Я их не рекламирую, а попытался рассмотреть в рамках большей картины.
Для банка иметь самоподписной сертификат — недопустимо. А для сервиса, у которого 1000 пользователей — это более правильно (зачем тратить ресурсы попусту?)
куда денется шифрование, если оно будет как между вами и человеком-посредине, так и между ним и серврером? Четвертая сторона все равно ничего подслушать не сможет…
кого вводят в заблуждение: тут полно ссылок и комментариев. Каждый может сам разобраться, если захочет. По-моему, это лучше, чем купить «правильный» сертификат и думать, что тебе ничего не угрожает… :)
Согласен. Но это как раз такая атака, от которой многие люди думают, что их защищает «правильный» сертификат. Проблема моя и пользователей системы же не в определениях, а в том, как минимищировать все риски, а не убрать 1 и думать, что все в порядке, не так ли?
Я объясняю здесь для людей, интересующихся информационной безопасностью. А для клиентов, аквайрингов и т.п. — у нас есть подписанный сертификат, поскольку уже время пришло его завести :)
(я в статье говорил о том, что это далеко не то, о чем нужно переживать в первую очередь, хотя и является красной тряпкой. Если бы я 3 месяца назад узнал про GoDaddy сертификаты и, что они гарантированно будут работать c j2me, то, вообще, об этом не думал бы :)
Суть MiM в том, что одна сторона посылает данные, которые перехватываются другой третьей стороной, и затем пересылаются легитимному получателю (часто и в обратном).
Фишинг — по сути то же самое: например, пароль перехватывается на фишинг сайте, а затем его вводят на легитимном сайте. Здесь лишь отсутствует обратный ход. Но для данной ситуации это не столь существенно, поскольку основная угроза реализовалась
сам по себе SSL — это только часть системы безопасности. Если у вас, например, украли секретный ключ и провели фарминг атаку, SSL останется непробиваемым, но что это нам дало?
я не о том: можно зарегистрировать домен и получить сертификат для него у доверенного провайдера, чей СА есть у вас в браузере в списке сертификатов. Если это окажется какой-то yanclex.ru, то вот вам и фишинг, против которого сертификатная защита браузера на поможет (предупреждений не будет)
SSL нужен в первую очередь для шифрования. Для такого вывода не нужно даже опираться на какие-то авторитетные источники, достаточно применить принцип бритвы Оккама: сравните уровень угрозы, что кто-то просто перехватит критические данные, которые вы передаете в открытом виде по публичным сетям, с уровнем угрозы, что вместо сайта, к которому вы обращаетесь, будет подставной сайт.
Удостоверить с его помощью что-то можно, но только с определенной долей гарантии (не абсолютной)
спасибо. В целом, я же написал там, что с общественным мнением мы не боремся :)
Цель статьи была скорее обратить внимание на то, что подписанный сертификат не равняется высокая безопасность (а не столько на то, что неподписанный сертификат не равняется низкая безопасность).
> Сделать сайт на том же домене возможности нет.
Есть: фарминг, атака на dns
> Звонить вам по телефону и сравнивать отпечаток?
Тут все упирается в вероятности. Если это просто «еще один стартап», то можно поверить ему при первом заходе. Все равно никто его сертификат подменять не будет. А вот, если citibank, то, наверное, придется позвонить, если вдруг браузер будет ругаться (поищете в Интернете, и найдете массу случаев, когда пользователи именно так и делали, потому что в бюрократической тяганине какой-то банк, например, не успевал обновить свой сертификат...)
Для банка иметь самоподписной сертификат — недопустимо. А для сервиса, у которого 1000 пользователей — это более правильно (зачем тратить ресурсы попусту?)
Тогда вот вам другая ссылка: habrahabr.ru/blogs/infosecurity/54018/#comment_1439644
или к ним
(я в статье говорил о том, что это далеко не то, о чем нужно переживать в первую очередь, хотя и является красной тряпкой. Если бы я 3 месяца назад узнал про GoDaddy сертификаты и, что они гарантированно будут работать c j2me, то, вообще, об этом не думал бы :)
Фишинг — по сути то же самое: например, пароль перехватывается на фишинг сайте, а затем его вводят на легитимном сайте. Здесь лишь отсутствует обратный ход. Но для данной ситуации это не столь существенно, поскольку основная угроза реализовалась
Удостоверить с его помощью что-то можно, но только с определенной долей гарантии (не абсолютной)
Цель статьи была скорее обратить внимание на то, что подписанный сертификат не равняется высокая безопасность (а не столько на то, что неподписанный сертификат не равняется низкая безопасность).
Есть: фарминг, атака на dns
> Звонить вам по телефону и сравнивать отпечаток?
Тут все упирается в вероятности. Если это просто «еще один стартап», то можно поверить ему при первом заходе. Все равно никто его сертификат подменять не будет. А вот, если citibank, то, наверное, придется позвонить, если вдруг браузер будет ругаться (поищете в Интернете, и найдете массу случаев, когда пользователи именно так и делали, потому что в бюрократической тяганине какой-то банк, например, не успевал обновить свой сертификат...)