Názory k článku Certificate Transparency je tu, všechny HTTPS certifikáty musejí být veřejné
-
BobTheBuilderStříbrný podporovatelNe, ale tohle je něco jiného.
Asi jako když máte doma sejf, který je údajně nedobytný, a teď by výrobce sejfu musel zveřejnit, kde svůj produkt nainstaloval.
To je pak dobrá pozvánka pro kriminálníky: a nechceš to zkusit ještě tady? -
Petr (neregistrovaný)
To mi vysvětli. Pokud zveřejním adresy sejfů, tj. ten seznam bude krátký a bude jasné, že každá ta adresa je zajímavá, protože takový sejf si člověk nekupuje jen tak pro nic za nic, tak to je dost jiná situace než když do seznamu stovek miliónů adres přibude pár dalších, které ani od těch "veřejných" nejde odlišit. Nebo jsem to nepochopil?
-
Kkt1 (neregistrovaný)
Seznam sejfu je jedna vec, ale informace ze dany sejf obsahuje $100M je daleko lepsi, hlavne pokud zjistis, ze ten safe ma treba default password. U tech xxxM adres proste vyfiltrujes admin rozhrani dle klicovych slov a mas zajimave cile. Na druhou stranu security through obscurity nikdy nefungovalo..
-
Petr (neregistrovaný)
Klíčových slov? Jakože microsoft.com má zcela tajnou admin.microsoft.com a budu filtrovat admin a další profláknuté řetězce a to nemohu zkoušet teď, musím čekat na zveřejnění v seznamu? Jen tak mimochodem, na můj web chodí pravidelně útoky na administrátoské rozhraní např. WordPressu a dalších známých systémů, přičemž tam WP atd vůbec nemám, prostě to zkouší. Naprosto souhlasím s tím, že security through obscurity nikdy nefungovalo..
-
Cohen (neregistrovaný)
To je samozřejmě pravda, že ty útoky zkouší. Normálně ale tyto útoky cílí na www záznamy, případně další, získané crawlingem. Teď se ten seznam cílů pěkně rozšíří, takže řekněme WP, který seděl na nějakém virtualhostu a nikdo o něm nevěděl, se najednou může dostat do světla reflektorů. Spousta webhosterů navíc dnes automaticky generuje Letsencrypt certifikáty pro všechny weby.
Já netvrdím, že security through obscurity nějak moc funguje. Jen konstatuji, že se tím zpřístupňuje mnohem větší prostor pro útoky a jde o pandořinu skříňku.
-
nebyt na seznamu (neregistrovaný)
>>Security through obscurity není ideální přístup.
No vsak to nikdo nerika.
Nadruhou stranu, dnes existuje takove mnozstvi nezverejnenych chyb, jeste vetsi mnozstvi neopravenych chyb a nesrovnatelne zdaleka nejvetsi mnozstvi robotu, co to proste zkouseji, ze nebyt na jejich seznamu je zcela jiste "security measure".
--
Jen v dnesni dobe modni obnazovani se vsude a za kazde situace, muze nekomu vadit.Analogie se sejfem je pekne trefna a ani moc netrpi nesrovnatelnosti situaci.
-
Filip JirsákStříbrný podporovatelDojde ke zveřejnění velkého množství nejrůznějších administrativních webů, které se doteď skrývaly za SNI.
Dost lidí tady tvrdí, že dojde ke zveřejnění tajných doménových názvů – vypadá to, že jste do teď používali certifikáty vystavené autoritami, které certifikáty do Certificate Transparency nezveřejňovaly.Můžete napsat, které konkrétně autority jste takhle používali?
-
BobTheBuilderStříbrný podporovatel
Asi nijak, aspoň v Active Directory:
Most of you have a private PKI within your organization that does not chain up to a public root. In this scenario, CT will not affect your CA's. Chrome browser uses Windows native CAPI to determine trusted chains. Windows can differentiate between commercial/public CA chains and internal/private chains. Since Windows has this ability, CT will not affect Private/Internal PKI chains.
https://blogs.technet.microsoft.com/pki/2018/03/12/how-will-certificate-transparency-affect-existing-active-directory-certificate-services-environments/
Tedy pokud certifikát té soukromé autority není podepsaný nějakou kořenovou, pak se to bude muset řešit i tady.
A jinde asi taky ne, píše se o certifikátech vydaných veřejnou autoritou.
Ostatně, to by přestaly fungovat ty antivirové MITM techniky na on-line kontrolu HTTPS komunikace. -
Privátní CA je sice možnost, ale nejspíš více problémů vytvoří než vyřeší. Musíte vyřešit důvěru (pokud nenainstalujete certifikát CA do truststoru sám, nejspíš budou odklikávat výjimky) a je to mocný nástroj, který dává široké možnosti zneužití.
Když z nějakého důvodu* chceme skrýt administraci na tajné URL, je lepší tajnou část dát za lomítko, nebo případně použít wildcard. (Pokud to ale bude v názvu domény, leakne to skrze DNS dotazy a SNI.)
*) Doufejme, že motivace je defense-in-depth a ne security-by-obscurity.
-
BobTheBuilderStříbrný podporovatel
Privátní CA je téměř nutnost, protože nevím, jak bych si nechal jednoduše podepsat certifikát pro LDAPS komunikaci s doménovým řadičem, ten certifikát tam má pár méně obvyklých položek a je služba je poměrně vybíravá na to, co v certifikátu je a není.
Vlastní CA nepředstavuje velké provozní problémy: počítače v doméně její certifikát dostanou z moci úřední a ostatní, pokud to potřebují, si ho musí přidat. Jednou.
A cizí lidi/stroje mě nezajímají, stejně tam nemají co dělat a nemají (nemají mít) přístup.
No, pravda, ten certifikát privátní CA musíte někdy přidat až 3x, jednou do systému pro všechny, podruhé pro Firefox a potřetí pro Thunderbird. Ale tohle v Mozille nejsou schopní pochopit léta, je to marné, to je jen takový standardní povzdech. -
OK, to je asi do jisté míry speciální případ, tam doménový řadič stejně už ty počítače spravuje. Můj hlavní point byl, že jako obecné řešení (zejména pokud ty počítače nespravujete) to přináší více problémů. A reagoval jsem na utajenou doménu na webu, což je trochu jiný případ než LDAPS (alternativní řešení jsou k dispozici).
> ostatní, pokud to potřebují, si ho musí přidat. Jednou.
Při každé změně CA. (Ta jednou vyprší.)
> jednou do systému pro všechny, podruhé pro Firefox a potřetí pro Thunderbird
Firefox a možná I Thunderbird umožňuje nastavit, aby používal certifikáty ze systému. Je to ale AFAIK Windows only: https://wiki.mozilla.org/CA:AddRootToFirefox
Dalším zlobivcem je Java, ta má vlastní cacerts. Minimálně na Debianu (a možná I jiných distribucích) jde nastavit Java, aby to brala ze systému, tady pro změnu neznám řešení pro Windows: https://packages.debian.org/wheezy/ca-certificates-java
Pak můžete mít ještě různé virtuální stroje, WSL, docker images, Vagrant atd., kde máte konfiguraci zvlášť.
Záleží samozřejmě dost na konkrétním případě, co chcete řešit. Možná nemáte například Javu, nebo ji možná máte, ale nezajímá vás, protože k serveru s certifikátem podepsaným interní CA přístup nepotřebuje. Stejně tak s dalšími problematickými elementy. Nepochybně jsou prostředí, kde to je řešitelné celkem snadno.
-
BobTheBuilderStříbrný podporovatel
No, když zmodifikujete prefs.js ve FF, pak můžete naimportovat certifikáty. I opakovaně, nemůžete je ale odebrat. A nejde to s out-of-the-box FF.
Takže je to na kulový.
Na rozdíl od Chromu, který používá systémové úložiště certifikátů (takže lze vlastní CA doplnit pře GP) a další vlastnosti Chromu lze taky přes GP nastavit.
FF a TB nikoho moc netrápí - FF se proto ve firemním prostředí nepoužije a pro TB je to další mínus v porovnání s Outlookem. Mělo by to trápit Mozillu, protože přichází možná o dost významné procento použití, ale zjevně je to taky netrápí. -
Mno, vím o několika věcech :
1) policypack
https://www.policypak.com/products/manage-mozilla-firefox-with-group-policy.html
2) CCK2
https://mike.kaply.com/cck2/
3) security.enterprise_roots.enabled = TRUENezkoušel jsem zatím ani jedno, ale mám to v todo.
Zdar Max -
BobTheBuilderStříbrný podporovatel
No jo, to je ono, nezkoušel.
Ono to nějak funguje, ale stojí to bačkoru.
Třeba 3) - jo, paráda, jenže už při spuštění FF (každém!) to chce master heslo, a jako perlička, okénko na zadání hesla je skryto pod oknem prohlížeče. A tak podobně je to i s tím ostatním. Je to nakonec horší, než si nainstalovat certifikát privátní CA ručně.
Na rozdíl od, třeba, Google Chrome, který systémový certificate store používá bez řečí a další věci vyžadují je pro admina aplikovat template do GPO, ale nic na straně počítače ani uživatele. A Chrome si případně může uživatel (má-li právo) nainstalovat sám jakkoliv. -
BobTheBuilderStříbrný podporovatel
No, a co když má uživatel nastavené master passwd (aby měl chráněné uložené přihlašovací údaje)? Problém nastane totiž až v tomto okamžiku.
-
Pupik (neregistrovaný)
Ve Firefoxu to již možné je. Je tam parametr který umožní použít root certifikáty z úložiště Windows. Bere však jen ty root certifikáty, které jsou přidány přes GPO. Blbé je, že zapnout tuto funkci jde v about:config jednoduše, jenže zautomatizovat to je složitější, než jen zápis do registru.
Tady o tom něco píší: https://support.umbrella.com/hc/en-us/articles/115000669728-Configuring-Firefox-to-use-the-Windows-Certificate-Store
-
-
Filip JirsákStříbrný podporovatel
Žádná certifikační autorita nemůže mít univerzální privátní klíč.
Certifikáty jsou založené na asymetrické kryptografii, která je zase založená na dvojici soukromého a veřejného klíče, přičemž ke každému soukromému klíči existuje právě jeden párový veřejný klíč, a ke každému veřejnému klíči existuje právě jeden párový soukromý klíč. Žádný „univerzální klíč“ tedy nemůže existovat. Přičemž to „nemůže“ plyne ze samých základů matematiky. Je to tak, že kdyby se pro asymetrickou kryptografii používal algoritmus sčítání celých čísel se součtem klíčů sto, a jako privátní klíč byste měl např. 27, veřejný klíč by byl 73 a žádný jiný klíč by tomu neodpovídal. U reálných kryptografických algoritmů je rozdíl akorát ten, že z veřejného klíče nejde v rozumném čase odvodit klíč privátní.
-
Filip JirsákStříbrný podporovatel
Revokace certifikátů (a tedy ani OCSP) s Certificate Transparency nijak nesouvisí.
Certificate Transparency funguje jako log toho, které všechny certifikáty byly vydány. Slouží to pro kontrolu certifikačních autorit – třeba PayPal nebo kdokoli jiný si může průběžně kontrolovat, že nebyl vydaný žádný certifikát na jméno paypal.com jiný, než o který dotyčný skutečně žádal. Kdyby nějaká autorita takový certifikát vydala, je to průšvih, bez ohledu na to, že ho třeba hned v příští vteřině zase revokuje.
-
Tento clanek povazuji za informacne neuplny a tim i zavadejici, hodici se mozna do rubriky "Zpravicky". Zase bude mit spousta junioru pocit, jak je den slunecny a krasny a odhlasuji si, ze jsme dosahli nirvany. Blizsi kontakt s realitou naznacuje napriklad Greg: http://www.ietf.org/mail-archive/web/trans/current/msg00233.html -- a to neni samozrejme jediny. Proti produktove rade squirrel je tohle neucinne a tudiz zbytecne.
-
Myslím, že takovou doménu dávno před CT zachytí NIC RU.
Navíc samotné zjištění existence takové domény je tím posledním problémem v takovémto případě. Můžete takový web utajit přede všemi – pak ale bude celkem k ničemu, protože se k němu nedostanou ani voliči. Klidně takový web můžete nechat u sebe v šuplíku. Nebo můžete udělat kampaň a nějak šířit povědomí o tomto webu mezi voliče (širokou veřejnost) – pak o něm ale vaši protivníci budou vědět i bez certificate transparency.
-
Dinki (neregistrovaný)
To bych také chtěl vědět, co na to řeknou prohlížeče.
Zda korporátní MITM odhalí a _neumožní_ uživateli stránku zobrazit, zda uživatele upozorní na MITM a dovolí mu pokračovat nebo jako doposud se uživatel na první dobrou nic nedozví (protože korporátní MITM CA je trusted na korporátním kompu).
Někteří čeští zaměstnavatelé takto vtipně vstupují i do komunikace s internetovým bankovnictvím zaměstnanců a ti to povětšinou ani netuší :-)
-
-
-
muf (neregistrovaný)
Někdo pana Nekolu např. nutí klikat na minus z více IP adres?
Ale dost kočkování, pojďme k věci. Zatím jsem tomu moc času nevěnoval, takže nemám úplně jasno např. v následující situaci:
Mám privátní síť a v ní privátní doménu local.firma.cz, IP adresy jsou pochopitelně z neveřejného rozsahu(RFC1918). Na té síti běží služby, dostupné přes https, pro jejichž účely jsem zřídil privátní CA. Každý uživatel má nainstalovaný kořenový certifikát této CA atd... Nebudu nucen v takovém případě zveřejňovat informace o vystavených certifikátech, že ne... Byla by to de.ilita opravdu hrubého zrna, ale dnes už je bohužel možné vše...Druhá modelová situace: konfigurační rozhraní nějakého zařízení, přístupné pro omezený rozsah adres z veřejného Internetu, certifikáty vydávané stejnou privátní CA jako výše. Také v tomto případě by zveřejňování hraničilo s duševní poruchou, ale, jak jsem již psal, v době vzedmutí vlny boje gutmenschů za univerzální blaho člověk nemůže předem vyloučit i ty sebebláznivější varianty....
Snad nenastane doba, kdy si budeme muset udržovat vlastní verze Firefoxu.... Tak daleko v "pokroku" snad ještě nejsme.
-
Ondra Satai NekolaZlatý podporovatelJeden klik, jedna IP, jeden firefox a pet nahoru/dolu. Odhlasovat se kvuli tomu fakt nebudu.
Neprud. -
Filip JirsákStříbrný podporovatel
Nejde o buzeraci.
Vlastní autorita není něco, co „stačí“, naopak je to velký problém. Protože ta vlastí autorita klidně může podepsat certifikát pro *.google.com nebo www.mojedatovaschranka.cz.
-
Filip JirsákStříbrný podporovatel
Já jsem o žádném náhodném návštěvníkovi nepsal. Ta privátní CA je obrovským bezpečnostním rizikem pro každého, kdo si její certifikát přidá mezi důvěryhodné autority. Pokud si ji přidáte jen vy sám, je to bezpečnostní riziko jen pro vás, což nic nemění na tom, že je to bezpečnostní riziko. A obvykle se privátní CA nevytváří pro to, aby je používal jediný člověk…
-
muf (neregistrovaný)
Privátní CA si obvykle vytvoříte, pokud víte, co děláte a dokážete ji dobře zabezpečit, aby vaše certifikáty nevydával někdo jiný.
Její certifikát instalujete jen svým uživatelům, kteří vám v tom pochopitelně musejí důvěřovat.
Oboje zmíněné je ve vašem vlastním zájmu. Pokud to děláte blbě, ohrožujete pouze vlastní firmu a Jirsákovi do toho nic není. -
Filip JirsákStříbrný podporovatel
Privátní CA si obvykle vytvoříte, pokud víte, co děláte a dokážete ji dobře zabezpečit, aby vaše certifikáty nevydával někdo jiný.
Jistě, Muf doma na koleně zvládne vytvořit stejně bezpečnou certifikační autoritu, jako jsou profesionální autority všeobecně považované za důvěryhodné. Pak pro vás ale přece nemůže být problém přidávat certifikáty i na CT.Její certifikát instalujete jen svým uživatelům, kteří vám v tom pochopitelně musejí důvěřovat.
Což je právě ten problém. Ti uživatelé pak musejí důvěřovat něčemu, čemu by normálně nedůvěřovali.Oboje zmíněné je ve vašem vlastním zájmu.
Ne, v mém zájmu není to, abych musel důvěřovat někomu, komu ve skutečnosti nedůvěřuju.Pokud to děláte blbě, ohrožujete pouze vlastní firmu
Nejen vlastní firmu, ale také její zaměstnance a nejspíš i partnery a zákazníky.a Jirsákovi do toho nic není.
Jsme na veřejném diskusním fóru, takže snad ještě pořád můžu napsat svůj názor, že privátní certifikační autority ohrožují bezpečnost. -
muf (neregistrovaný)
Muf to doma na koleně pro firmu dělat nebude, i když bezpečně uložit privátní klíč, související se službou pro vlastní potřebu zvládne. Muf prostě pošle žádost o vydání certifikátu pro lokální službu IT oddělení své mateřské firmy.
Muf a jeho kolegové ví, že firemní PC nejsou soukromá a nepoužívají je k vyřizování soukromých záležitostí. Nikdo je nenutí si certifikát instalovat na svá soukromá zařízení. Firma tedy ohrozí případně jen sama sebe, i když pravděpodobnost je malá, protože ví, co dělá. -
Filip JirsákStříbrný podporovatel
Muf prostě pošle žádost o vydání certifikátu pro lokální službu IT oddělení své mateřské firmy.
Aha, tím se bezpečnost řádově zvýší. Jakmile v tom figuruje „žádost“ a „IT oddělení mateřské firmy“, nemůže to být špatně zabezpečené.Firma tedy ohrozí případně jen sama sebe, i když pravděpodobnost je malá, protože ví, co dělá.
Firem, které vědí, co dělají, je spousta. Často tu o nich vychází zprávičky v rubrice bezpečnost: Pětina poskytovatelů VPN umožňuje únik IP adres při použití WebRTC, BranchScope je nový útok postranním kanálem na procesory Intel, Šance na změnu Facebooku po aféře Cambridge Analytica?, Postřehy z bezpečnosti: příliš inteligentní kamery, Hacking Team je zpět, i když vlastně nikdy doopravdy nikam neodešel… -
Filip JirsákStříbrný podporovatel
Dovolte, abych vám trošku osvěžil paměť. Ve vašem komentáři byla jediná otázka: „Nejde zase o další buzeraci?“ Na tuto otázku jsem odpověděl hned první větou v prvním komentáři, na který jsem reagoval.
Ano, opět proběhlo ono pověstné jirsákovské kolečko, kdy si někdo nepamatuje, co napsal; nečte komentáře, na které reaguje; nebo prostě píše nesmysly – a já to pak opravuju nebo dotyčnému připomínám, co napsal.
-
Lol Phirae (neregistrovaný)
Což je právě ten problém. Ti uživatelé pak musejí důvěřovat něčemu, čemu by normálně nedůvěřovali.
Což se nijak neliší od tzv. "důvěryhodných" veřejných CA (lemplové z Comodo, DigiNotar, Symantec, StartCom, fízlové z CNNIC...)
Ne, v mém zájmu není to, abych musel důvěřovat někomu, komu ve skutečnosti nedůvěřuju.
Opět žádná rozdíl oproti výše uvedenému.
Nejen vlastní firmu, ale také její zaměstnance a nejspíš i partnery a zákazníky.
A repete!
privátní certifikační autority ohrožují bezpečnost.
Jistě. Necháme si vydat veřejné certifikáty třeba pro firemní VPNky, protože nám to poradil mudrc Jirsák.
-
Filip JirsákStříbrný podporovatel
Lol Phirae: Vaše firemní VPNka se jenom řídí pravidly CA/Browser fóra, nebo je přímo založená na Google Chrome? Nechce se mi tomu věřit, ale když jí argumentujete v diskusi o HTTPS certifikátech, respektive o opatření zavedeném v současné době jen prohlížečem Google Chrome…
-
muf (neregistrovaný)
Ano, opět se nám zacyklil. Odpověď na to, jestli po implementaci CT např. Firefox umožní import certifikátu mé vlastní CA pro privátní síť a nebude kolem toho nějaká buzerace jsem se stále nedozvěděl.
Místo toho teď vím, že tomu vůbec nerozumím a neměl bych se sám rozhodovat, protože Jirsák ví, co je pro lidstvo dobré. :-)Je to asi moje vina, že neumím bratrancům Sheldona Coopera z levého kolena klást dotazy polopaticky.
-
Filip JirsákStříbrný podporovatel
Odpověď na to, jestli po implementaci CT např. Firefox umožní import certifikátu mé vlastní CA pro privátní síť a nebude kolem toho nějaká buzerace jsem se stále nedozvěděl.
To bude tím, že jste se na to nikdy nezeptal. Na tohle vám ale odpovědět také mohu: umožní a nebude.Místo toho teď vím, že tomu vůbec nerozumím
To je myslím dost užitečné zjištění.neměl bych se sám rozhodovat, protože Jirsák ví, co je pro lidstvo dobré.
Netuším, jak jste na něco takového přišel. Napadá mne jediná varianta – že jste si až dosud myslel, že vy jediný víte, co je pro lidstvo dobré, a tím, že jsem si dovolil vám oponovat, jsem vás urazil, a vy teď tvrdíte, že když ten nejchytřejší na světě nejste vy, musím to tedy být já. Protože někdo méně chytrý by přece nemohl nejchytřejšímu člověku na světě oponovat. Je mi líto, ale budete se muset smířit s tím, že se někdo opováží mít jiný názor, než vy.Je to asi moje vina, že neumím bratrancům Sheldona Coopera z levého kolena klást dotazy polopaticky.
Vaše vina je, že se necháte nachytat na svůj vlastní trolling. -
Ondřej CaletkaZlatý podporovatelMáte pravdu, skutečně jde o 30. dubna. Ono se častěji vyskytovalo jen „od dubna“ a to správné prohlášení bylo poměrně skryté. Chyba je naštěstí na bezpečné straně, ve všech článcích už je to opraveno ;)
ČLÁNKY DO MAILU