Comments 127
Опасно то почему? Да, введение https не защитит от целенаправленной атаки спецслужб, но защит от "хакера" за соседним столиком в кафе, например. Станет не хуже, чем сейчас.
Я тоже ждал что-нибудь типа: «Если везде будет HTTPS, то интернет в России могут запретить совсем!».
Станет лучше чем сейчас. Судя по тексту выше: сейчас ваш трафик могут читать все, а с https смогут только АНБ США. Это же хорошо. Если вы не представляете интереса для США вы в плюсе, иначе для вас ничего не изменится.
Да. Просто меня бесит, что постоянно продвигается https и это преподносится как нечто безусловно положительное и все с этим согласны. Хотел принести другой взгляд. https создаёт иллюзию того, что, типа, мы полностью защищены и, типа, никто не прочитает. Хотя это не так. И продвигается https, возможно, как раз именно теми, кто будет потом его взламывать
Совершенно нетехнические обсуждения. Уязвимости класса POODLE для http даже не считаются уязвимостями — это фичи. HEARTBLEED — просто факап, который может быть где угодно, даже в обработке ICMP или в потрошках tcp.
Паника же на тему «они могут читать, а другие нет» (если мы предположим, что всемогущее АНБ поломало всё шифрование на свете и выступает в качестве MITM'а даже в канале связи между кнопкой «искра» и комфоркой на моей плите), сводится к анализу двух сценариев:
Сценарий а: все посторонние могу читать
Сценарий б: не все посторонние могут читать
Лично мне сценарий б нравится больше, потому что если внутри сценария «б» использовать протокол, симмтеричный по отношению к «а», то я получу канал связи, который не может быть прослушан ни а, ни б, так сказать, эпик вин.
А вот к шифрованным каналам связи есть другой класс претензий: они к чертям ломают энтерпрайзное проксирование трафика. Точнее, не ломают, а заставляют добавлять энтерпрайзным пользователям CA, который позволяет слушать всё, что в свою очередь ухудшает защищённость соединения (да и общую безопасность).
Хотя лично мне бы хотелось более развёрнутого анализа на тему «АНБ может расшифровать всё», особенно в контексте GPG.
Паника же на тему «они могут читать, а другие нет» (если мы предположим, что всемогущее АНБ поломало всё шифрование на свете и выступает в качестве MITM'а даже в канале связи между кнопкой «искра» и комфоркой на моей плите), сводится к анализу двух сценариев:
Сценарий а: все посторонние могу читать
Сценарий б: не все посторонние могут читать
Лично мне сценарий б нравится больше, потому что если внутри сценария «б» использовать протокол, симмтеричный по отношению к «а», то я получу канал связи, который не может быть прослушан ни а, ни б, так сказать, эпик вин.
А вот к шифрованным каналам связи есть другой класс претензий: они к чертям ломают энтерпрайзное проксирование трафика. Точнее, не ломают, а заставляют добавлять энтерпрайзным пользователям CA, который позволяет слушать всё, что в свою очередь ухудшает защищённость соединения (да и общую безопасность).
Хотя лично мне бы хотелось более развёрнутого анализа на тему «АНБ может расшифровать всё», особенно в контексте GPG.
Я прошу прощения, а зачем нужно энтерпрайзное проксирование трафика? Не нарушает ли оно идеологически всё то, за что борется https?
Для корпоративного проксирования много причин, в первую очередь безопасность (блокирование всякой вирусни) и защита от утечек (промшпионаж и т.д.).
Идеологически фанаты https могут бороться за что угодно, в рамках своей квартиры и своего кошелька.
Идеологически фанаты https могут бороться за что угодно, в рамках своей квартиры и своего кошелька.
Прослушка корпоративного трафика позволяет вести более детальные расследования в случае утечки данных. Это как минимум.
Компании вольны делать с трафиком сотрудников что хотят. Кому-то может быть интересно нарушение корпоративной полиси по просмотру котиков, кого-то интересовать большие объёмы шифрованного трафика без паролей от оного.
И именно этим повсеместное внедрение https и хорошо! А то многие компании начали вести себя как государства в миниатюре, причём в наихудших его чертах.
https не может защитить от действий компании, потому что для https-проксирования используется самоподписанный сертификат, устанавливаемый на рабочие машины. Классический mitm. А плохо оно всё тем, что когда https было мало, то его пропускали «как есть». А сейчас его много, так что либо прокси не имеет смысла, либо надо делать mitm для ssl, т.е. всё больше компаний его делают.
значит следующей итерацией будет отказ массовый браузеров от возможности вручную установки доверенных сертификатов.
Да, гугл тут играет на стороне добра.
Ибо мелкие конторы вести себя как баре — задрали.
Да, гугл тут играет на стороне добра.
Ибо мелкие конторы вести себя как баре — задрали.
В ответ на это будут сборки chromium с возможностью сделать то, что нужно. Потому что компьютеры принадлежат компании, ПО принадлежит (или используется по лицензии) компанией, данные на компьютере принадлежат компании. А если кто-то в рабочее время против воли работодателя хочет посидеть в фейсбучике или пошопиться — это его личные проблемы.
А что, socks уже отменили?
> у американских спецслужб есть рычаги для внедрения уязвимостей в тексты стандартов
Это же вроде как открытые технологии (https, ssl, tls)?
>То есть, скажем, соединение российского пользователся с Facebook'ом американские спецслужбы предположительно видят, а наши — нет
ключевое слово «предположительно»
ну и факт того, что чье-то там правительство страдает наполеоновским комплексом, не должно влиять на мое решение о защите своей информации от несанкционированного (и запрещенного конституцией с точки зрения гос-ва) доступа
Это как сказать «у меня в двери стоит английский замок, но я его не буду закрывать — английские спецслужбы наверняка его умеют открывать, а наших то зачем дразнить?». А то, что может и просто хулиган зайти — на это закроем глаза.
Ну и поаккуратнее с тезисами вроде «американские же спецслужбы предположительно умеют расшифровывать» или «американские спецслужбы предположительно видят» — это пахнет паранойей или конспирологией, обоим не место на этом портале
Это же вроде как открытые технологии (https, ssl, tls)?
>То есть, скажем, соединение российского пользователся с Facebook'ом американские спецслужбы предположительно видят, а наши — нет
ключевое слово «предположительно»
ну и факт того, что чье-то там правительство страдает наполеоновским комплексом, не должно влиять на мое решение о защите своей информации от несанкционированного (и запрещенного конституцией с точки зрения гос-ва) доступа
Это как сказать «у меня в двери стоит английский замок, но я его не буду закрывать — английские спецслужбы наверняка его умеют открывать, а наших то зачем дразнить?». А то, что может и просто хулиган зайти — на это закроем глаза.
Ну и поаккуратнее с тезисами вроде «американские же спецслужбы предположительно умеют расшифровывать» или «американские спецслужбы предположительно видят» — это пахнет паранойей или конспирологией, обоим не место на этом портале
Да, стандарты опубликованы. Но есть подозрения, что в их разработке принимали участие люди, которые действовали по указке АНБ. Ну например: "Также Шнайер не рекомендует применять стандарты шифрования по эллиптическим кривым, так как АНБ активно участвовало в их разработке" (уже упомянутая мной ссылка http://www.opennet.ru/opennews/art.shtml?num=37846 )
у меня в двери стоит английский замок
Да, вы правы. Я хочу просто обратить внимание на существование представленной мной точки зрения.
Ну и поаккуратнее с тезисами вроде
Повторюсь, что эти подозрения подтверждаются большим количеством источников, в том числе утечками Сноудена
Во всем с Вами согласен, кроме, пожалуй, слов о «конспирологии».
RSA Security использовала в библиотеке BSAFE генератор псевдослучайных чисел, в котором позднее был обнаружен бэкдор. Если верить Сноудену, за использование этого ГСПЧ RSA Security получила от NSA $10 млн.
Так что внедрение уязвимостей со стороны различных служб, к сожалению, вполне себе реальность.
RSA Security использовала в библиотеке BSAFE генератор псевдослучайных чисел, в котором позднее был обнаружен бэкдор. Если верить Сноудену, за использование этого ГСПЧ RSA Security получила от NSA $10 млн.
Так что внедрение уязвимостей со стороны различных служб, к сожалению, вполне себе реальность.
Я и не опровергаю факта внедрения уязвимостей со стороны неких служб. Но когда технология открыта, то, с одной стороны, сделать это можно только надеясь, что «никто не заметит» (хотя это вполне можно допустить), а с другой теоретически должно быть легко найти. А вот там, где применяется всякая проприетарщина или закрытые третьесторонние решения — там пожалуйста, да и за примерами лезть далеко не придется.
Спасибо: смешно получилось. Поправьте, если я неправильно понял:
Все начали массово переходить на SSL/TLS, чтобы американские спецслужбы могли нас читать, а остальные нет? Т.е. Гугл работает в интересах АНБ, которое пытается массово перевести всех на шифрование? И в то же время АНБ заявляет, что они не были готовы к такому массовому внедрению шифрования, которое опередило их прогнозы (2018 год вроде) из-за утечки Сноудена по Призме.
Что мы имеем: бегство Сноудена спланировано АНБ для ускорения внедрения шифрования. Вот это я понимаю многоходовочка!
PS. с параноей надо что-то делать
Все начали массово переходить на SSL/TLS, чтобы американские спецслужбы могли нас читать, а остальные нет? Т.е. Гугл работает в интересах АНБ, которое пытается массово перевести всех на шифрование? И в то же время АНБ заявляет, что они не были готовы к такому массовому внедрению шифрования, которое опередило их прогнозы (2018 год вроде) из-за утечки Сноудена по Призме.
Что мы имеем: бегство Сноудена спланировано АНБ для ускорения внедрения шифрования. Вот это я понимаю многоходовочка!
PS. с параноей надо что-то делать
Все начали массово переходить на SSL/TLS, чтобы американские спецслужбы могли нас читать, а остальные нет? Т.е. Гугл работает в интересах АНБ, которое пытается массово перевести всех на шифрование?
Да, именно так. Предположительно. То есть всеобщее внедрение шифрование не нужно вопринимать как нечто безусловно хорошее. Возможно, это как раз нужно, чтобы усыпить нашу бдительность.
Ну то есть, понятное дело, рядовые админы, переходящие на https, не знают, что помогают этим АНБ. Но крупные компании типа Google, возможно, как раз для того и продвигают https, чтобы АНБ могло всё читать (а остальные — нет).
И в то же время АНБ заявляет, что они не были готовы к такому массовому внедрению шифрования, которое опередило их прогнозы
Это могло означать, что они ещё не научились расшифровывать весь https, а могут лишь частично. А ещё такое заявление могло быть обманом.
Как бы там ни было, безотносительно разговоров о политике и большом брате — в словах автора есть крупица смысла.
Я видел параноиков, которые никогда в жизни не стали бы обсуждать некоторые вопросы по телефону, и при этом с удовольствие говорили о чем угодно в шифрованных чатах whatsapp. Шифрование даёт чувство безопасности и может усыплять бдительность.
Я видел параноиков, которые никогда в жизни не стали бы обсуждать некоторые вопросы по телефону, и при этом с удовольствие говорили о чем угодно в шифрованных чатах whatsapp. Шифрование даёт чувство безопасности и может усыплять бдительность.
Где тег «теория заговора»?
Если наших спецслужб это так напрягает, они могут организовать проверку открытого кода, чтобы убедиться, что их американские коллеги тоже не смогут читать шифрованный трафик. Внедрение уязвимости стоит дороже, чем её обнаружение — потому что каждая выявленная уязвимость перечёркивает репутацию продукта. То есть, придётся строить с нуля новый продукт, и внедрять баги уже в него. Было бы желание хотя бы у одной развитой страны избавиться от прослушки полностью, включая невозможность осуществлять прослушку собственными силами — уже давно бы сделали. Но каждый хочет оставить бекдор (а можно ещё и фронтдор) для себя, и мы имеем то, что имеем.
Кстати POODLE — это не уязвимость протокола, а уязвимость настроек клиента. Так что не в кассу, как и большинство «уязвимостей» вроде предустановленных ключей DH
Кстати POODLE — это не уязвимость протокола, а уязвимость настроек клиента. Так что не в кассу, как и большинство «уязвимостей» вроде предустановленных ключей DH
Если наших спецслужб это так напрягает, они могут организовать проверку открытого кода, чтобы убедиться, что их американские коллеги тоже не смогут читать шифрованный трафик.
Да-а-а? А вы попробуйте. Проверьте хотя бы открытый OpenSSL. И выясните, верно ли, что в нём больше нет уязвимостей и никаких больше никогда не найдут.
Наши спецслужбы напрягает текущая ситуация. Но нельзя просто взять и окончательно проверить открытый код. К сожалению, на данном этапе развития человечества полная проверка исходников невозможна либо требует экстраординарных усилий (мне кажется, по-настоящему полная проверка OpenSSL, то есть такая, которая выдаст список всех оставшихся в коде уязвимостей, обойдётся в миллиарды долларов, если она вообще возможна). Потому что код сейчас пишется для компьютеров, а не для людей.
Внедрение уязвимости стоит дороже, чем её обнаружение — потому что каждая выявленная уязвимость перечёркивает репутацию продукта.
Можно внедрить так, чтобы нельзя было понять, что это именно осознанное внедрение. Скажем, известный goto fail баг в коде Apple сильно смахивает на сознательный бакдор. (Его же можно было простейшим статическим анализом кода выявить.) Но это недоказуемо. То же самое относится к багу в debian-версии ssh (лень искать ссылку).
Неправильная позиция. Это из разряда «мне нечего скрывать». Если американские спецслужбы смогут читать https-трафик всего нашего государства, они смогут как-нибудь воспользоваться этим, чтобы совершить против нас какую-нибудь диверсию. Что опаснее — когда твой трафик читают «чужие», которые, разумеется, действуют не в твоих интересах или «свои», которые, как минимум теоретически, делают это в твоих же интересах, в целях твоей безопасности, которые, как минимум теоретически, как раз на то и существуют, чтобы перелапачивать горы секретной информации и использовать её в твоих же интересах.
>>«свои», которые, как минимум теоретически, делают это в твоих же интересах, в целях твоей безопасности
Очень смешно.
Вы тут в комментах и в статье старательно продвигаете этот совершенно неочевидный тезис.
Хотите чтобы вас читали местные спецслужбы и не читали иностранные? Да без проблем, перестаньте ходить на сайты вне РФ (можете предварительно проверять трейсроутом).
И все будет в ажуре. Мне же лично (как и многим тут), наоборот комфортнее.
«Свои» действуют так, что лучше уж это были бы «чужие». С чужими проблем меньше.
Очень смешно.
Вы тут в комментах и в статье старательно продвигаете этот совершенно неочевидный тезис.
Хотите чтобы вас читали местные спецслужбы и не читали иностранные? Да без проблем, перестаньте ходить на сайты вне РФ (можете предварительно проверять трейсроутом).
И все будет в ажуре. Мне же лично (как и многим тут), наоборот комфортнее.
«Свои» действуют так, что лучше уж это были бы «чужие». С чужими проблем меньше.
Давайте разбираться. По идее спецслужбы любой страны придуманы как раз для того, чтобы заниматься безопасностью этой страны. Спецслужбы могут осуществлять прослушку своей страны и чужих стран. В интересах своей страны. Российские спецслужбы могут прослушивать наши телефоны, трафик и так далее. По идее они это должны делать в интересах простых граждан. Действительно ли они делают это в интересах граждан — вопрос открытый. Но как минимум иногда они это делают действительно в наших интересах. Например, когда совершают прослушку с целью поиска террористов.
А американские спецслужбы действуют в интересах Америки, а не России. Если они нас прослушивают, то явно не в наших интересах.
Вывод: прослушка нас американскими спецслужбами хуже, ну или как минимум не лучше, чем российскими.
Не в чем тут разбираться.
Вот это ваше неуверенное «по идее» — оно все портит.
Если вы сами в своих словах не уверены, то нахрена вот это вот все?
Я не знаю какие там у кого идеи. А текущая ситуация вон комментом ниже хорошо расписана.
Нафиг не нужны мне такие «защита», и такая «безопасность».
А от прослушки американскими спецслужбами мне ни холодно, ни жарко.
Вот это ваше неуверенное «по идее» — оно все портит.
Если вы сами в своих словах не уверены, то нахрена вот это вот все?
Я не знаю какие там у кого идеи. А текущая ситуация вон комментом ниже хорошо расписана.
Нафиг не нужны мне такие «защита», и такая «безопасность».
А от прослушки американскими спецслужбами мне ни холодно, ни жарко.
citius, zapimir, salkat,Andrusha. По поводу того, что, мол, российские спецслужбы могут сделать много плохого лично мне. В том числе посадить за репост картинки. А заграничным на нас наплевать. Что ж, хотел написать на это большой пост с политотой про то, что идёт война на всех фронтах, что если Америка будет контролировать интернет, то будет контролировать и головы. Но как-то передумал, не хочу скатываться в ещё большую политоту, да и вообще эту статью не следовало писать. :)
Прежде чем такую статью писать, надо вату подвычистить. ;)
Так объективнее будет.
А то что чужие головы контролируют это страшно, а свои мол норм?
Да в жопу и тех и других.
Так объективнее будет.
А то что чужие головы контролируют это страшно, а свои мол норм?
Да в жопу и тех и других.
Что значит российские спецслужбы могут? Уже дают реальные сроки за репосты. Причем, есть уже пострадавшие за репосты, сделанные 10 лет назад. А вы о какой-то мифической угрозе, в стиле, а вдруг Америка захочет всех поработить.
С российскими спецслужбами возникает опасность того, что при аресте очередного потерявшего доверия чиновника, всему народу нужно будет срочно просматривать свой вконтактик, не выражал ли ему одобрение за последние 15 лет.
С российскими спецслужбами возникает опасность того, что при аресте очередного потерявшего доверия чиновника, всему народу нужно будет срочно просматривать свой вконтактик, не выражал ли ему одобрение за последние 15 лет.
Кстати, «Младший брат» Кори Доктороу не читали?
Очень советую, уверен что сильно подвинет мирвоззрение.
Ситуацию которая там описана можете смело экстраполировать и на нас, ну уровень беззакония может, даже, можно десятком градусов повыше брать.
Очень советую, уверен что сильно подвинет мирвоззрение.
Ситуацию которая там описана можете смело экстраполировать и на нас, ну уровень беззакония может, даже, можно десятком градусов повыше брать.
Американские спецслужбы не будут штрафы или даже срок давать, за то что ты перепостишь историческую заметку в которой о ужас упоминается то, что СССР вместе с Германией делили Польшу в 39-м и совместный парад в Бресте проводили. Или не дай бог оскорбишь какого-нибудь верующего, а они сейчас от чего угодно оскорбляются…
1. HTTPS на больших пингах и убитых каналах — зло. Гуглу следовало бы сначала допилить и сделать популярными более правильные протоколы.
2. Для интернета лучше было бы, если бы Гугл с теми же усилиями пиарил ipv6. Ибо мифическая слежка спецслужб это скорее страшилка для 0.01% избранных, а вот гигантские лабиринты из НАТов в сегодняшнем инете это действительно проблема.
3. Однако же, ipv6 несколько снижает защищенность https. В том смысле, что сейчас корпоративный, допустим, НАТ перед СОРМом не позволяет отследить действия конкретного Васи хотя бы на работе.
2. Для интернета лучше было бы, если бы Гугл с теми же усилиями пиарил ipv6. Ибо мифическая слежка спецслужб это скорее страшилка для 0.01% избранных, а вот гигантские лабиринты из НАТов в сегодняшнем инете это действительно проблема.
3. Однако же, ipv6 несколько снижает защищенность https. В том смысле, что сейчас корпоративный, допустим, НАТ перед СОРМом не позволяет отследить действия конкретного Васи хотя бы на работе.
>В том смысле, что сейчас корпоративный, допустим, НАТ перед СОРМом не позволяет отследить действия конкретного Васи хотя бы на работе.
Думаете, корпорация не ведёт логов? Или не выдаст им майорам?
Думаете, корпорация не ведёт логов? Или не выдаст им майорам?
Корпорация-то ведёт. Но сам факт обращения майоров в корпорацию на тему «мы тут следим за вашим главбухом, дайте логи» это уже большое палево.
1. Конкретному Васе от этого не легче. Ведь корпорация скорее сольёт сотрудника с потрохами, чем понесёт убытки.
2. Палево для кого, для майора? И что ему с того?
2. Палево для кого, для майора? И что ему с того?
Вы серьёзно думаете, что майору нужен Вася, который младший эникейщик?
А вот хорошего бухгалтера найти сложно… Василий Петровича вместе с кассой ищут уже два года)
А вот хорошего бухгалтера найти сложно… Василий Петровича вместе с кассой ищут уже два года)
Думаете, корпорация не ведёт логов?А многие ли из SOHO-роутеров (которые массово применяются в малом бизнесе) умеют вести такие логи?
Многие ли админы среднего бизнеса заморачиваются ведением лога в iptables или в циске?
Так что, думаю, в массе — да, не ведет.
в https и его реализациях постоянно находят уязвимости (Heartbleed, POODLE и т. д.). И есть полно указаний на то, что, возможно, американские спецслужбы знают о многих пока неопубликованных уязвимостях в httpsНа протяжении всего текста постоянно смешиваются технологии, реализации конкретные итд итп. Какие такие уязвимости нашли в https? О чём речь вообще? Причём тут «уязвимости» конкретного софта (типа heartbleed) или вообще методологическая возможность «слушать канал», которая в принципе при любых технологиях потенциально есть?
HTTPS может быть уязвим и открыт для немногих
HTTP гарантированно уязвим для кого угодно
Только сегодня читал статью об интересной атаке с использованием HTTP и волосы вставали дыбом. Стоит получить MITM-доступ к системе с открытым браузером, как практически гарантированно в течении минуты какой-нибудь сайтик через HTTP попытается себе чего-нибудь подгрузить из скриптов. При наличии MITM в силу незащищенности HTTP он получит вместо желаемого бомбу, которую браузер тут же радостно выполнит. Дальше эта бомба начинает по HTTP запрашивать разные популярные сайты, а MITM для каждого с энтузиазмом представляется соответствующим сервером, запрашивает куки и подгружает «обновленную версию» сайта — как Вы догадываетесь, «слегка отредактированную», которую браузер — сюрприз — сохраняет в кэш, причем с пометкой «хранить вечно, обновлять не требуется». Через несколько минут у атакующего находятся все куки от всех сайтов из любого желаемого списка (автор в качестве примера использовал список из миллиона наиболее популярных сайтов по версии веб-рейтинга Alexa) на которые когда-либо ходил по HTTP пользователь, а при попытке пользователя снова зайти на любой из этих сайтов даже после того как MITM-атакующий ушел из сети браузер автоматически подгрузит из кэша загруженную атакующим страницу.
TL;DR: если Вы используете HTTP и у атакующего есть хотя бы временный доступ к Вашей сети — Ваш браузер радостно сдаст ему все куки которые его интересуют и будет автоматически перенаправлять Вас на страничку подготовленную атакующим.
В качестве MITM, к слову, автор предлагал использовать несложный девайс стоимостью 50$ втыкаемый в USB порт. Подошли к залоченной машине, воткнули «флэшку», подержали минуту, ушли. Хак завершен. Если Вы используете HTTP то после этого минутного действия Вы машете ручкой всем своим данным и оказываетесь в полном распоряжении атакующего. «Флэшка» представляется системе как Ethernet-адаптер, используя уязвимость подавляющего большинства современных ОСей замыкает на себя весь траффик, после чего ей достаточно чтобы кто-то из сайтов оставшихся открытыми в веб-браузере на залоченном компьютере попытался что-нибудь получить по HTTP.
HTTP гарантированно уязвим для кого угодно
Только сегодня читал статью об интересной атаке с использованием HTTP и волосы вставали дыбом. Стоит получить MITM-доступ к системе с открытым браузером, как практически гарантированно в течении минуты какой-нибудь сайтик через HTTP попытается себе чего-нибудь подгрузить из скриптов. При наличии MITM в силу незащищенности HTTP он получит вместо желаемого бомбу, которую браузер тут же радостно выполнит. Дальше эта бомба начинает по HTTP запрашивать разные популярные сайты, а MITM для каждого с энтузиазмом представляется соответствующим сервером, запрашивает куки и подгружает «обновленную версию» сайта — как Вы догадываетесь, «слегка отредактированную», которую браузер — сюрприз — сохраняет в кэш, причем с пометкой «хранить вечно, обновлять не требуется». Через несколько минут у атакующего находятся все куки от всех сайтов из любого желаемого списка (автор в качестве примера использовал список из миллиона наиболее популярных сайтов по версии веб-рейтинга Alexa) на которые когда-либо ходил по HTTP пользователь, а при попытке пользователя снова зайти на любой из этих сайтов даже после того как MITM-атакующий ушел из сети браузер автоматически подгрузит из кэша загруженную атакующим страницу.
TL;DR: если Вы используете HTTP и у атакующего есть хотя бы временный доступ к Вашей сети — Ваш браузер радостно сдаст ему все куки которые его интересуют и будет автоматически перенаправлять Вас на страничку подготовленную атакующим.
В качестве MITM, к слову, автор предлагал использовать несложный девайс стоимостью 50$ втыкаемый в USB порт. Подошли к залоченной машине, воткнули «флэшку», подержали минуту, ушли. Хак завершен. Если Вы используете HTTP то после этого минутного действия Вы машете ручкой всем своим данным и оказываетесь в полном распоряжении атакующего. «Флэшка» представляется системе как Ethernet-адаптер, используя уязвимость подавляющего большинства современных ОСей замыкает на себя весь траффик, после чего ей достаточно чтобы кто-то из сайтов оставшихся открытыми в веб-браузере на залоченном компьютере попытался что-нибудь получить по HTTP.
Я Вас поправлю и одновременно укажу на то, что именно эта проблема более страшна:
это устройство стоит 5 долларов, а не 50.
это устройство стоит 5 долларов, а не 50.
1. HTTPS сейчас и в ближайшем будущем уже является формой гигиены.
2. Гугл разрабатывает всякие SPDY и QUIC'и лишь для того, чтобы было всё сложнее фильтровать его рекламу.
2. Гугл разрабатывает всякие SPDY и QUIC'и лишь для того, чтобы было всё сложнее фильтровать его рекламу.
Что мешает ее фильтровать (как собственно и делают часто) на клиенте? Запретят Adblock в Chrome WebStore? Можно либо ставить руками или через другое расширение (как тот же savefrom) или наконец Яндекс.Браузер поставить (допустим Яндекс не заблокировал). Мобильная реклама? так там SPDY/QUIC не особо поможет потому что там 3 варианта (если у юзера рут): hosts править (все будет работать — плевать на протокол), ставить системный прокси (QUIC'и помогут. видимо. если юзер не поставит и Root CA сертификат если уж ему так надо), ставить модуль XPosed например для YouTube — тоже плевать на протокол потому модуль прямо в приложение внедряется и делает свое дело. Если рута нет — остаются игры через VPN Service API но тоже можно сертификат вотнуть).
Вот если речь про фильтрацию о которой пользователь не знает или вообще против (но провайдер считает что пользователю очень хочется… например чтобы гугл платил ему или чтобы пользователь знал баланс мобильного интернета… на каждой странице) то да — может и помочь.
Вот если речь про фильтрацию о которой пользователь не знает или вообще против (но провайдер считает что пользователю очень хочется… например чтобы гугл платил ему или чтобы пользователь знал баланс мобильного интернета… на каждой странице) то да — может и помочь.
Вы, конечно, хорошо покрасовались своими знаниями темы, но у вас выпало из вида то, что при обычных, привычных, протоколах, намного проще _массово_ блокировать рекламу.
Кроме того, многую рекламу сейчас не заблокировать hosts'ами потому, что некоторые домены используются и для доставки контента и для доставки рекламы.
Кроме того, многую рекламу сейчас не заблокировать hosts'ами потому, что некоторые домены используются и для доставки контента и для доставки рекламы.
Не могу согласится с тем что _массово_ блокировать проще.
Массовые способы (по крайней мере насколько понимаю) это именно что extension который ставиться в браузер (ну или iOS Content Blocker который тоже на клиенте работает). Пользователем.
Почему то основный публичные воплы которые заметно — именно про то что про Adblock Plus и другие extension'ы и все инструкции на сайтах на тему 'а давайте вы нас в белый список' — именно про них а не альтернативные способы.
Или речь именно про блокировку ISP? (то что free.fr некоторое время делал и то что хотел делать Белтелеком https://geektimes.ru/post/251554/ ?)… ну так это скорее хорошо что не будет возможности такое творить.
Массовые способы (по крайней мере насколько понимаю) это именно что extension который ставиться в браузер (ну или iOS Content Blocker который тоже на клиенте работает). Пользователем.
Почему то основный публичные воплы которые заметно — именно про то что про Adblock Plus и другие extension'ы и все инструкции на сайтах на тему 'а давайте вы нас в белый список' — именно про них а не альтернативные способы.
Или речь именно про блокировку ISP? (то что free.fr некоторое время делал и то что хотел делать Белтелеком https://geektimes.ru/post/251554/ ?)… ну так это скорее хорошо что не будет возможности такое творить.
Да, навязчивые идеи Google или Microsoft иногда раздражают. Первые собираются помечать даже абсолютную статику небезопасной, только потому что там нет шифрования. С другой стороны, когда абсолютно все лезут в честно купленный трафик, даже твой ОПСОС/провайдер, а не некий кулхацкер за соседним столиком в кафе — кажется, что даже статику надо защищать шифрованием от чужих «потных» ручек. Уж не говорю про то, что контора «пишет» (пользуюсь случаем передаю приветы СОРМу и Яровой).
Первые собираются помечать даже абсолютную статику небезопасной
Потому что в абсолютной статике может быть написано «На выборах в США победил Трамп», а тебе вместо этого покажут «Слава Украине».
В «безобидную» статику передаваемую по HTTP можно на лету дописать отнюдь не безобидный скрипт, причем львиная доля браузеров не только его автоматически незаметно выполнит, но и сдаст все HTTP-куки которые атакующему придет в голову запросить и подгрузит в кэш страниц опасный код для остальных сайтов который автоматически выполнится если Вы к этим сайту по ошибке обратитесь по HTTP в течении последующего месяца
Я тут придумал своеобразную «теорию заговора», может быть, кого-то заинтересует.
Ключевой вопрос такой: «зачем шифровать открытый контент?» Есть очень много вещей, находящихся в общественном достоянии. Ещё больше под открытыми лицензиями. Для проверки подлинности достаточно цифровых подписей контента, а то и просто контрольной суммы, сэкономим на процессорном времени. Если вещь находится в общественном достоянии или распространяется под открытой лицензией — скачать и посмотреть на неё может каждый, от него не требуется как-то идентифицировать себя, проверять, пиратская она или нет.
Как очевидно из продавливаемых некими организациями идей, им этот свободный контент поперёк горла, ибо мешает зарабатывать на посредничестве в продаже контента платного. Принудительное шифрование и сверхсложный протокол HTTP/2 больше всего вредят тем людям и компаниям, которые бесплатно публикуют открытый контент. Затраты на внедрение HTTP/2, покупку и установку сертификатов идут в чистый минус без наличия прибыли как таковой.
Чем больше затраты на альтруизм, тем меньше альтруистов. Не думаю, что кто-то внутри Google или Facebook реально придумывает, как убрать энтузиастов открытой культуры с рынка, но именно таким образом работают объективные законы капиталистической экономики.
P.S. Придумываю теории заговоров на любую тему, недорого, обоснованно, обращайтесь =)
P.P.S. Домашнее задание: объясните, почему представленная выше теория не работает.
Ключевой вопрос такой: «зачем шифровать открытый контент?» Есть очень много вещей, находящихся в общественном достоянии. Ещё больше под открытыми лицензиями. Для проверки подлинности достаточно цифровых подписей контента, а то и просто контрольной суммы, сэкономим на процессорном времени. Если вещь находится в общественном достоянии или распространяется под открытой лицензией — скачать и посмотреть на неё может каждый, от него не требуется как-то идентифицировать себя, проверять, пиратская она или нет.
Как очевидно из продавливаемых некими организациями идей, им этот свободный контент поперёк горла, ибо мешает зарабатывать на посредничестве в продаже контента платного. Принудительное шифрование и сверхсложный протокол HTTP/2 больше всего вредят тем людям и компаниям, которые бесплатно публикуют открытый контент. Затраты на внедрение HTTP/2, покупку и установку сертификатов идут в чистый минус без наличия прибыли как таковой.
Чем больше затраты на альтруизм, тем меньше альтруистов. Не думаю, что кто-то внутри Google или Facebook реально придумывает, как убрать энтузиастов открытой культуры с рынка, но именно таким образом работают объективные законы капиталистической экономики.
P.S. Придумываю теории заговоров на любую тему, недорого, обоснованно, обращайтесь =)
P.P.S. Домашнее задание: объясните, почему представленная выше теория не работает.
Не всегда хочется, чтобы посторонний товарищ уполномоченный знал что именно я смотрю/читаю из открытого и общественного достояния, анализировал меня по этим данным и составлял характеристику, которую затем использует против меня.
В этом вопросе в сущности нет разницы между HTTP и HTTPS. Если на то пошло, нужно считать, что нас слушают уже на самом сервере (то есть, владелец по запросу государства обязан взять и отдать логи доступа за последние полгода). Чтобы не выдавать себя в таких условиях нужно создавать туннели и цепочки проксирования. В таких условиях не важно, HTTP или HTTPS поддерживает сервер. Важно, по какому протоколу работает туннель.
Есть встречное предложение. Сегрегация трафика на «открытый» и «закрытый» плоха тем, что его можно будет блокировать отдельно. Государство может сказать, что хорошему человеку нечего скрывать, оставить только открытый трафик и заблокировать закрытый. Ну или не блокировать, а ставить на карандаш и пихать кейлогеры IRL тем, кто пользуется закрытой подсистемой интернета.
Но ведь любому человеку есть чего скрывать. Если даже сейчас нет, никто не гарантирует, что подобные вещи у него не появятся в будущем. Поэтому в интересах большинства пользователей сделать весь трафик изоморфным, чтобы нельзя было выделить и заблокировать/криминализировать часть этого трафика.
Я вот похожую ситуацию видел в кино. Следователь раскручивает свидетеля «вы же невиновны, зачем вам адвокат, отвечайте быстро на вопрос и мы вас отправим домой». Суть в том, что даже если вы не видите необходимости в адвокате, другому человеку он может понадобится. Нельзя допустить того, что вызов адвоката стал бы однозначным негативным маркером. Если традиции юриспруденции считают, что возможность вызова адвоката полезна для общества, общество не должно обесценивать эту возможность отказом.
Но ведь любому человеку есть чего скрывать. Если даже сейчас нет, никто не гарантирует, что подобные вещи у него не появятся в будущем. Поэтому в интересах большинства пользователей сделать весь трафик изоморфным, чтобы нельзя было выделить и заблокировать/криминализировать часть этого трафика.
Я вот похожую ситуацию видел в кино. Следователь раскручивает свидетеля «вы же невиновны, зачем вам адвокат, отвечайте быстро на вопрос и мы вас отправим домой». Суть в том, что даже если вы не видите необходимости в адвокате, другому человеку он может понадобится. Нельзя допустить того, что вызов адвоката стал бы однозначным негативным маркером. Если традиции юриспруденции считают, что возможность вызова адвоката полезна для общества, общество не должно обесценивать эту возможность отказом.
Сегрегация контента уже существует. Особенно это заметно пользователям DRMленых сервисов вроде Netflix. Просто это деление пока выглядит как DRM/Free. DRM-протоколы обычно сразу заметны в логах. Но это так, отступление.
Была как-то статья-вопрос про то, возможна ли анонимность в сети. Я ответил: https://geektimes.ru/post/249032/#comment_8333800
Из ответа в принципе ясно, что если мы и можем обезопасить несколько уровней — это не поможет решить проблему. В первую очередь из-за последнего уровня — нас самих. Что это будет за общество, где люди перестанут использовать индивидуальные стили общения?
Единственно возможное решение проблемы анонимности — построить такое общество, где мы бы не боялись раскрытия личных данных. Где добропорядочному человеку и в голову не пришло бы противопоставлять себе государственную машину в роли следователя.
Дальше я могу развести многостраничную политоту о том, как мы до таких мыслей, сравнений и метафор докатились, но броневичок заглох где-то по дороге, бумажки с тезисами скомкались и промокли так, что не прочесть, лысина ещё не проросла, а картавость практически исправили логопеды в детстве.
Была как-то статья-вопрос про то, возможна ли анонимность в сети. Я ответил: https://geektimes.ru/post/249032/#comment_8333800
Из ответа в принципе ясно, что если мы и можем обезопасить несколько уровней — это не поможет решить проблему. В первую очередь из-за последнего уровня — нас самих. Что это будет за общество, где люди перестанут использовать индивидуальные стили общения?
Единственно возможное решение проблемы анонимности — построить такое общество, где мы бы не боялись раскрытия личных данных. Где добропорядочному человеку и в голову не пришло бы противопоставлять себе государственную машину в роли следователя.
Дальше я могу развести многостраничную политоту о том, как мы до таких мыслей, сравнений и метафор докатились, но броневичок заглох где-то по дороге, бумажки с тезисами скомкались и промокли так, что не прочесть, лысина ещё не проросла, а картавость практически исправили логопеды в детстве.
А не могли бы вы разместить в общественном достоянии данные своей кредитной карты, аккаунтов на различных сайтах и было бы также неплохо, если бы вы установили в своем доме веб-камеру со свободным доступом?
А хотите читать книжки классиков и обучаться математике исключительно под расписку компетентных государственных органов?
Так уже близко же, сегодня мне запрещают смотреть порнографию, а завтра запретят доступ к википедии и гуглу.
Вот, а HTTPS, если оставаться в рамках описанной мной теории, работает с другой стороны — он заставляет идентифицировать себя не пользователей, что сложнореализуемо, а поставщиков контента. А, поскольку взаимодействие двустороннее, компрометируя одну сторону мы неизбежно получаем рычаг воздействия на вторую.
То есть, человек, решивший раздавать всем желающим известные произведения Оруэлла, Бредбери и Хаксли (конечно, когда они станут общественным достоянием), будет вынужден просить разрешения на это у компетентных органов корпоративного управления, что может быть черевато. Зачем блокировать, если можно попросту не пускать раздающих?
Если запирать двери на замок, то профессиональные взломщики смогут его вскрыть, а кроме них никто не сможет. Вывод — использование замков продвигают профессиональные «медвежатники», и их повсеместное внедрение может быть опасно.
Т.е. Американские спецслужбы опаснее Российских?
Я всегда придерживался обратной точки зрения. Американский АНБ-шник далеко, я не в его юрисдикции. А отечественному товарищу майору меня взять за одно место намного проще.
Так пускай в таком случае расшифровывает трафик. Не жалко.
Чисто теоретически АНБ с помощью big data, управляя гуглом и фб, действительно могут использовать трафик в качестве оружия в случае конфликта. Это всё равно что захватить телевизор в чужой стране и даже круче (ведь по тв врут, правда только в инете).
Да и гос. тайна легко утечёт по кусочкам от разных работников. Один пересказал другу интересный проект, другой фотку с завода прислал с черетжами на фоне и т.д.
Т.е. конкретному человеку конечно пофиг слушает его чужое правительство или нет, но в рамках целого гос-ва это может быть опасно. Лучше сделать всё для того, чтобы вообще никто не мог слушать.
Да и гос. тайна легко утечёт по кусочкам от разных работников. Один пересказал другу интересный проект, другой фотку с завода прислал с черетжами на фоне и т.д.
Т.е. конкретному человеку конечно пофиг слушает его чужое правительство или нет, но в рамках целого гос-ва это может быть опасно. Лучше сделать всё для того, чтобы вообще никто не мог слушать.
Разумеется, лучше никому не давать ничего слушать.
Но всё же опасно это будет только правительству. Нам внушили, что надо что-то от кого-то скрывать, защищать своё правительство и где-то есть враги.
А вообще человек человеку друг.
А если одно правительство у другого гос.тайну сворует, то пусть ворует. Нечего тайны плодить. Простым людям с их тайн проку никакого.
Но всё же опасно это будет только правительству. Нам внушили, что надо что-то от кого-то скрывать, защищать своё правительство и где-то есть враги.
А вообще человек человеку друг.
А если одно правительство у другого гос.тайну сворует, то пусть ворует. Нечего тайны плодить. Простым людям с их тайн проку никакого.
Я сам за глобализацию, против войн и т.п.
Но тут с другой стороны надо смотреть: гос-во это больше предприятие, которое борется за экономическое влияние, чтобы повысить уровень жизни своих граждан. Т.е. если все тайны отдать (не получив ничего взамен) — страна просто отдаст больше влияния конкуренту.
Представть что будет, если например в фб и гугле везде будет написана только такая инфа: «скоро дефолт, покупайте доллары». Кто от этого выиграет? Кто проиграет?
Да и вообще, кто знает кто следующим будет править страной и как они будут использовать свои возможности. Сейчас например в сша везде засели республиканцы, что может нам обернуться не лучшим образом.
Но тут с другой стороны надо смотреть: гос-во это больше предприятие, которое борется за экономическое влияние, чтобы повысить уровень жизни своих граждан. Т.е. если все тайны отдать (не получив ничего взамен) — страна просто отдаст больше влияния конкуренту.
Представть что будет, если например в фб и гугле везде будет написана только такая инфа: «скоро дефолт, покупайте доллары». Кто от этого выиграет? Кто проиграет?
Да и вообще, кто знает кто следующим будет править страной и как они будут использовать свои возможности. Сейчас например в сша везде засели республиканцы, что может нам обернуться не лучшим образом.
> гос-во это больше предприятие, которое борется за экономическое влияние, чтобы повысить уровень жизни своих граждан…
У меня для вас плохие новости: судя по последним событиям, этих граждан всего несколько, и мы с Вами не входим в их число. :(
Государство, будучи задумано таким, как Вы говорите, сейчас озабочено только поддержанием своего собственного благополучия и борьбой за экономическое и политическое влияние в мире только в этом контексте (собственного благополучия), что на мой взгляд, перешло уже всякие разумные границы. Поэтому, чтобы получить возможность составить хоть насколько-нибудь объективное мнение относительно своего собственного положения в сложившейся ситуации, необходимо перестать рассматривать государственную машину, как инструмент защиты наших с Вами интересов. Государство будет делать только то, что выгодно конкретно ему, и если это выглядит так, что оно в какой-то момент защищает Ваши интересы, то это говорит всего лишь о том, что эти интересы в данный момент совпадают.
У меня для вас плохие новости: судя по последним событиям, этих граждан всего несколько, и мы с Вами не входим в их число. :(
Государство, будучи задумано таким, как Вы говорите, сейчас озабочено только поддержанием своего собственного благополучия и борьбой за экономическое и политическое влияние в мире только в этом контексте (собственного благополучия), что на мой взгляд, перешло уже всякие разумные границы. Поэтому, чтобы получить возможность составить хоть насколько-нибудь объективное мнение относительно своего собственного положения в сложившейся ситуации, необходимо перестать рассматривать государственную машину, как инструмент защиты наших с Вами интересов. Государство будет делать только то, что выгодно конкретно ему, и если это выглядит так, что оно в какой-то момент защищает Ваши интересы, то это говорит всего лишь о том, что эти интересы в данный момент совпадают.
Конечно я говорил об абстрактном гос-ве.
А чтоб государство защищало Ваши интересы — надо его контролировать. Просто у нас ещё не развита эта система контроля. Т.е. когда\если она будет развита — прятать данные своих граждан от соперников всё же будет полезно.
В РФ сейчас это бесполезно конечно, ведь у многих в правлении дети зарубежом. Без всяких интернетов можно легко пролобировать свою позицию.
А чтоб государство защищало Ваши интересы — надо его контролировать. Просто у нас ещё не развита эта система контроля. Т.е. когда\если она будет развита — прятать данные своих граждан от соперников всё же будет полезно.
В РФ сейчас это бесполезно конечно, ведь у многих в правлении дети зарубежом. Без всяких интернетов можно легко пролобировать свою позицию.
>я против слежки в любом виде. Ни российские, ни американские спецслужбы не должны расшифровывать трафик
Против слежки? А может вы там чегой то шифруете, а не террорист ли случаем? Пройдемте гражданин. Но это лирика. Американские спецслужбы могут держать IT конторы под колпаком как и трафик, у них есть «мастер ключ». Наши этого не могут, только запрещалка работает. Да и вообще, от государства защиты нет.
Против слежки? А может вы там чегой то шифруете, а не террорист ли случаем? Пройдемте гражданин. Но это лирика. Американские спецслужбы могут держать IT конторы под колпаком как и трафик, у них есть «мастер ключ». Наши этого не могут, только запрещалка работает. Да и вообще, от государства защиты нет.
прочитал статью, подняв глаза, убедился что в строке браузера красуется https, спокойно перешел к изучению комментариев.
>Я пишу всё это просто чтобы показать, что существует альтернативная точка зрения.
А когда покажите-то? И сразу, чтобы дважды не вставать: чья она эта «альтернативная»? В статье пока только «я не уверен», «ничего не знаю, но вот тут пишут».
А когда покажите-то? И сразу, чтобы дважды не вставать: чья она эта «альтернативная»? В статье пока только «я не уверен», «ничего не знаю, но вот тут пишут».
«Чья альтернативная?» Моя. :)
Ааа, я понял, надо было подождать три часа, чтобы в посте появилось некое подобие «точки зрения». Скажу прямо, это не точка зрения, это страусиная жопка, которая как бы говорит нам: я ничего понимаю, поэтому не всё так однозначно. Что это, вообще, значит: «не всё так однозначно»? Что конкретно «не всё»? Где критерии однозначности? Нужна она, эта однозначность и как я получить? Чего ради в «статье» перечислены сплетни, скандалы и интриги? Спид-Инфо какое-то…
Попробую привести аналогию, как я это вижу:
Допустим, у меня есть девушка Алиса. В ВК она переписывается со своим другом Бобом. Я ужасно ревную и хочу знать, что она ему пишет. Почему какая-то Ева, которая админит базу ВК (наверное, теоретически) может почитать их переписку, а я нет? Я тоже хочу читать переписку, пусть Алиса отправляет все сообщения на мой аккаунт, а я уже буду отправлять их Бобу!
Звучит разумно?
Да, возможно, есть какие-то уязвимости. Но всё равно встаёт выбор между тем, чтобы быть незащищенным ото всех или быть незащищенным (возможно!) только от американского правительства или каких-то небольших групп лиц.
Да, второй вариант может сделать человека беспечным, но это, как мне кажется, проблема самого человека.
Допустим, у меня есть девушка Алиса. В ВК она переписывается со своим другом Бобом. Я ужасно ревную и хочу знать, что она ему пишет. Почему какая-то Ева, которая админит базу ВК (наверное, теоретически) может почитать их переписку, а я нет? Я тоже хочу читать переписку, пусть Алиса отправляет все сообщения на мой аккаунт, а я уже буду отправлять их Бобу!
Звучит разумно?
Да, возможно, есть какие-то уязвимости. Но всё равно встаёт выбор между тем, чтобы быть незащищенным ото всех или быть незащищенным (возможно!) только от американского правительства или каких-то небольших групп лиц.
Да, второй вариант может сделать человека беспечным, но это, как мне кажется, проблема самого человека.
Звучит разумно?
Да, у многих централизованных систем, таких как ВКонтакте, есть люди, которые могут читать переписку. Но одно дело, когда эта возможность есть у людей, которые стоят наверху этой системы (ВКонтактика ну или всей нашей страны), и которые действуют (или как минимум должны действовать) в интересах этой системы, а другое — когда она есть у людей, внешних по отношению к этой системе. В случае с ВКонтактиком верно первое. В случае со всей нашей страной было бы верно первое, если наши же спецслужбы могли читать нашу же переписку. Но верно второе, так как спецслужбы чужой страны могут читать нашу переписку.
Да, в идеале вообще никто не должен читать эту переписку. Как ВКонтактик, так и вообще любые шифрованные соединения в интернете должны быть децентрализованными.
Главная загвоздка приходит в тезисе «или как минимум должны действовать».
Мы не можем быть уверены наперед, что товарищ майор, сидящий через дорогу — читает мою переписку в моих же интересах.
Более того, вероятность того, что она его интересует вопреки моих интересов выше, чем наоборот.
То есть вы агитируете не шифровать трафик, чтобы могли прочитать наши спецслужбы. А вместе с ними прочитать могут и реальные злоумышленники. Если ценой защиты от злоумышленников является невозможность наших спецслужб читать переписку — то я лично согласен.
Мы не можем быть уверены наперед, что товарищ майор, сидящий через дорогу — читает мою переписку в моих же интересах.
Более того, вероятность того, что она его интересует вопреки моих интересов выше, чем наоборот.
То есть вы агитируете не шифровать трафик, чтобы могли прочитать наши спецслужбы. А вместе с ними прочитать могут и реальные злоумышленники. Если ценой защиты от злоумышленников является невозможность наших спецслужб читать переписку — то я лично согласен.
Ожидал в посте инфу, почему https это плохо, а прочитал почему https это хорошо; лучше уж пусть меня американские спецслужбы читают, чем русские))
Вот я где-то на просторах опеннета читал коммент с опасением, что бесплатные сертификаты (Let's Encrypt) могут окончательно «прикрыть» (примерно как WoSign со StartCom недавно, например) и из-за невозможности откатиться с https обратно на http всем придётся разоряться на очень дорогие платные сертификаты — по-моему это куда более серьёзная потенциальная проблема, чем описанное в посте (хотя надеюсь, что это таки бред)
Вот я где-то на просторах опеннета читал коммент с опасением, что бесплатные сертификаты (Let's Encrypt) могут окончательно «прикрыть» (примерно как WoSign со StartCom недавно, например) и из-за невозможности откатиться с https обратно на http всем придётся разоряться на очень дорогие платные сертификаты — по-моему это куда более серьёзная потенциальная проблема, чем описанное в посте (хотя надеюсь, что это таки бред)
лучше уж пусть меня американские спецслужбы читают, чем русские))
Глупое заявление. Многократно уже выше писал. Уж кто-кто, а американские спецслужбы точно не действуют в твоих интересах, в отличие от российских, которые (ну, по идее) должны тебя защищать.
Почему-то российские спецслужбы считают, что в твоих интересах получить срок за репост не понравившейся им статьи. Защищают они так тебя
А по мне, ну их с такой «защитой». Пусть лучше не смогут расшифровать трафик
А по мне, ну их с такой «защитой». Пусть лучше не смогут расшифровать трафик
Как уже выше писали, американские спецслужбы мне ничего не сделают за какой-нибудь нехороший с точки нашего текущего бредового законодательства репост (например, с изображением какой-либо символики), причём независимо от того, являюсь ли я резидентом США или России. Вы, вероятно, слишком мало интересуетесь происходящим в стране для таких уверенных заявлений ;)
Это не точка зрения, а фигня какая-то. Точка зрения должна иметь аргументацию, а тут поток сознания помноженный на отсутствие логики.
АНБ запросто может выпустить любой сертификат, средства влияния на центры сертификации у них есть, и устроить перехват трафика в процессе передачи. Зачем им уязвимости в tls…
«у американских спецслужб есть рычаги»
Чего? Американским спецслужбам Google лично отправит все, что они попросят, как Apple и еще все сколько-нибудь крупные компании. Им не то что рычаги, им и кнопки не нужны.
Чего? Американским спецслужбам Google лично отправит все, что они попросят, как Apple и еще все сколько-нибудь крупные компании. Им не то что рычаги, им и кнопки не нужны.
"Безопасность хорошо, паранойя — плохо".
HTTPS — безопасность, а у автора — паранойя. Причем на базе "одна бабка сказала".
Вообще, даже плохое шифрование лучше его отсутствия.
А российским спецслужбам, прежде чем приступать к столь тонким материям, как криптография, неплохо бы для начала поучиться защищать собственные парадные двери от поджогов.
А вот это пример так называемой манипуляции.
> 1. «И есть полно указаний на то, что, возможно, американские спецслужбы знают о многих пока неопубликованных уязвимостях в https, а может быть даже, внедряют свои. Подчеркну: я в этом не уверен, я лишь обращаю внимание на то, что такое возможно.»
Предположительно могут. Но может быть и нет. Кто его знает.
> 2. «Итак, американская компания Google продвигает https, который американские же спецслужбы предположительно умеют расшифровывать.»
Неуверенности нет. Есть уверенность, что предположительно смогут.
> 3. «И авторов инициативы можно понять. Ведь американские спецслужбы могут расшифровывать, а наши — нет.»
Никакой неуверенности. Смогут!
> Я пишу всё это просто чтобы показать, что существует альтернативная точка зрения.
Я сам — крымский дельфин, поверьте не всё так однозначно. ©
> Я ни в коем случае не призываю использовать http вместо https. https безопаснее http.
Именно по этому я пишу, что внедрять https «возможно, опасно». © Ведь если вас сможет взломать меньше народа это не пойдёт вам на пользу. Так ведь?
> не всё так однозначно.
Ой, мама. Вот попробуйте теперь доказать нам, что этот пост написан не по методичке и вы не получили за него свои 11 рублей. (Предположительно, но я не уверен. Может быть и нет.)
> 1. «И есть полно указаний на то, что, возможно, американские спецслужбы знают о многих пока неопубликованных уязвимостях в https, а может быть даже, внедряют свои. Подчеркну: я в этом не уверен, я лишь обращаю внимание на то, что такое возможно.»
Предположительно могут. Но может быть и нет. Кто его знает.
> 2. «Итак, американская компания Google продвигает https, который американские же спецслужбы предположительно умеют расшифровывать.»
Неуверенности нет. Есть уверенность, что предположительно смогут.
> 3. «И авторов инициативы можно понять. Ведь американские спецслужбы могут расшифровывать, а наши — нет.»
Никакой неуверенности. Смогут!
> Я пишу всё это просто чтобы показать, что существует альтернативная точка зрения.
Я сам — крымский дельфин, поверьте не всё так однозначно. ©
> Я ни в коем случае не призываю использовать http вместо https. https безопаснее http.
Именно по этому я пишу, что внедрять https «возможно, опасно». © Ведь если вас сможет взломать меньше народа это не пойдёт вам на пользу. Так ведь?
> не всё так однозначно.
Ой, мама. Вот попробуйте теперь доказать нам, что этот пост написан не по методичке и вы не получили за него свои 11 рублей. (Предположительно, но я не уверен. Может быть и нет.)
Никакой неуверенности. Смогут!
Я просто не хотел опять повторять в этом предложении "предположительно". А то это слово у меня в каждом предложении было бы и вы бы меня сочли страшным занудой.
Так не надо было лить воду. Вместо этого взяли бы и написали в одном абзаце — в чём собственно опасность? В том, что https могут взломать? Мы знаем, кэп. В том, что его *предположительно* могут взломать спецслужбы США? Мы знает, кэп. В том, что его предположительно не взломают ФСБ? И чем это плохо?
Вам какая-то причина мешает прямо написать про скрепы, духовность и сплочение вокруг национального лидера? Что для борьбы с терроризмом ФСБ жизненно важно знать какую пиццу я заказывал, а так же какой у меня номер кредитки, срок действия, имя на карте и cvv-код?
Вам какая-то причина мешает прямо написать про скрепы, духовность и сплочение вокруг национального лидера? Что для борьбы с терроризмом ФСБ жизненно важно знать какую пиццу я заказывал, а так же какой у меня номер кредитки, срок действия, имя на карте и cvv-код?
Вам какая-то причина мешает прямо написать про скрепы, духовность и сплочение вокруг национального лидера?
Да, вы всё правильно поняли. Да, в данный период своей жизни я действительно считаю именно так. «Национальный лидер» и всё такое. И да, мешает. Потому что такие разговоры на GT не приветствуются. Плюс всё равно никто не поверит. Плюс когда-нибудь я могу передумать, а эти мои комменты «про духовность», как вы выразились, останутся здесь. Хотелось не опускаться до совсем популистской политоты, а обратить внимание на вот этот вот момент, имеющий хоть какое-то отношение к технической плоскости.
Нужно как можно быстрее создавать свой интернет на ГОСТах.
Сейчас весь мир крутится вокруг США и их технологий. Это может нравиться, может не нравиться, можно закрывать глаза и бесконечно повторять себе что это не так, но реальность такова, что в ближайшие десятилетия это будет так
Сейчас весь мир крутится вокруг США и их технологий. Это может нравиться, может не нравиться, можно закрывать глаза и бесконечно повторять себе что это не так, но реальность такова, что в ближайшие десятилетия это будет так
Ну, в самом временном сплочении в трудные времена нет ничего плохого. Главное лидера правильного иметь и действия правильные применять. Вот если бы в ответ была инициатива усиления шифрования путём дополнения российскими шифрами, то это было бы что-то.
А пока предлагается бороться с супостатом путём ослабления собственной безопасности. Простите, но это какой-то неправильный мёд.
А пока предлагается бороться с супостатом путём ослабления собственной безопасности. Простите, но это какой-то неправильный мёд.
А таких коллаборционистов и не надо понимать — с вами всё ясно, в сущности, пол-Совка таких было.
Красная кнопка — в верхнем правом углу. Всего вам доброго, и не возвращайтесь, пожалуйста.
Красная кнопка — в верхнем правом углу. Всего вам доброго, и не возвращайтесь, пожалуйста.
Ключевой момент этой теории — то, что американские спецслужбы внедряют свои уязвимости в TLS, выглядит довольно сомнительно. Если они просто знают о каких-то уязвимостях — это никаким образом не гарантирует, что о них не знают другие (правительства или частные лица), а следовательно, теряется смысл описанных вами действий.
По поводу того, что лучше быть прослушиваемыми своими спецслужбами — я сторонник мнения, что прослушка нужна исключительно для защиты государства от своего народа, вовсе не от чужого и уж тем более — не от террористов. Меня это, естественно, совершенно не устраивает.
Читал статью и вдруг вспомнилась притча:
Инь Фу Во два дня настраивал VPN-туннель для своего персонального компьютера. Когда туннель заработал, Инь уселся, почтительно повернувшись лицом к югу, и стал читать свою френдленту.
– О, Учитель, – спросил его Сисадмин, – я не могу понять, зачем вам VPN?
– Ты разве не знаешь, что в VPN-туннеле весь трафик шифруется? – удивился Инь.
– Знаю. Но ваш туннель терминируется на обычном сервере в стране западных варваров. А далее весь ваш яшмовый трафик идёт по Сети в открытом виде.
– Сети нет дела до моего трафика, чего не скажешь о провайдере, – ответил Учитель. Видя, что Сисадмин не понял, он добавил. – Вот, например, ты доверил свои деньги банку.
Сисадмин кивнул.
– Но ты не можешь доверить все свои деньги собственной супруге, – продолжал мудрый Инь. – Почему? Потому что она может посчитать эти деньги своими. А с банком такого не случится.
Просветлённый Сисадмин ушёл поднимать себе VPN-туннель.
Инь Фу Во два дня настраивал VPN-туннель для своего персонального компьютера. Когда туннель заработал, Инь уселся, почтительно повернувшись лицом к югу, и стал читать свою френдленту.
– О, Учитель, – спросил его Сисадмин, – я не могу понять, зачем вам VPN?
– Ты разве не знаешь, что в VPN-туннеле весь трафик шифруется? – удивился Инь.
– Знаю. Но ваш туннель терминируется на обычном сервере в стране западных варваров. А далее весь ваш яшмовый трафик идёт по Сети в открытом виде.
– Сети нет дела до моего трафика, чего не скажешь о провайдере, – ответил Учитель. Видя, что Сисадмин не понял, он добавил. – Вот, например, ты доверил свои деньги банку.
Сисадмин кивнул.
– Но ты не можешь доверить все свои деньги собственной супруге, – продолжал мудрый Инь. – Почему? Потому что она может посчитать эти деньги своими. А с банком такого не случится.
Просветлённый Сисадмин ушёл поднимать себе VPN-туннель.
Можно найти огромное количество упоминаний этого в интернете
и так далее (опять-таки, полно упоминаний в интернете)
В интернете намного больше упоминаний жидорептилоидного заговора. Делает ли это жидорептилоидов более реальными?
Раз уж тут обсуждают теории заговоров, то поделюсь своими страхами.
Наибольшую проблему со всяким шифрованием и цифровыми подписями я вижу в возможности монополизации центров выдачи сертификатов. Представьте себе ситуацию, когда у нас есть только один центр выдачи сертификатов, либо все такие центры подчиняются кому-то одному. Получается тот, кому принадлежит центр сертификации, может заткнуть рот любому. Не понравился сайт — отзываем сертификат и всё. Браузер просто не даст соединиться с этим сайтом. Можно конечно добавить свой корневой сертификат, но его же еще надо как-то распространить. В зависимости от степени закрытости системы, может и вовсе не быть возможности устанавливать свои сертификаты.
Взять хотя бы последние нововведения в Firefox 48. Он теперь не позволяет устанавливать не подписанные дополнения. Они говорят, что это ради безопасности. Но беда в том, что дополнения нельзя просто подписать какими-то ключами от какого-то стороннего CA. Ключи обязательно надо получать у Mozilla, и по сути Mozilla решает, позволить твоему дополнению существовать или нет. Они, конечно, и без этого могли кикнуть любое дополнение из своего маркета. Но тут другое. Теперь не одобренное дополнение в принципе не может быть запущено в браузере, не важно как ты его распространяешь. Конечно, пока эта «защита» обходится довольно легко. Но это, по сути, jailbreak.
З.Ы. Firefox я упомянул не для того, чтобы его поругать или в чем-то обвинить. Желание контролировать дополнения, которые крутятся в твоем браузере это, пожалуй, нормально. Просто это яркий пример монополии на выдачу сертификатов. Таким образом шифрование из инструмента безопасности становится еще и инструментом контроля.
Наибольшую проблему со всяким шифрованием и цифровыми подписями я вижу в возможности монополизации центров выдачи сертификатов. Представьте себе ситуацию, когда у нас есть только один центр выдачи сертификатов, либо все такие центры подчиняются кому-то одному. Получается тот, кому принадлежит центр сертификации, может заткнуть рот любому. Не понравился сайт — отзываем сертификат и всё. Браузер просто не даст соединиться с этим сайтом. Можно конечно добавить свой корневой сертификат, но его же еще надо как-то распространить. В зависимости от степени закрытости системы, может и вовсе не быть возможности устанавливать свои сертификаты.
Взять хотя бы последние нововведения в Firefox 48. Он теперь не позволяет устанавливать не подписанные дополнения. Они говорят, что это ради безопасности. Но беда в том, что дополнения нельзя просто подписать какими-то ключами от какого-то стороннего CA. Ключи обязательно надо получать у Mozilla, и по сути Mozilla решает, позволить твоему дополнению существовать или нет. Они, конечно, и без этого могли кикнуть любое дополнение из своего маркета. Но тут другое. Теперь не одобренное дополнение в принципе не может быть запущено в браузере, не важно как ты его распространяешь. Конечно, пока эта «защита» обходится довольно легко. Но это, по сути, jailbreak.
З.Ы. Firefox я упомянул не для того, чтобы его поругать или в чем-то обвинить. Желание контролировать дополнения, которые крутятся в твоем браузере это, пожалуй, нормально. Просто это яркий пример монополии на выдачу сертификатов. Таким образом шифрование из инструмента безопасности становится еще и инструментом контроля.
Это плохой пример.
Следует различать «публичное» пространство (интернет, разные CA, разные сайты, браузеры и тд) и «непубличное» (внутренняя рабочая среда конкретного ПО).
Единственная допустимая проблема в таком ключе — все УЦ так или иначе могут быть подконтрольны «вражеским спецслужбам», если говорить именно о политическом заговоре. На деле это маловероятно, тк УЦ разные и никто не мешает сделать еще один, если пройти 7 кругов ада.
Следует различать «публичное» пространство (интернет, разные CA, разные сайты, браузеры и тд) и «непубличное» (внутренняя рабочая среда конкретного ПО).
Единственная допустимая проблема в таком ключе — все УЦ так или иначе могут быть подконтрольны «вражеским спецслужбам», если говорить именно о политическом заговоре. На деле это маловероятно, тк УЦ разные и никто не мешает сделать еще один, если пройти 7 кругов ада.
А здесь не надо быть УЦ. Ведь какой УЦ встраивать в браузеры, а какой нет — по сути решают Google и Mozilla. Да, есть и другие хранилища, но эти двое — фактически контролируют наибольшую часть.
Если есть какой-либо официальный УЦ, который признается — например, от балды выбор — ICANN, но при этом не встроен в популярный браузер — могут быть какие-то проблемы и драма.
Ведь чисто формально, УЦ может признаваться какой-то медийно-интернетной ассоциацией, и если он принципиально отвергается — это повод для драмы со стандартами и прочими криками про монопольное давление в своих продуктах.
При этом, сами УЦ не обязательно привязаны к какой-то стране (загуглил три рандомных крупных УЦ и получил великобританию-бельгию-сша), то есть применять само давление тоже не так легко. То есть какая-то организация уже считается доверенной — и не встроить ее ключи просто так (или запретить их использование) через ПО несколько проблематично.
Ведь чисто формально, УЦ может признаваться какой-то медийно-интернетной ассоциацией, и если он принципиально отвергается — это повод для драмы со стандартами и прочими криками про монопольное давление в своих продуктах.
При этом, сами УЦ не обязательно привязаны к какой-то стране (загуглил три рандомных крупных УЦ и получил великобританию-бельгию-сша), то есть применять само давление тоже не так легко. То есть какая-то организация уже считается доверенной — и не встроить ее ключи просто так (или запретить их использование) через ПО несколько проблематично.
Прочитав про «будет политота», ожидал увидеть хотя бы часть про CA, но ее нет.
Вся система CA основана на доверии определенным организациям. А еще — фактически лишь гиганты Google, Mozilla, и, возможно Microsoft/Apple решают, какие CA добавлять в свои продукты, а какие — нет.
Еще можно вспомнить китайские (и не только) CA, которые были уличены в выпуске подменных сертификатов. Одних выпилили в новых версиях, других просто пожурили.
В мире с повальным HTTPS получается, что создатели крупного ПО с наборами CA и сами CA решают какому сайту открываться, а какому не суждено.
Вся система CA основана на доверии определенным организациям. А еще — фактически лишь гиганты Google, Mozilla, и, возможно Microsoft/Apple решают, какие CA добавлять в свои продукты, а какие — нет.
Еще можно вспомнить китайские (и не только) CA, которые были уличены в выпуске подменных сертификатов. Одних выпилили в новых версиях, других просто пожурили.
В мире с повальным HTTPS получается, что создатели крупного ПО с наборами CA и сами CA решают какому сайту открываться, а какому не суждено.
Предлагаю автору начать со снимания замков с входной двери, а то опытные медвежатники и так залезут, а местный участковый попасть не сможет если что.
del
Sign up to leave a comment.
Повсеместное внедрение HTTPS вместо HTTP, возможно, опасно