Ну, не знаю. Во-первых органам, если всплывет, нет необходимости на кого-то спихивать. Они это делают абсолютно законно. С другой стороны они оставили огромный след в crt.sh который привел к тому, что тема оказалась широко освещена. А могли не оставлять следов. Так что, в случае проведения тайного расследования, - это epic fail.
Вы просто хватаетесь за остатки ложного чувства безопасности, которое дарит вам ваше доверие к хостерам и шифрованию.
И, боитесь признать, что при физическом доступе к железу интересант может сделать что угодно на этом железе при условии, что пользователь не знает о наличии/использовании доступа этим интересантом.
Это элементарно делается через аппаратные закладки которые при наличии доступа к железу можно сделать. Защиты от этого нет.
Потому могли получить доступ к серверу и ключам через хостера. Который в Германии и имеет физический доступ к железу. И, не оставляя следов в crt.sh сделать то же самое.
Да. Если доступ к нему у органов был, могли просто попросить. Я уверен, что в случае органов, скорее всего, терморектального криптоанализа не потребовалось. Потому и сомневаюсь, что это были органы.
У нас тут недавно закрывали баги вроде SPECTER MELTDOWN DOWNFALL которые чуть ли не из браузера позволяли память оперативную хоста читать, а вы мне тут сказки рассказываете. Не позорьтесь сами уж.
Это совершенно неверно. На самом деле можно. Не совсем понимаю, зачем вы вводите людей в заблуждение. Это сложно, но, более чем возможно при наличии доступа к железу\хосту.
Ключи шифрования хранятся у хостера. Так что попросили бы в расшифрованном виде. И, даже если пользователь доп шифрование прикрутил, ключи все равно лежат в оперативной памяти которую хостер может сдампить.
Она возможна. Трафик можно перехватить и за пределами сети хостера. Это просто сложнее. Но, ненамного.
Это могло быть сделано с ведома хостера, с ведома или по инициативе недобросовестного сотрудника хостера, они могли действовать не по инициативе органов, а совсем в других интересах, и т.п.
И, не объясняет почему, если это были органы, они действовали именно так.
У меня HTTP заблокирован в принципе. Я имел ввиду другое совсем.
Видя предупреждение о сертификате выданном LE, в каждом частном случае, я могу сам проверить, стоит ли доверять этому сертификату на этом сайте. И, правильно оценить риски, прежде чем делать на этот конкретный сертификат исключение.
Раскрывая ваш пример. На nalog.ru я скорее всего сделаю исключение. А вот, если увижу его на https://lkfl2.nalog.ru/, то уже исключения не будет, ибо, это, совсем другой уровень риска.
Если же я не заблокирую сертификат LE, то этого предупреждения не будет. И, я могу просто не заметить.
У меня есть обоснованные сомнения, что действовали именно правоохранительные органы в данном случае.
У органов были гораздо более простые пути достижения аналогичного результата. Но, почему-то был выбран способ, который на прямое участие органов не указывает.
Это подозрительно. И намекает на то, что этим способом не только органы могут воспользоваться. Что и есть проблема.
Согласен. Суть проблемы в ложном ощущении безопасности.
Но и делать интернет безопасным тоже нужно. Так что, мне кажется, что, надо менять практики выдачи сертификатов тоже.
Потеряю. Доступ по HTTPS. Не будет в браузере замочка больше. И, я буду знать, что сайт небезопасен. При доступе к сайту по HTTPS будет предупреждение, что соединение небезопасно. В этом смысл. Чтобы браузер предупреждал о небезопасном соединении. Что с этим делать я при необходимости решу в каждом частном случае.
Из этих сайтов, кстати, вызывает вопросы nalog.ru. А не является ли "использование" ими сертификата LE результатом MitM атаки аналогичной jabber.ru?
В данном случае, "пользователь", скорее всего, letsencrypt-ом не пользовался вообще. Им пользовался только злоумышленник, и, очевидно, выбрал наиболее удобный ему, и, при этом, наименее "безопасный" способ верификации. Который злоумышленнику удалось "взломать" через mitm и получить подписанный "поддельный" сертификат для чужого домена.
Ну, не знаю. Во-первых органам, если всплывет, нет необходимости на кого-то спихивать. Они это делают абсолютно законно. С другой стороны они оставили огромный след в crt.sh который привел к тому, что тема оказалась широко освещена. А могли не оставлять следов. Так что, в случае проведения тайного расследования, - это epic fail.
Вы просто хватаетесь за остатки ложного чувства безопасности, которое дарит вам ваше доверие к хостерам и шифрованию.
И, боитесь признать, что при физическом доступе к железу интересант может сделать что угодно на этом железе при условии, что пользователь не знает о наличии/использовании доступа этим интересантом.
Это элементарно делается через аппаратные закладки которые при наличии доступа к железу можно сделать. Защиты от этого нет.
Потому могли получить доступ к серверу и ключам через хостера. Который в Германии и имеет физический доступ к железу. И, не оставляя следов в crt.sh сделать то же самое.
И вам добра) Но, вы меня не убедили совсем.
Да. Если доступ к нему у органов был, могли просто попросить. Я уверен, что в случае органов, скорее всего, терморектального криптоанализа не потребовалось. Потому и сомневаюсь, что это были органы.
У нас тут недавно закрывали баги вроде SPECTER MELTDOWN DOWNFALL которые чуть ли не из браузера позволяли память оперативную хоста читать, а вы мне тут сказки рассказываете. Не позорьтесь сами уж.
Я уверен, что, в случае хостера, возможно вмешаться, т.к. у него есть физический доступ к железу.
Без физической безопасности/защиты любые ухищрения и способы шифрования не работают. Это аксиома.
А, в случае органов, - ее нет.
Это совершенно неверно. На самом деле можно. Не совсем понимаю, зачем вы вводите людей в заблуждение. Это сложно, но, более чем возможно при наличии доступа к железу\хосту.
KVM к которому есть полный доступ у хостера.
Ключи шифрования хранятся у хостера. Так что попросили бы в расшифрованном виде. И, даже если пользователь доп шифрование прикрутил, ключи все равно лежат в оперативной памяти которую хостер может сдампить.
Могли у хостера образ виртуалки попросить где закрытый ключ лежит) В этом случае бы следов в crt.sh не осталось. Странно, не находите?
Я не пользуюсь хромом. А мозилла позволяет делать исключения.
Она возможна. Трафик можно перехватить и за пределами сети хостера. Это просто сложнее. Но, ненамного.
Это могло быть сделано с ведома хостера, с ведома или по инициативе недобросовестного сотрудника хостера, они могли действовать не по инициативе органов, а совсем в других интересах, и т.п.
И, не объясняет почему, если это были органы, они действовали именно так.
У меня HTTP заблокирован в принципе. Я имел ввиду другое совсем.
Видя предупреждение о сертификате выданном LE, в каждом частном случае, я могу сам проверить, стоит ли доверять этому сертификату на этом сайте. И, правильно оценить риски, прежде чем делать на этот конкретный сертификат исключение.
Раскрывая ваш пример. На nalog.ru я скорее всего сделаю исключение. А вот, если увижу его на https://lkfl2.nalog.ru/, то уже исключения не будет, ибо, это, совсем другой уровень риска.
Если же я не заблокирую сертификат LE, то этого предупреждения не будет. И, я могу просто не заметить.
У меня есть обоснованные сомнения, что действовали именно правоохранительные органы в данном случае.
У органов были гораздо более простые пути достижения аналогичного результата. Но, почему-то был выбран способ, который на прямое участие органов не указывает.
Это подозрительно. И намекает на то, что этим способом не только органы могут воспользоваться. Что и есть проблема.
Согласен. Суть проблемы в ложном ощущении безопасности.
Но и делать интернет безопасным тоже нужно. Так что, мне кажется, что, надо менять практики выдачи сертификатов тоже.
Разница есть. Для пользователя. Раньше пользователь видя замочек в браузере мог быть уверен что соединение защищено.
А теперь это совсем не так.
Мне бы хотелось увидеть реакцию разработчиков браузеров, в виде отсутствия замочка в случае выключенного DNSSEC+CAA на таких сайтах.
От действий государства защиты не предполагается. Они могут и на корневых серверах ключи поменять, если захотят.
Но, если бы они им и не пользовались, то, вероятно, атака все равно была бы возможна. просто, было бы заметнее.
Потеряю. Доступ по HTTPS. Не будет в браузере замочка больше. И, я буду знать, что сайт небезопасен. При доступе к сайту по HTTPS будет предупреждение, что соединение небезопасно. В этом смысл. Чтобы браузер предупреждал о небезопасном соединении. Что с этим делать я при необходимости решу в каждом частном случае.
Из этих сайтов, кстати, вызывает вопросы nalog.ru. А не является ли "использование" ими сертификата LE результатом MitM атаки аналогичной jabber.ru?
В данном случае, "пользователь", скорее всего, letsencrypt-ом не пользовался вообще. Им пользовался только злоумышленник, и, очевидно, выбрал наиболее удобный ему, и, при этом, наименее "безопасный" способ верификации. Который злоумышленнику удалось "взломать" через mitm и получить подписанный "поддельный" сертификат для чужого домена.