Vlákno názorů k článku Postřehy z bezpečnosti: vždyť tam byla ta zelená ikonka od Josef Miegl - Je blbost aby CA ověřovaly jestli je doména...

Otázkou je, zda většina populace má intelektuální kapacitu tohle pochopit. To nemyslím zle, ale jako prostý fakt, ze v dnešní době lidi prostě věcem které používají nijak extra nerozumí. V zásadě je to v pořádku. Na zahradníka prostě nemá cenu tlačit co znamená superheterodyn. A pokud tedy přijmeme objektivní fakt že lidi v současné době na internetu nevědí co dělají a/nebo co riskují když dělají to a to, tak je možná na místě se ptát, jestli by se neměl změnit přístup lidí, co internetové standardy vymýšlejí. Vysavač, co vás zabije, pokud ho zapnete v okamžiku, kdy je na orloji v Praze velká ručička na sudé minutě také nebudete považovat za naprosto funkční.

Většina lidí dostane řidičák, tedy většina lidí si bude umět zapamatovat pár pravidel, třeba jako banka po tobě nikdy nebude chtít heslo do mailu apod. Pokud to po nich vůbec bude někdo chtít. Mš třeba jednou v bance poradili, že když si zruším potvrzovací SMS tak ušetřím, že oni to tak taky mají :-D O čem je pak řeč? :-D

No vidis, me treba v bankach (CSOB, KB, RB ...) pravidelne radej, ze si mam vypnout overovani certifikatu.

Můžeme buď zrušit všechny přechody na světě, protože vás tam může srazit auto a nebo se prostě lidi musí naučit, že i na přechodu se musí rozhlédnout. Taky bychom mohli zrušit písmo, aby lidi nemohli podepsat nějakou nevýhodnou smlouvu. Nebo vymyslet jiné písmo, kterým by nevýhodná smlouva nešla napsat.

Kde jsem napsal, že jsou tupci? Já píšu, že prakticky každá lidská činnost má nějaká rizika a lidi se musí naučit, že i na tom počítači to je stejné, že namalovaný přechod (zelený zámeček) neznamená 100% bezpečí.

Určit jestli můžu na přechod pro chodce je pro většinu lidí bezproblémové. Rozhlídnu se a když vidím auto (nebo něco jiného) co by mě mohlo srazit tak nejdu.

Kdyby se podařilo na webu udělat stejně náročné rozlišení můžu / nemůžu, tak by to bylo super. Jen že tam se šermuje několika různými vzájemně propletenými termíny o kterých běžný člověk obvykle ani neslyšel ... tak jak má poznat že "jede auto" ?

na druhou stranu, ve vetsine pripadu by stacilo naucit "rozhlidnout se" v mailu, ze kde je odkaz na sluzbu co pouzivam, tak na nej NETUKAT, ale napsat ho rucne sam do adresniho radku nebo zvolit vlastni jiz predtim ulozenou v zalozkach...

tim by padlo veskere to mailem sirene smejsdstvo kolem paypal, bank, pojistoven apod, kdy v mailu je vzdy neco jako:

"potrebujeme aby jste zadali vase jmeno a heslo na tomto odkazu: "tvojebanka", ktere ale smeruje na https://tvojebanka.fddfs.gfh.erhd.erher.fswds.info

Jenomže semafor a přechod jsou právě naprosto jednoduché protokoly, které byly odladene tak aby je většina populace zvládla. Není v nich desítky až stovky chyb, nevypadají v každém městě jinak a jejich semantika se s časem (vetsinou) nemění. A btw, když se před několika lety změnila semantika přechodu (přednost chodce), jak se to projevilo na nehodovosti?

Jde o celý proces a ten už tak jednoduchý není. Člověk se musí naučit, že silnice je nebezpečí, že by měl přejít po přechodu, že se má rozhlédnout, že i když nic nejede ale svítí červená tak ne, i na zelenou když něco jede co evidentně nezpomaluje tak taky ne atd.
A pokud se bavíme o webu a zeleném zámečku, uživatel nemusí myslet na stovky chyb, jen že by měl mít tak jako tak správnou adresu, podobně jako když jde po přechodu a měl by se tak jako tak rozhlédnout.

Vetsina lidi tomu nerozumi, a prave proto je naprosto chory co se jim snazej browsery natlacit = tvrdit o necem ze je to bezpecny, kdyz to ani teoreticky bezpecny byt nemuze.

Tak bezpečný to je, ale z hlediska přenosu dat ne obsahu. A to je ten problém, ale ten je tu už dlouho, lidi netuší co jsou to certifikáty, a že teď máme u https zelený zámeček je jen stejná blbost jako když se lidi naučily klikat na pokračovat u self signed certifikátů, defakto se nic nezměnilo, lidé tomu nerozumějí a není se čemu divit, spousta lidí z IT také netuší že certifikátů je více.

A o tom, že některé prohlížeče zvláště na mobilních zařízeních skovávají řádek s url ani nemluvím. Tam šance všimnout si že něco není jak má je prach mizerná.

Jenze ono to bezpecny neni ani zhlediska prenosu tech dat. User vi prd jestli komunikuje s nejakym serverem nebo nejakou proxy v ceste. Kdyz ti poslu cert, kterej vyda nejaka ta CA kterou ti do browseru nebo systemu natlacil nejakej kokot, tak proste budes mit zelenej zamecek. Ale vubec netusis, jestli ti ten cert poslal server o kterym si myslis ze snim komunikujes, nebo tvuj provider.

Sak soudruzi v Mozille taky myseli ... az vymysleli ... takze statusbar prosychr zrusili a na addressbaru usilovne pracujou.

Selfsign cert muze byt o nekolik radu bezpecnejsi, protoze tam bys moh (kdyby tvurci browseru nebyli kreteni) redukovat riziko na prvni navstevu. Jenze nemuzes, protoze kdyz ti root predhodi selfsing, a ty si ho ulozis, a pak ti obratem predhodi cert nejaky CA, tak tvuj browser bude spokojene drzet hubu.

Teorie krasna, ale realita je ta, ze CA tu sou k tomu, aby komukoli kdykoli vydaly jakejkoli cert, proti kterymu nebude tvuj browser protestovat.

Kdyby nekdo stal o bezpeci, implementuje DANE, protoze na to, abys prokazal, ze je domena tvoje jaksi (i tem CA) staci, kdyz muzes nakladat s DNS.

Ta ikona by tam nemela bejt vubec zadna, minimalne ne do okamziku, kdy ty jako uzivatel provedes nejakou akci na tema "tomuhle webu s timhle certifikatem nebo touhla CA verim". Do ty doby by se k tomu browser mel chovat jako k http = bez kecu to zobrazit, ale zaroven nikde netvrdit, ze to je bezpecny, protoze neni a nikdy nebude.

Tuhle osvětu "Sice píšeme secure connection, ale secure to není" musí vést prohlížeče. Případně to na svých stránkách musí psát útočníci (což asi neudělají). Protože na stránkách banky to nikdo číst nebude.

Jenže zrovna prohlížeče jsou ti, kdo tuhle snahu dost sabotují. Banky, PayPal apod. dost brojili proti tomu zelenému zámečku a slovu "secure".