Názory k článku Postřehy z bezpečnosti: součástí bezpečnosti je učení se z chyb
-
Pushkin (neregistrovaný)
Když je řeč o TrueCryptu - kromě VeraCryptu by stálo za to zmínit hlavně TrueCrypt Next, který by měl stávající TrueCrypt rozvíjet - viz https://truecrypt.ch/
-
„pokud byste šli na takto zmanipulovaný Google prohlížečem, který podporuje certificate pinning, či HSTS, tak varovnou zprávu dostanete.“
Ponechám stranou, že to není dostačující podmínka – nějak ten pinning se do prohlížeče prvně musí dostat, třeba návštěvou stránky nebo preloadnutím. Ponechám též stranou, že Google HSTS zdaleka nepoužívá všude*. Moje otázka zní, jak zde pomůže HSTS proti certifikátu vydanému důvěřovanou certifikační autoritou?
Jistě, v celém schématu to je podstatná věc, ale to už je o něčem jiném.
*) Rychlý průzkum: google.cz ne, google.com ne, youtube.com ne, mail.google.com ano, docs.google.com ano, drive.google.com ne, contacts.google.com ano, gmail.com: nevím, play.google.com: ne
-
tjjdno (neregistrovaný)
Uvital bych, kdyby se autor clanku zdrzel citove zabarvenych uvah a misto to byl preciznejsi.
Nicmene, v Chromu by pinning fungovat mel, protoze certy velkych firem jsou tam zadratovane z vyroby: https://code.google.com/p/chromium/codesearch#chromium/src/net/http/transport_security_state_static.h&l=665 https://code.google.com/p/chromium/codesearch#chromium/src/net/http/transport_security_state.cc&l=135
-
tjjdno (neregistrovaný)
A jeste funkce co to napraska:
https://code.google.com/p/chromium/codesearch#chromium/src/chrome/browser/net/chrome_fraudulent_certificate_reporter.cc&l=40
ČLÁNKY DO MAILU