип - офигеешь в попытках извлечь. А
> вот интерфейс экспорта ключей через стандартные механизмы может быть. Также может
> быть отдельный флаг при генерации говорящий железке является ли этот ключ
> экспортируемым, и без него - блокировать механизмы экспорта
Ну, на всяких etoken/rutoken/yubikey оно понятно - консьюмерское ж оборудование, а вот тут? Уже ниочинь.
| | |
| |
| 7.63, нах.. (?), 14:58, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ну, на всяких etoken/rutoken/yubikey оно понятно - консьюмерское ж оборудование, а вот
> тут? Уже ниочинь.
тут тем более - мильярд нефти плочен же, чего ж не использовать дорогущую железку еще и не по прямому назначению, а для генерации еще каких вне нее используемых ключей.
а вот куда смотрели господа аудиторы? А, ну да, ну да, это ж та помойкина контора которая во времена истории с Честным Ахмедом не только не имела сама https сайта, но еще и повесила на тот же адрес что-то кривое самоподписанное внутреннее.
Этим ребятам ТОЧНО надо доверить аудит, они сто пудов знают как не надо делать!
| | |
| |
| 8.64, User (??), 15:03, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | Ты как будто ни разу аудиты с сертификацией не проходил В БУМАЖКИ они смотрели ... текст свёрнут, показать | | |
| |
| 9.65, нах.. (?), 15:14, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | ну в бумажках такие вот штуки и должны были бы быть описаны А там, походу - там... текст свёрнут, показать | | |
| |
| 10.74, User (??), 17:31, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | А там все збст и лудше не бывает - в бумажка-то И hsm был куплен правильный - н... текст свёрнут, показать | | |
| |
| 11.81, нах.. (?), 21:33, 12/11/2026 [^] [^^] [^^^] [ответить] | +/– | ну видишь же - читали И оскверненные оперативной памятью сертификаты отозвали, ... текст свёрнут, показать | | |
|
|
|
|
|
|
|
| 4.42, нах.. (?), 11:50, 12/11/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
вот начать с того какого хрена ключи вообще извлекаемы.
Для бэкапа должно выниматься нечто, что только в другой точно такой же hsm загрузить можно, и то не просто так.
Но нет. И сертификации-аудиты все эти помойные поделки уровня наш колхоз проходят на ура.
| | |
| 4.68, Аноним (66), 15:43, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> ключи надо перенести на новые.
У вас нестыковка, если нужно перенести, то зачем их подписывать если они уже подписаны?
Подписали ведь CSR от слабого ключа!!!
| | |
|
| 3.37, Qqq (?), 11:41, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
HSMы обычно умеют и в экспортируемые, и в неэкспортируемые ключи. Без всяких лазеек
| | |
| |
| 4.47, нах.. (?), 12:12, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
> HSMы обычно умеют и в экспортируемые, и в неэкспортируемые ключи. Без всяких
> лазеек
и вот казалось бы - аудит за мильярд денех и должен был проверять что эти, которыми подписывают чужие - точно не. (потому что иначе нахрена вообще нужен тот hsm, "извлекаемый" ключ я могу openssl'ем сгенерить ничуть не хуже)
Вместо этого он проверяет что ключи не осквернены какой-то там "оперативной памятью". А что они на флэшке отлеживаются которая могла годами гулять неведомо где - это похрен, это в списке аудита не значится.
| | |
| |
| 5.69, Аноним (66), 15:47, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> которая могла
Самый реальный вариант - могла подменить ключи, на слабые :)))) Именно что так и есть. Надо взять на заметку, при тестировании всяких китайских флешек, подсунуть туда кучу разных ключей и промониторить, а не подменяет ли их флешка :)))))
| | |
| |
| 6.80, нах.. (?), 21:31, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
да будут тебе еще китайцы всякую фигню в песок пихать по цене песка.
Вот с убиквитями всяким - теми да, глаз да глаз. Но товарищ майор же ж нам и запретили покупать такую гадость!
Для безопастносте нашей, а не чтобы что!
| | |
| |
| 7.82, Аноним (66), 21:40, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> да будут тебе еще китайцы всякую фигню в песок пихать по цене песка.
еще как будут, учитывая что там тупо в прошивке трекаешь последовательность байт, попались знакомые словечки, вот и заменяй байтики. Очевидно ведь, что в ситуации в емудрой, 1) допущены грубые нарушения политик безопасТности 2) и именно это грубое нарушение неожиданно провоцирует подмену ключей на слабые. Версия, что занулился ключ - вообще смехотворная, очевидно, что слабые ключи подсунули, либо сами явно пихнули.
| | |
|
|
|
|
|
|
| 1.19, Гаврош (?), 10:21, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Из-за ошибки размер закрытых ключей ECDSA усекался до 1 байта.
Всё, что нужно знать о пестоноскриптерах. 🤦 Я надеюсь, автора уже четвертовали?
| | |
| |
| 2.44, нах.. (?), 11:56, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> Из-за ошибки размер закрытых ключей ECDSA усекался до 1 байта.
> Всё, что нужно знать о пестоноскриптерах. 🤦 Я надеюсь, автора уже
> четвертовали?
премировали! Он же спас бузинес, позволил аудит с кривым hsm'ом пройти.
И хрен ты его теперь в бангалорском болоте найдешь! Кумар? У нас тут мильенов писят одних кумаров!
| | |
|
| 1.23, Tron is Whistling (?), 10:35, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> во время переноса ключей между HSM скрипт выполнял обработку закрытых ключей в незащищённой оперативной памяти компьютера на котором он запускался, в то время как операции с закрытыми ключами предписывается осуществлять только внутри HSM. Логи HSM подтвердили, что аппаратные хранилища работали корректно, а проблема вызвана использованием самодельного скрипта
Ахах, чо, и правда с разбором ASN.1 продолбались? :'')
| | |
| |
| 2.32, Аноним (29), 11:15, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Азачем его разбирать? Требовалось-то взять отсюда и положить вот сюда. Или там сертификаты не той системы?
| | |
| |
| 3.79, Аноним (55), 20:45, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
Как можно было обрезать сертификат в 48 раз, и никто не заметил?
| | |
|
| 2.76, Аноним (66), 18:12, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
ASN.1 не причем, это либо генерировали ключи самим скриптом, либо флешка на которую записали сгенерированные нормальные ключи, подсунула слабые (привет флешки с алика). Это уже говорит о том, что ключи не генерировались на HSM, а должны были, ибо экспортировать сгенерированные на HSM приватные ключи не имело смысла, ибо подписывается и извлекается только публичный ключ (CSR). И речи о занулении битой флешкой тоже быть не может, CSR то от битого ключа подписали.
| | |
|
| 1.48, Аноним (48), 12:13, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Питончик,
Джуниоры похожи на вайбкодерков.
Игра в прогеров плавно переходит к сеньёрам...
| | |
| |
| 2.71, Аноним (66), 15:52, 12/11/2026 [^] [^^] [^^^] [ответить]
| +/– |
вам ключи на слабые как раз таки подменил этот флешнакопитель с алика :)
| | |
|
| 1.83, Аноним (83), 22:04, 12/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Всмысле, отозвал 8 сертификатов. Я думал уважающие себя ОС уже выпилили все сертификаты это конторы из системы.
| | |
| |
| 2.94, _ (??), 21:05, 13/11/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
# grep -ril "eMudhra" /etc/ssl/certs /usr/share/ca-certificates /etc/pki/ca-trust /usr/local/share/ca-certificates 2>/dev/null
/usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit
# ll /usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit
-rw-r--r-- 1 root root 1045939 Nov 4 15:19 /usr/share/ca-certificates/trust-source/mozilla.trust.p11-kit
Ага-ага :) Но с другой стороны мразила и "уважаемые" ... :)
Ща, новый апдейт браузеру сделают, наверно и траст сорсы починят :)
| | |
|
| 1.90, Аноним (90), 11:58, 13/11/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
много букв , чаитать устал .. вспомним как было : вначале просто http , потом ввели самоподписной https - ура как здорово и надёжно !
потом вдруг откуда не возмись - появились доверенная прослойка - ура как здорово и надёжно !
через некоторое время всех приучили и сделали работать без прослойки очень невозможно .. уже не ура , но все в стойле
следующие событие - платный https - ура вот теперь то и заживём !
| | |
|
