alizar Nov 16 2010 at 18:42

HSTS будет внедрён в Firefox и Google Chrome

1 min

3.9K

Information Security*

+37

Comments 26

UFO landed and left these words here

Mairon Nov 16 2010 at 20:07

Нет, никто из них эту спецификацию не поддерживает.

Isis Nov 16 2010 at 20:15

горбатого мозила исправит

bruce Nov 16 2010 at 23:48

> Проблема существует с 2001 года, когда выпустили IE6.

Проблема существовала и раньше. IE 5.5, например, умирал очень долго. Так что не стоит надеяться на девятый IE. Он может казаться неплохим сейчас, но через 10 лет мы его будем проклинать :)

Mairon Nov 16 2010 at 20:03

Chromium это уже давно умеет. Я на Википедии это ещё осенью писал, а в Chromium впихнули ещё в январе
Пруф

Mairon Nov 16 2010 at 20:07

Даже Google Chrome 7 его поддерживает, и Mozilla Firefox 4 b6 тоже. Только что проверил.

UFO landed and left these words here

Mairon Nov 16 2010 at 20:12

Вы хоть поняли, что сказали? В январе был ещё Chromium 4-5, тогда как сейчас на дворе Google Chrome 7-9.
Не знаю, что там Fedora для Red Hat, но Chromium для разработчиков Google Chrome — альфа-версия.

UFO landed and left these words here

scam Nov 16 2010 at 21:01

Бред несете.

KindDragon Nov 16 2010 at 20:06

Последняя бета версия Firefox 4 уже поддерживает HSTS

dazran Nov 16 2010 at 20:44

А есть реально работающие сайты использующие это?

leotsarev Nov 17 2010 at 13:44

PayPal

Vasily_Pupkin Nov 16 2010 at 20:45

Я немного не понял. Эта директива возвращается сервером? Что мешает при MitM её потереть? Что мешает просто предоставлять исключительно https?

UFO landed and left these words here

exIV Nov 17 2010 at 01:47

Только вот совсем не понятно все-таки мне зачем это надо, если можно просто редиректить на https и все, если тебе так сильно нужен https, а на http чтоб ничего кроме 301 редиректа и не было…

alienff Nov 17 2010 at 07:34

Я так понимаю затем, что если кто-то стоит посередине, то в момент этого самого редиркета он клиенту ничего не отправит. А установит шифрованное соединение с сервером. И потом будет два соединения — нешифрованное от клиента до человека-по-середине и шифрованное от человека-по-середине до сервера.

alienff Nov 17 2010 at 07:28

Если с сервака Сразу пойдет шифрованный траф, то как его прочитать? О_о
Ведь сначала надо договориться об алгоритме шифрования, сделать ключ… А клиент знать не знает про это. Он же по http соединяется.

Vile55 Nov 17 2010 at 00:10

Хорошая MitM будет вестись с применением скомпрометированного корневого сертификата. И на уровне провайдера.
То есть для любого устанавливаемого защищенного соединения будет сгенерирован подходящий сертификат, подписанный скомпрометированным (или добавленным в систему корневым) сертификатом.
Пользователь не только не сможет предотвратить такой атаки, но и даже ее не заметит.

Vile55 Nov 17 2010 at 00:17

Кстати для уменьшения click-through insecurity реализация данного стандарта тоже не сильно поможет. Пользователь просто запустит другой браузер, который «работает».

exIV Nov 17 2010 at 01:53

Ну для этого надо как минимум скомпроментированный корневой сертификат… как показал опыт Stuxnet конечно можно много чего откопать, но все-таки это сложно…

exIV Nov 17 2010 at 01:54

точнее говоря для простых смертных просто не доступно…

Vasily_Pupkin Nov 17 2010 at 06:44

> Хорошая MitM будет вестись с применением скомпрометированного _корневого_ сертификата.

Vasily_Pupkin Nov 17 2010 at 06:44

Неплохие у тебя запросы

Vile55 Nov 17 2010 at 07:28

Судя по тому что мне рассказывали китайцы — китай вполне успешно их проводит.