All streams
Search
Write a publication
Pull to refresh
40
0
Nikita P. @nagibat0r

Системный инженер

Send message
Вы хотя бы знаете суть работы ssl bump? Знаете, подмена чего именно происходит?
Конечно, будем. Вот только Вы попробуйте, для начала, сделать, о чем Вы пишите. И отпишитесь, что же у Вас получилось)
И вы по-прежнему увиливаете от ответо

Вам еще раз скинуть строку из конфига Squid?)

как именно провайдер перехватит и как именно ломается безопасность

Заворачивается 443 порт на порт Squid. Всё. Весь трафик на этом порту летит через прозрачный прокси. Так и ломается.
И еще раз. Это не мешает провайдеру перехватить весь Ваш https. Никак. И к тому же, Ваш способ уже явно ломает всю так называемую безопасность TLS, только не на уровне провайдера, а лично в Вашем компьютере\планшете\etc
Да, HTTPS — это проблема… Ну конечно же bump помогает, но там еще динамический контент, который только storeid разрулит. Однако, занятие долгое — настройка.
Да господи, Вы читаете то, что я выше написал? Провайдер без проблем подпишет у рутов сертификат за деньги, и всё.
Про OBFS4

А зачем мне перепечатывать то, что уже итак в Гугле ищется? Начинайте с Tor.

если отказаться от центров сертификации

А можно подробнее, аж интересно стало :)

Как именно

Если коротко, то
ssl_bump bump all
Третья сторона не означает, что не безопасно.

Всё понятно.

Я с провайдером разберусь

Да ну? Каким образом? Предотвратите MITM, который даже не увидите?

Я уверен, что провайдер последний человек, который будет этим заниматься.

Уверяю, что скоро это будет первый человек. Про закон Яровой слышали? А Вы подумайте, зачем провайдерам хранить кучу нечитаемых данных? Конечно же, незачем.

А без ТЛС у меня таких точек будет больше одной.

Так используйте, кто не дает?

Что ТЛС небезопасен априори

Еще раз. Что может быть безопасного в технологии, которая ломается напрочь прозрачным прокси с подменой сертификатов? Это самый большой недостаток TLS.

Я написал вроде четко «ЕСЛИ». Я предположил.

Ок. HTTPS не только не решает проблемы, он еще их добавляет.

полноценный end-to-end

Вы меня рассмешили. Какой это еще end-to-end? Вы хотя бы прочитайте, что это такое, а потом делайте утверждение, что это полноценный end-to-end (который ваш провайдер одной левой поломает). Не вводите в заблуждение других. HTTPS (TLS) — это ни разу не end-to-end и никогда им не был и не будет.
И поверьте. Даже HTTPS Вас не спасет от того же Васи Пупкина. Что спасет? Обфускация. Это спасёт. Но поведение в паблик вайфаях требует бОльшего. Это уже другая история.
Про OBFS4 я ещё матчасть не изучил

советую как можно скорее заняться этим вопросом.
и я не хочу принимать эту глупость как довод

Что Вы назвали глупостью?

Если технология может защитить от 99% проблем

На чем основано данное утверждение?

Надо кроме знаний иметь и возможность

Не думайте, что у Вашего Интернет-провайдера недостаточно знаний, возможностей и денег, чтобы организовать такой MITM, о котором Вы и не узнаете. Речь именно о провайдерах, а не о Васях, Петях и прочих «хакерятах»

Может в TLS дыра лежит,

Конечно лежит. Это третья сторона. И это самая большая дыра в TLS.
Разумеется, 100% безопасности не существует, прежде всего из-за самого человека-пользователя. Но простите, в TLS ее нет практически полностью.
Это и есть один из вариантов end-to-end

в каком он, извините, месте end-to-end'ом стал, если принимает участие третья сторона?
Обфускация трафика ни от чего не поможет

Да ну? Расшифруйте OBFS4.
потому что у васи пупкина не хватит денег

Да что Вы своим Васей? Он уже икотой заболел (юмор). А если серьезно, что да, при чем здесь Василий? Беспокоиться надо совсем не о Васе из соседнего подъезда, а о том, что Ваши личные данные будут складироваться сами знаете, где. А уж на это, я Вас уверяю, у нужных компаний достаточно денег.
Да, HTTPS вполне достаточно :)

Я понял Вас. Предлагаю закончить диалог, раз Вам HTTPS кажется end-to-end и безопасным.
И еще раз. Как я уже написал, вся безопасность TLS (HTTPS) рушится парочкой строчек в конфиге Squid и красивым сертификатом. А раз так, то это не безопасность, а лишь её иллюзия.

что-то более крутое

А я и не говорил, эти алгоритмы чем-то плохи. Я сказал про HTTPS. Что то лучше HTTPS? Да пожалуйста. Обфускация трафика. Использование end-to-end. Больше ничего и не нужно.
Все они работают на тех же самых алгоритмах, на которых работает HTTPS

Да ну? Вот это новости!!! То есть, в Вашем понимании, все инструменты базируются на TLS? Извините, но Вы в корне неправы.

всё-таки добавляет безопасности

Я к чему разговор — то веду… HTTPS всего лишь создает иллюзию безопасности. Не более. И это вводит в заблуждение других, в результате чего страдает безопасность. А кто-нибудь говорит людям, что такое HTTPS? Что такое TLS? Нет, не говорит.
Я уже выше сказал, в том числе, про админов провайдера. Сложностей в том, что я написал, никаких практически нет. Нужны только деньги. HTTPS небезопасен априори, какая безопасность, Вы о чем? Если нужна безопасность, для этого есть действительно хорошие инструменты, но никак не HTTPS.
HTTPS вообще не имеет смысла. TLS небезопасен же, так как есть третья сторона. Тем более, HTTPS в принципе не гарантирует никакой безопасности. Провайдер, или кто-то еще, с легкостью может сбампить трафик тем же Squid (возможно, уже сделал), подписав при этом subordinate CA у рутов, и никакой ругани о сертификатах не будет, и при этом будет работать MiTM.
Спасибо Вам, помогли с решением похожей задачи!
Учитывая их опыт со Скайпом, мне как-то грустно…
Недавно говорили, что у нас импортозамещение, все такое… Но «Национальные технологии» и это железо как-то совсем не вяжется. Да и куда такие мощности, аж жалко. Практически все зашифровано, зачем это всё хранить?
Расскажу парочку своих историй. Пару лет назад нашел вакансию на программиста (удаленно) в компании Smart-Soft (те самые, которые Traffic Inspector разрабатывают). Сразу же дали тестовое задание. Если верно помню, нужно было написать монитор для просмотра загрузки прокси-сервера на определенном порту. Написал на Delphi, как и просили. Задание выполнил примерно часов за 9. Отправил. В ответ тишина по сей день. Писал даже с разных почт, с других имен.
Один раз хотел пойти в компанию-разработчика веб-сайтов. Тестовое задание, якобы оплачиваемое — написать сайт. Написал, в итоге — кинули.
Для себя сделал вывод, что нужно просто делать хорошее портфолио, и присылать не код, а видео-демонстрацию

Information

Rating
Does not participate
Location
Россия
Registered
Activity