Pull to refresh

Comments 85

Как вариант для первого этапа, могли бы оставить зелёненький значок для EV-сертификатов, а обычные HTTPS без валидации оставить без значка.

>EV-сертификат
Разве это что-то даёт с практической точки зрения? Задача сертификата подтвердить что данные пришли именно с этого домена, а уж кто этим доменом владеет — дело десятое. А EV занимается как раз всякой бюрократической вознёй — паспорта/печати/лицензии и всякое такое, что не имеет никакого отношения к безопасности.
Или я нихрена не понял и EV-сертификат это что-то другое?
Это именно то, что вы описали, но зерно правильности есть — DV сертификат может получить кто угодно (в том числе какой-нибудь paypol.com), а вот с EV всё сложнее и для них стоило оставить индикацию дополнительной защищённости.

Так пользователь получает отметку "Одна уважаемая организация проверила, что сайт принадлежит такой-то компании, поэтому если вас тут обманывают — то это известно кто". Скажем, читать блог EV не нужен, а вот у онлайн-банка хочется. А то мало ли кто letsencrypt-нулся на похожий домен.

Я слышал, что получали некоторые EV-сертификаты на фирмы-однодневки вполне себе успешно. Со стороны пользователя ощущение что «всё проверено» а по факту обмануть-то всё равно можно. Да, сложнее, но тем не менее.

Ибо единственное что доказывает EV — это что домен принадлежит компании такой то, и не более — ни «похожесть» названия домена/компании на общепринятый, ни наличие или отсутствие фишинга на самом сайте никто не проверяет при выпуске EV. С таким подходом можно вполне успешно проверить кому принадлежит домен через какой-нибудь whois.

И среди некоторых есть мнение, что от EV по сути толку мало, сертификаты (даже EV) НЕ являются средством верификации легитимности сайта, а только лишь способом обеспечения безопасности применяемого шифрования от браузера до конкретного домена, и не более.
То, что вы описали, больше на OV похоже, чем на EV. С другой стороны, вся эта система с DV/OV/EV держится на ЦСах, и если они косячат с жёсткостью проверок, то уровни всё равно не работают :\
Я слышал, что получали некоторые EV-сертификаты на фирмы-однодневки вполне себе успешно.

А я не вижу причин почему одно юрл лицо может получить EV а другое не может. Однодневка или нет в уставе организации не написано. А так всё есть. И документы и гос регистрация. В итоге после проверки этих данных станет ясно что домен paypol.com принадлежит ООО «Ромашка» а не ООО НКО «ПэйПал РУ» в этом и суть EV сертификата. А не в том чтобы убедится что ООО «Ромашка» открыта позавчера и доверия не вызывает.
А ещё оно может принадлежать ООО «ПейПол Денежные Системы», что точно так же сможет привести к фишингу. Эта информация по сути не играет роли большой, что она показывается, что нет.
Да, сложнее, но тем не менее.
Для меня вот это и есть ключевое отличие.
Я думал, это и имеется ввиду? И это очень хорошо. Я не знаю ни одного пользователя, который бы вообще обращал внимания на эти надписи, и уж тем более, понимал зачем они нужны. EV — это хоть какая-то защита от фишинга, которой можно обучать людей. Но для этого нужно убрать бессмысленную надпись «Защищено» для обычных сертификатов.
Но при использовании стандартного сертификата TLS от доверенного Центра Сертификации, например GlobalSign, «предоставить ключи» фактически невозможно

Значит и вас забанят. Ну, по крайней мере, попробуют. [sarcasm]
Весело будет сайтам на HTTPS на страницы которых пользователи вставляют картинки с http сайтов: всякие форумы и прочее. Ведь такие страницы хром, скорее всего, тоже будет помечать небезопасными, хотя владелец сайта здесь сделать ничего не может особо.
ну выгрузить картинку на свой сервер и отдавать независимо. Это не костыль, а хорошее решение. Минус конечно есть. Это ресурсы, а также важно чтобы не заблокировали.
Ага, особенно когда у пользователей есть возможность вставлять картинки со внешним ссылкам :)
Кстати да
Заголовок спойлера
image
Будет лишний повод пользоваться hsto.org, а не всякими левыми хостингами, которые то отваливаются под нагрузкой, то вообще удаляют картинку по причине истечения срока годноты.
Вообще, ИМХО, неплохо бы запретить вставку картинок с внешних доменов и заставить всё на habrastorage заливать.

UPD.: Или Хабр теперь автоматически картинку выкачивает и заливает на habrastorage? Если да, то как-то это нововведение мимо меня прошло)
Спасибо, что подсказали. Круто, очень классная фича.
и кстати страницы со смешанным трафиком сейчас не помечаются безопасными. А значит вскоре будут небезопасными.
Грубое решение: запретить http ссылки и пройтись по базе разок
Раз пошла такая тема.
Обьясните мне разницу между сертификатом LetsEncrypt и платным(а порой ОЧЕНЬ) платным.

Чем они отличаются для конечного пользователя сайта и чем для администратора этого сайта?
UFO just landed and posted this here
По умолчанию сертификаты LetsEncrypt имеют рейтинг B на https://www.ssllabs.com/ssltest/, это из соображений совместимости со старыми браузерами. И только специальными настройками можно выключить устаревшие шифры для получения A.
Но такой вариант (со специальными настройками) тоже бесплатен?
Шифры выключаются не в сертификате а на сервере. Так же как и рейтинг этот касается сервера.

Это в основном касается уровней сертификатов, в порядке возрастания цен и надёжности: DV, OV и EV.


Отличаются они тем, сколько усилий центр сертификации вкладывает в проверку владельца домена:


  • для DV проверяет только контроль над доменом
  • для OV проверяет существование заявленной организации и связь владельца домена с ней по документам и "надёжным третьим сторонам"
  • для EV тоже проверяет фирму, но с максимальной строгостью, вплоть до навязывания своих требований по части безопасности

DV гарантируют только получение контента, условно, "от владельца домена, без порчи посредниками". OV и EV помимо гарантий DV уже свидетельствуют о связи с фирмой, возможно серьёзной — важно в местах, связанных с деньгами, например.


Let's Encrypt выдаёт только DV.
Для пользователей сертификаты DV от LE или любого другого провайдера с известным доверенным центром сертификации ведут себя совершенно одинаково.
Для администраторов — сертификаты от LE довольно краткосрочные и их обновление стоит автоматизировать, кроме этого никаких существенных ограничений.

получается что с учетом того что 95% пользователей не знает различий между этими сертификатами смысла платить сумасшедшие деньги за сертификат нету?
По моему впечатлению, да.

Возможно, с распространением повсеместной DV от Let's Encrypt сертификаты уровня OV выделят каким-то особым способом. Сейчас, чтобы отличить OV от DV, нужно залезть внутрь сертификата и посмотреть на поле «субъект» (subject).
А ярко выделяются только EV: в Chrome вместо слова «Защищено» отображается название фирмы, на которую выписан сертификат.
Всё же получается не совсем одинаково для пользователя.
Ну да. Про «совершенно одинаково» я говорил только про DV от любых ЦС, если что. OV и EV Let's Encrypt просто не выдаёт, поэтому и сравнивать нечего.
UFO just landed and posted this here
Кому труднее?
Вам никто не мешает запускать сайты без HTTPS, просто людей оповестят, что пользоваться им небезопасно.
А лет через 10 просто ни один из браузеров не будет открывать http, вот о чем речь.
1) останутся нынешние
2) В FOSS браузерах мы всегда можете убрать лишние проверки в своём форке
3) даже для закрытых на практике есть разные «патчеры», что-то отключающие или включающие
Ну как сказать, много ли современных сайтов откроет IE6? Через декаду то же самое будет с нынешними браузерами. А что касается своих форков и патчей, ну вот сделаете вы его, а как будете распространять? Я не думаю, что основная масса пользователей поставит ваш форк, чтобы вот только посмотреть ваш сайт, если вообще узнает о вашем сайте и о вашем форке. Уже сейчас, если чего-то нет в гугле, то этого нет вообще, а если докатимся до запрета http, то его точно в гугле не будет. Так что разумное зерно у топикстартера вполне себе присутствует.
Допустим у меня сайт с пререндерингом, посвященный допустим рецептам. Мне не нужен хостинг с всякими пхп или админ панелями. Только голый html.
Интерактив на сайте я сделал с помощью каких нибудь гугл комментов и гугл форм.
Вот скажите зачем мне покупать сертификат или покупать хостинг?

Зы кстати по этой причине закрылись многие полезные сайты, просто не стали заморачиваться. Вот этот например web.archive.org/web/20170915211400/http://www.5bears.com:80/
Одно плохо: локально запустить сайт все сложнее. Давайте уже тогда выбарем зону для локальный веб-серверов, и для нее будем выдавать серты без проверок, что ли?
Можно создать собственный ЦС и добавить как доверенный на свои устройства. Без каких-либо проверок третьими сторонами. Это уже сейчас несложно, и если спрос на этот приём будет расти, то будет становиться только проще.

Разве что Яндекс.Браузер может возмутиться, что сертификат указывает на неведомый ему ЦС; но он, я надеюсь, хотя бы спрашивает, что с этим делать. Лично не пользовался.
локально запустить сайт все сложнее

С появлением wildcard от LE при наличии обычного домена в принципе это не проблема.

Можно. Но не всегда так можно. Сертификаты от ЛЕ недолго живут, и придется делать инфраструктуру по обновлению их на серверах.


Другое дело, что индустрия уже пошла куда-то, и с этим только смириться осталось.

UFO just landed and posted this here

Какая-то бредятина.
Достаточно оставить как в firefox.

Поставил, посмотрел. Все, как и у Chrome, в принципе


Скриншоты интерфейса

Для http есть сообщение красным текстом в попапе. Хоть и не в адресной строке, но тем не менее, есть



Для обычного https-сертификата показывается просто иконка замка



Для EV-сертификата (как у PayPal, например), показывается имя компании



Какой-то информации про будущие планы разработчиков Mozilla не нашлось. Есть только пост годичной давности.


Может быть, вам что-то большее известно, раз вы пользуетесь этим браузером больше меня?

Может быть, вам что-то большее известно, раз вы пользуетесь этим браузером больше меня?

Естественно.
image


Думаю логика понятна. Сайт, сайт с формой, сайт с формой + https.

Ожидаемый шаг. Я думал, уже давно (Хромом редко пользуюсь и в моём Фаерфоксе такого пока нет — но Фаерфокс может отставать, поэтому я думал, что в Хроме уже́; да и в Фаерфоксе, когда я на сайте без красных/зелёных отметок и мне нужно узнать scheme, я, бывало, туплю: «это он без отметки, потому что http? или https уже стал вариантом по-умолчанию и „без отметки“ значит „без проблем“, т.е. https?»).
Можно только с изумлением покачать головой, глядя на то, с каким напором пользователям внушается мысль, что сайт безопасен, если его домен подтверждён.
И не только что сайт безопасен а ещё и что за ним не следят…
В опросе на Хабре 55% пользователей согласились, что все сайты должны шифровать трафик по HTTPS.
Слегка больше половины.
Если честно — слабый аргумент.
Наоборот, повод задуматься, почему даже на техническом ресурсе есть сомнения в целесообразности шифровать всё.

я, например, смотрю на это не только прямолинейно: нужен ли шифр или нет. Никто не будет спорить, что ssl как парадигма должна быть повседневной и распространённой. А значит — это стандарт. А стандарт на то и стандарт, чтобы быть в основе всего, в основе любого sample config, любого мануала и прописан в подсознании. Чтобы не думать каждый раз: вот тут у меня только статика, а вот тут всё же есть формочка с паролем, а вот тут статика… но запущу-ка я временно инет магазинчик для друга потестить…
Поэтому ввиду фактического отсутствия негативных эффектов или явного специфического требования отсутствия ssl я за то, чтобы оно было по-умолчанию везде.

Наоборот, повод задуматься, почему даже на техническом ресурсе есть сомнения в целесообразности шифровать всё.

Именно потому что ресурс технический тут многие понимаю что HTTPS это не только шифрование, но ещё и центры сертификации которые подтверждают что зашифровано не абы кем а именно владельцем сертификата. И вот это ИМХО проблема. Потому что эти центры зависимы(да и не так их много), и нет никакой гарантии что сертификат отзовут не потому что он был скомпроментирован, а допустим по решению суда (https://geektimes.com/post/300597/).
Сейчас у вас конечно есть вариант остаться на HTTP но потихоньку эту возможность отбирают и могут отобрать целиком.
И получится что как не печально контроль над вебом окажется у нескольких фирм, мне допустим такая перспектива не нравится.
Поэтому я за шифрования, но против глобального перехода на HTTPS в том виде в котором он сейчас.
веб безопасен по умолчанию

По мне так лучше бы внушали, что веб небезопасен по-умолчанию.
Веб разный. Каналы теперь по умолчанию безопасны, а вот сайты — нет. Вот только ИМХО уже хватит защиты от детей, и так нормальные взрослые упираются в слишком много лишних ненужных проблем.
По-моему, несмотря на процитированное заявление, как раз это они и делают. Теперь никто не будет введён в заблуждение пометкой «безопасно» слева от адреса.
Сначала понатыкают в сайты разной явы и прочих инструментов для злоумышленников, а потом борются с ними с помощью костылей.
Вот возьму и сделаю свой децентрализованный интернет(с) с… без вирусов, фишинга и прочего хлама. :)
Кто бы ещё объяснил, как с этим повсеместным HTTPS/HSTS запиливать captive portal — он не умеет (сколько знаю) заставлять браузер переходить по https-ссылке сразу на целевой сайт, вместо этого заставляет выполнить http-запрос, который из-за HSTS браузер передает как https, ловит ошибку сертификата и ломает UX.
Однако такая система работает только если оригинальные сертификаты сайтов подменить национальными сертификатами, как в Казахстане.

Это были планы. По факту, ничего не подменяется.
Дальше по закону жанра, старая шутка про ложечки…

Гугл скромно "спутал" понятия "безопасный сайт" и "безопасное соединение с сайтом".


Юзеры даже не думают при этом, что канал связи может быть защищённым, но сайт взломан или криво написан, и все их данные уйдут "налево".

Получается как раз наоборот. Если на сайте есть HTTPS, то просто не выводится значек Not secure.
Если раньше Chrome говорил, что сайт с HTTPS безопасный и ему можно полностью доверять, то теперь этого не будет.

Так наличие сертификата не означает, что «сайту можно полностью доверять». Можно довериться каналу передачи, и подменять доверие к каналу доверием к сайту… неправильно.

Сейчас Chrome пишет слева от названия сайта «Защищено» (не уточняя, что защищено, и кем; хорошо, если пользователь догадается, что защищено соединение; раньше писали, кстати, как-то по-другому, «безопасный» ли, или еще что-то подобное, что вводило в заблуждение сильнее). Если на https будут писать «не защищено» — это будет правдой, только её не смогут понять никто, кроме ИТ-ников (потому что никто не растолковывал пользователям, что такое «соединение», как может быть, что у сайта «зеленая» пометка, а он взял, и украл деньги с кредитки (скажем потому, что на сайте код взломали и в процедуру снятия денег «что-то» такое внесли).

Еще бы в браузер добавили кнопку «очистить HSTS статус для указанного домена» или «для всех доменов», а то отлаживать эти заголовки страшновато (не то запомнит, и юзеры потом плакать будут).

Я с вами полностью согласен, что "безопасный сайт" и "безопасное соединение с сайтом" это разные понятия. Я вам о другом говорю.


Посмотрите скрин в начале статьи с пометкой "В будущем". Скоро не будут писать ни каких "Защищено". Будут писать только "Не безопасно", что уже намного ближе к правде.
Если соединение с сайтом не защищено, то и сайт не защищен и пользователь не защищен. А если соединение с сайтом защищено, то нет гарантий, что сайт и пользователь защищены и значков говорящих об этом или обратном больше не будет.


Акцент меняется. Раньше было HTTPS это хорошо, а HTTP ну такое, а теперь будет HTTPS ну такое, а HTTP вообще ад. Если раньше Chrome говорил, что сайту с HTTPS можно доверять, то скоро этого не будет. И только избранные, с сертификатом EV, смогут говорить, что им можно доверять.


То есть, по факту, скоро обозначение безопасности сайта в Chrome будет на много ближе фактической безопасности сайта.

Я понимаю вашу логику, и что-то в этом есть, но — «скоро обозначение безопасности сайта в Chrome будет на много ближе фактической безопасности сайта» — вот тут неверно. Не безопасности сайта — а именно безопасности соединения с сайтом. Чем пользоваталей, как ни крути, несколько опять введем в заблуждение.

Я говорю как раз о фактической безопасности сайта. Для пользователей будет все очевидно:


  • Красный — не безопасно. Не безопасно соединение и как следствие сам сайт.
  • Нет цвета — возможно безопасно, а может и нет. Соединение безопасно, а вот что с сайтом не известно.
  • Зелёный — безопасно. Зелёное только для EV сертификатов которые выдаются только юрлиццам и с кучей бумажной волокиты. Сайты под EV достаточно серьезно заботятся о своей безопасности и безопасности своих пользователей. Взломать конечно могут и сайт под EV сертификатом, но вероятность этого ниже. И если не доверять сайтам под EV, то вообще никому доверять нельзя.

Вот мы и получаем, что обозначение будет значительно лучше соответствовать фактической безопасности сайта. И для юзеров это будет нагляднее.


Хотя, пожалуй сайты под EV лучше все же сделать желтыми ибо безопасность не 100%

Хотя, пожалуй сайты под EV лучше все же сделать желтыми ибо безопасность не 100%
Вот с этого и начинать.
Может сначала должно появиться, что-то реально безопасное, а потом уже заставлять пользователя запоминать цветовую дифференциацию штановсайтов?
Логичнее всего и удобнее было бы как-то так:
image
Нет, этот вариант плохой. Домохозяйкам слова «http» и «https» ничего не говорят и игнорируются (вместе с цветом). Тем кто более близок к теме — думаю удобнее было бы нормально писать полный урл в строке адреса, не отделяя (как у вас) и тем более не пряча (как сейчас делают) первую его часть от остальной (но устраивая всякие неочевидные фокусы при копипастинге в/из строки адреса).
Ой, да домохозяйкам и на значек то «безопасный/небезопасный» плевать. Они зачастую и не догадываются о существовании строки для ввода адреса то. А на любимый сайт «одноквасники» попадают через гугление а потом тыке на первой ссылке. И хорошо если только бы они в соцсети так же лазили. А по факту во всякие «зеленый банк онлайн» они также попадают.
Но при использовании стандартного сертификата TLS от доверенного Центра Сертификации, например GlobalSign, «предоставить ключи» фактически невозможно, потому что для шифрования соединения каждый раз генерируется новый сеансовый ключ на базе сертификата сервера, открытого ключа клиента и сгенерированных случайных чисел.
Учитывая тотальную математическую (криптографическую) безграмотность HTTPS следует считать менее защищённым протоколом, нежели HTTP.

Например, наверное, в самой распространённой шифр-сюите на основе RSA, сеансовый ключ шифруется на открытом ключе сервера и расшифровывается на его закрытом ключе. Таким образом, если АНБ и/или ФСБ получили закрытый ключ сервера или его часть, АНБ путём контроля центров сертифкации, ФСБ по закону Яровой, то они легко смогут дешифровать трафик.

И т.д. и т.п.

Не всё так плохо.


сеансовый ключ шифруется на открытом ключе сервера и расшифровывается на его закрытом ключе.

Такие шифры уже давно отмечены как "no forward secrecy" во всяких ssl тестах и не рекомендуются к использованию. И есть другие, которые этим недостатком не обладают и рекомендуются.


получили закрытый ключ сервера или его часть, АНБ путём контроля центров сертифкации

У центров сертификации в общем случае нет закрытых ключей своих клиентов.

;)

С точки зрения выполнения закона Яровой. Клиент присылает список поддерживаемых шифр-сюит, сервер выбирает из них ту, которая ему нравится, либо, если ни одна не нравится — разрывает связь. Если сервер начал предоставлять закрытые ключи, то и шифр-сюиты он будет выбирать из правильного списка.

С точки зрения Вассенаарских соглашений по экспортному контролю товаров и технологий двойного назначения, экспорт всех товаров с ключами размером >64 бит должен контролироваться. Однако, Apple, Microsoft, Google, RedHat, SUSE и т.д. получили разрешения на экспорт из США (ЕС) без ограничений и контроля, что, как бы, намекает.
Однако такая система работает только если оригинальные сертификаты сайтов подменить национальными сертификатами, как в Казахстане.

Мне нравятся, как работают современные СМИ.

В одной статье говорится про намерение что-либо сделать.
В другой (в нашем случае в данной), ссылаются на первую, при этом про «что-либо» утверждается, как уже произошедшее.
И уже неважно, как на самом деле. а-ля новости про Северную Корею.
Я одного не понимаю — нафига https для какого-нибудь блога? Там же ничего кроме плейн-текста и котиков. Но кажется, в современном мире даже котиков придётся смотреть с шифрованием :(
HTTPS предохраняет контент от внедрения дополнительных ресурсов (рекламы) всякими промежуточными проксями.

В случае блога это поможет убедиться, что вы смотрите котиков именно как хотел автор, а не с модификациями от посторонних лиц.
UFO just landed and posted this here
А не надо заходить через мутные прокси.

С другой стороны, из Китая, например, банально не всюду без прокси зайдёшь. Тут и средствам от грибка рад будешь.
UFO just landed and posted this here
Мы получили ev сертификат, но нам никак дозвониться не могли с центра верификации. Пол года получали, еще duns номер нужен. Но кажется наш сайт тормозить стал
Номер DUNS требуют не все удостоверяющие центры. Например, у УЦ GlobalSign есть официальное представительство в РФ, которое позволяет быстро взаимодействовать с клиентами. Отдел безопасности может провести верификацию без DUNS номера, используя другие методы подтверждения.
Sign up to leave a comment.