Názory k článku
Chrome bude HTTP označovat jako „nezabezpečené“ od července
-
LDASCZ (neregistrovaný)
Kdyby nebylo šifrování tak by si každej třeba mohl volně zacházet zrovna třeba s tvým bankovním účtem.
Nehledě na fakt todle řešení vyhodí neaktivní weby, podvodné weby, nebo případně lemply, kteří do dnešní doby s tím něco neudělali. Jinak já jenom za sebe jsem zvědav na výslednou statistiku. -
martyd (neregistrovaný)
K bankovnímu účtu SSL patří a je nutné. Takových případů je ale velmi maličké minimum. Na 99% obsahu, který teče přes http je šifrování úplně zbytečné.
Je mi úplně jedno, že někdo může odsnifovat, že v pondělí ráno pravidelně u prvního kafe čtu postřehy :) Stejně je víc jak polovina přenášeného obsahu reklama :DProstě vynucovat https na každém blogu aničky z horní dolní je nesmysl.
-
Ravise (neregistrovaný)
Já nevím, jestli to má smysl, ale... To šifrování mj. zaručuje, že se ti do povídání s majitelem certifikátu nemontuje nikdo jiný.
Takže do těch Postřehů (nebo do blogu od Aničky) nikdo nepřimíchává další reklamy, pro Aničku a root to má tu výhodu, že nikdo po cestě nezmění tu reklamu nezmění a peníze jim nevezme.
-
j (neregistrovaný)
"Já nevím"
", jestli to má smysl, ale... To šifrování mj. zaručuje, že se ti do povídání s majitelem certifikátu nemontuje nikdo jiný."
Jediny co je na ty vete pravdivi, je ta prvni cast, protoze presne tohle sifrovani naprosto vubec nezarucuje. Protoze ty vubec netusis s skym ve skutecnosti komunikujes. Tvuj browser se spokoji s tim, ze ten nekdo na druhy strane pouziva zcela libovolny certifikat zcela libovolne CA o ktere se par frikulinu dohodlo, ze je (pro ne) duveryhodna.
Klidne ten na druhy strane muze byt tvuj soused. Nemas jak to zjistit a nemas zadnouo moznost s tim neco delat. Protoze ani to ze ti protistrana fyzicky z ruky do ruky preda svuj cert ti nepomuze.
A naopak, celkove se bezpecnost vyrazne zhorsuje, protoze dokud pouzivaly https prevazne jen banky (a par webu pro nerdy), tak se na pripadny pruser prislo pomerne snadno a rychle.
-
Ravise (neregistrovaný)
Šifrování samo o sobě zaručí právě a pouze to, že se bavím s majitelem certifikátu. Všimni si, prosím, že neříkám, že je to někdo oprávněný se se mnou jménem té domény bavit.
Mně prohlížeč umožňuje kontrolovat třeba ten otisk certifikátu, a když ho dostanu z ruky do ruky, dokážu si zkontrolovat, jestli na konci je ten cert, který čekám nebo ne.
> pravdivi
/thread
-
Mně prohlížeč umožňuje kontrolovat třeba ten otisk certifikátu, a když ho dostanu z ruky do ruky, dokážu si zkontrolovat, jestli na konci je ten cert, který čekám nebo ne.
Bingo! A tam, kde je to potřeba a kde dokonce víte, jaký fingerprint máte očekávat, tam už to dávno zavedené je. Nyní se to bude zavádět všude, a mezi lidi, kteří nikdy nic na tom kontrolovat stejně nebudou.
Možná bychom měli vymyslet nějakou další technologii, která nám bude jinou cestou distribuovat fingerprinty "bezpečných certifikátů", čímž uzavřeme bludný kruh. Z jedné strandu bude descendentní ověření od důvěryhodné certifikační autority a zespoda bude autority ověřena k certifikátu fingerprintem :))).
-
-
Ravise (neregistrovaný)
Https má smysl opravdu +- všude, kde dřív bylo http mi zjevně nezáleželo na tom, s kým mluvím (http to samo o sobě nezaručuje), takže je asi "jedno", jaký cert se tam plácne - a ještě mám tu výhodu, že si můžu hlídat, jestli se mění.
Kde i dřív bylo https, zůstává vyšší standard zabezpečení a zpravidla nemají ten nejnižší stupeň certifikátu.
Ta technologie, není to náhodou jak dávají otisky certu do DNS? Nevzpomínám si z hlavy jak se to jmenuje.
-
Filip JirsákStříbrný podporovatelCertifikační autority, které prohlížeče považují za důvěryhodné, se musí povinně řídit CAA DNS záznamem, pokud pro danou doménu existuje – ten určuje, která autorita smí pro danou doménu vystavovat certifikát. Tím pádem odpadá oblíbený Jéčkův útok, kdy certifikát vydá nějaká pochybná autorita. Samozřejmě lze namítnout, že když ta autorita bude záměrně podvádět, klidně bude ignorovat i ten CAA záznam. Jenže důvěryhodné certifikační autority zároveň musejí informaci o vystavených certifikátem publikovat v logu certificate transparency. Ten, komu na certifikátech záleží (třeba ty banky), může ten log sledovat a kontrolovat, aby se tam neobjevil certifikát s jejich doménou.
Otisk certifikátu v DNS je DANE, což bohužel současné prohlížeče nepodporují.
-
j (neregistrovaný)
"Mně prohlížeč umožňuje kontrolovat třeba ten otisk certifikátu"
Takze sebou nosis papirovej notes, tam mas napsany fingerprinty, a po kazdym jednom kliku pekne kotrolujes, jestli sedi. Jooo, tomu se rika moznost neco kontrolovat ...
"Certifikační autority, které prohlížeče považují za důvěryhodné..." bla bla bla bla ...
Tovizejo Jirsak, ono tech certifikatu ktery vydaj komu nemaj je jen kolik ... nejmin par desitek pripadu kazdej rok, zejo ... joo, to je urcite duveryhodnej system, .... a to sou jen pripady, kdy se to provali, takze tak 1% max. -
Ravise (neregistrovaný)
> Takze sebou nosis papirovej notes, tam mas napsany fingerprinty, a po kazdym jednom kliku pekne kotrolujes, jestli sedi. Jooo, tomu se rika moznost neco kontrolovat ...
Anebo, protože sedím u počítače, tu kontrolu nějak zautomatizuju... https://addons.mozilla.org/en-US/firefox/addon/certificate-patrol/
Toť moje poslední reakce na j :)
-
Petr M (neregistrovaný)
<i>Na 99% obsahu, který teče přes http je šifrování úplně zbytečné.</i>
Zdroj toho čísla by nebyl?
Myslím, že je to krutě přestřelený. Odpočítej
- weby, kde se přihlašuješ (možnost úniku hesla/únosu session)
- weby, kde komunikuješ (webmail, soukromý chat v rámci webu)
- e-shopy (aby se předešlo tomu, že po cestě někdo sniffne osobní údaje, bude se vydávat za zákazníka a zaplacený zboží si po telefonu pošle jinam)
- weby, kde se zpracovávají osobní údaje (např. vypracování nabídky,...)
- weby placený z reklamy, kde chceš mít jistotu, že se zobrazí ty nasmlouvaný a ne ty, co si vymění ISPíkA to rozhodně bude víc, než 1% webu...
-
martyd (neregistrovaný)
Já osobně ani nejsem úplně "proti ssl". Jen mi ten hon na http připadá už úchylný.
Weby, kde se přihlašuju - vím o třech z nich, kde ssl vyžaduju. Mail, banka a správa serveru. Na sramndičky typu root, různá fóra, atd používám stejný mail a heslo 123456789. Nejideálnějsí je ale login přes fb (který je pro mě také natolik kriticky důležitý, že tam používám ten stejný mail i heslo.)
Weby, kde komunikuju - viz ten mail, ale i toho je minimum, protože většina teče přes pop/imap se ssl
Eshopy. Eshopy vyžadující registraci nepoužívám. login i heslo opět stejné, je mi jedno, že někdo může zjistit, že jsem si někde koupil telefon. A když ho převezme někdo jiný? To není můj problém a v žádném případě ani problém http. Navíc dnes objednávám jen na jméno a heslo pro vzvednutí chodí přes sms ;) Pokud ne, potřebuješ občanku.
Tohle jsou absurdní argumenty.weby kde se zpracovávají osobní úudaje - neznám. Neříkám, že neexistujou a taky jsem neřekl, že se má ssl hromadně vypnout. Ať je tam, kde to dává smysl.
Reklama.. :D Je mi jedno jaká tam je. Používám uBlock a vzhlpedem k brutální agresivitě reklam s tím rozhodně nehodlám přestat. Prop weby se slušnou reklamou to neblokuju, ale i tak je mi jedno jaké id v tom kódu bude, takový ISP se má řešit u soudu, ne šifrováním. Basa ho napraví, certifikát ne.
Ale jak říkám v podstatě je mi to jedno, jen je škoda toho znevýhodnění nešifrovaných webů, které velice často bývají kvalitnějším zdrojem informací. Ten zelený zámeček lepší web neudělá, to musí někdo zapracovat na obsahu.
-
KateStříbrný podporovatel
> Tohle jsou absurdní argumenty.
Mně zas přijdou absurdní argumenty typu „já https nepotřebuju, protože web používám takhle a proto je na spoustě webů zbytečné“
Já zas nepotřebuju jiná parkoviště než jedno konkrétní P+R v Praze, takže jsou podle mě zbytečná a neměly by se stavět :)
-
martyd (neregistrovaný)
ale proto já právě říkám, "Ať je https tam, kde má být, kde je to užitečné". Neřekl jsem "ať je tam, kde je dobré jen pro mě."
Dneska už je to ale stejně jedno, každý si to na ten server šoupne, zacronuje certbota a je vyřešeno. Netvrdím, že to nějak výrazně škodí, jen to, že je to v mnoha případech zbytečné - zvláště tedy to znevýhodňování webů na http, kde často žádný login ani není, atd. -
Filip JirsákStříbrný podporovatel
HTTPS je užitečné všude. Když si na nějakém webu chcete něco přečíst, asi si chcete přečíst to, co ten web vydal, a ne něco jiného. To stejné u e-shopu – asi si chcete objednat to, co vidíte, za cenu, kterou vidíte, na adresu, kterou zadáte.
Kdyby na Rootu nebylo HTTPS, tu vaši větu „je to v mnoha případech zbytečné“ může někdo ať už při odesílání nebo při zobrazování komentáře nahradit za „HTTPS je užitečné vždy“. K čemu by pak bylo, abyste tu větu psal?
-
Bez HTTPS může každý hacknutý router (a že jich je opravdu hodně - doporučuji občas kouknout na https://www.routersecurity.org/bugs.php) do webů vkládat třeba těžící skripty a to nikdo z nás nechce. Zeptejte se své babičky, kdy naposledy aktualizovala firmware v jejím domácím tplinku.
-
mkub (neregistrovaný)
totalne absurdne argumenty...
SSL nie je iba sifrovanie, ale je to zabezpecenie komunikacneho kanalu pred pozmenenim a odpocuvanim
a ako by sa ti pacilo, keby niekto s tebou komunikoval a niekto treti, cez ktoreho ide ta komunikacia cital a menil obsah sprav?
to je to iste, co HTTP, pri HTTP hrozi odpocuvanie a menenie danych informacii
napr. co sa tyka ROOTu, tak tu mozu zaskodnici napr. menit dane informacie, pridavat do stranok rozne skodlive kody, napr. viry, tajne kody, ktore sa sice na strankach nezobrazia, ale ak oznacis a skopirujes a bez kontroly este odenterujes, moze ti poskodit pocitac
alebo ak ides na chat, aj tam je to SSL potrebne, lebo prebieha komunikacia medzi uzivatelmi a zaskodnik moze pri komunikacii cez http ju upravovat podla seba a moze to vyjst v dalsich problemochtakze mas pravdu v tom, ze SSL je v urcitej casti webu zbytocnost, ale tie cisla su uplne inaksi, je to sice 99% na 1%, ale v prospech https, nie http
-
martyd (neregistrovaný)
OK OK, tak jste mě přesvědčili. Máte pravdu, asi je to lepší. Nevzal jsem v úvahu ty automatizované útoky s vkládáním reklamy, těžících scriptů, atd. Nemám tušení jak je to časté, každopádně si jdu pročíst ten routersecurity.org - zajímavý web, dík za tip.
btw. ale ojebat se to dá taky, ne? sslstrip? i když tam už se kontrolujou nějaké ty hlavičky co vynucujou ssl.. no budu si muset aktualizovat vědomosti :)
Ale to "znevýhodnění" ve vyhledávání je nesmysl. -
Ta třetí strana to nemusí udělat úmyslně, může to být další napadený systém.
Ano, to je existentní riziko, ale je méně pravděpodobné, než to, že by někdo napadl jakýkoliv cílový server, který udělá totéž. Aktuálně: je jednodušší nabourat wordpress, joomlu apod., než se napíchávat na routery a realizovat MITM útok.
Podobně fantaskní teorii vymyslím také, má podle mě stejnou relevanci: výrobci malých domácích zařízení budou mít vlastní CA, ať už centrálně, nebo v domácnosti. Počítače v domácnosti budou převědčeny důvěřovat tomu CA. Provede to např. instalátor ovladače, nebo uživatel podle návodu - hlavně aby mu nesvítilo "nezabezpečeno". ... A pak už stačí jen komrpomitovat tu CA a můžete provádět MITM ještě lehčeji, než kdy dříve. I lépe, než na samotném HTTP, protože tady bude naopak svítit "zabezpečeno".
Nebo budou domácí zařízení využívat např. Lets Encrypt. Pak pánbu s námi, protože za dva, tři, pět let nikdo nezaručí, že bude existovat to samé API pro certifikáty, nebo jestli metoda ověření už v té době nebude deprecated. A nastane doba vyhazování zařízení, protože už nebudou umět získat nový certifikát, nebo už budou mít nepodporovanou ciphersuite (prosím pomněte, že ciphersuite mišmaš vede úplnému zákazu přístupu).
Celé je to prostě značně nedomyšlené.
-
Je potřeba se na to koukat z globálního pohledu. Cílený útok na konkrétní router je velmi složitý, stejně tak je složitý i útok na konkrétní web. V praxi naprostou většinu útoků provádějí automatizované skripty, které hledají známé zranitelnosti jak ve webech, tak v síťových zařízeních. Je jim úplně jedno kdo je oběť. Naprostá většina napadených zařízení je dnes využívána k DDoS útokům, což je to nejjednodušší a nejtrapnější co mohou dělat. Je to i proto, že tento útok lze vykonat na ohromném množství zařízení, bez toho, aby bylo potřeba posílat data zpět k útočníkovi. Pokud by útok způsobil třeba kompletní přesměrování dat k útočníkovi, tak by tím vlastně sám na sebe provedl DDoS. Varianta přesměrovat jen část provozu, nebo vyzobávat části trafficu už není tak univerzální a je na ní potřeba více práce a také často vyšší oprávnění na hacknutém zařízení.
Čím budou silnější linky a výkonnější zařízení, tak se však tyto motivace budou postupně měnit - už dnes je vidět, že se místo DDoS skriptů začínají více používat těžící skripty. Před pár lety se zase ve větší míře v hacknutých routerech používaly skripty, co změnily DNS na DNS útočníka, takže šlo jednoduše přesměrovat vybraný provoz k útočníkovi - cílem byl často facebookú a gmail. Na tento problém se začalo reagovat mnohem větším prosazováním HTTPS a třeba právě hlavičkami HSTS a HPKP - díky tomu tento útok postupně ztratil smyslu, protože ta univerzální skupina cílů, kterou používá ohromné množství uživatelů, začala být do jisté míry imunní.
-
K bankovnictví SSL rozhodně nepatří. Spíš TLS.
Záleží na textu. TLS se podřazuje pod SSL, dokonce TLS 1.0 bývalo označováno synonymně jako SSL 3.1.
Řekněme, že TLS je vývojový stupeň SSL (nejedná se o žádnou odbočku, ale opravu o straightforward vývoj).Ostatně, v OpenSSL je SSL v názvu, byť se nejvíc používá TLS 1.1+.
-
Uznávám, byl to ode mě trochu trolling, ale žádné SSL 3.1 neexistuje. Byl to původní plán, ale název SSL byl spojen s proprietární technologií, tak se to přejmenovalo.
První verze OpenSSL vyšla v roce 1998, TLS 1.0 vyšlo v roce 1999. Takže se nelze názvu divit. Dnes mi ale přijde divné mluvit o protokolu SSL na místě, kde ho nechceme.
-
Dnes mi ale přijde divné mluvit o protokolu SSL na místě, kde ho nechceme.
To bych řekl, že je spíš lidsky-jazyková podivnost, než technické vyjádření. Podobně, jako web už dnes dávno nemá charakter pavučiny, jaký byl v představách autorů, vymýšlejících, kam se pohnout ve vývojové řadě FTP=>(FSP)=>Gopher=>WWW.
Ponechme SSL žít jako pojem, ne jako technologii.
-
Až na to, že z toho vznikají různá nedorozumění typu "nějaké TLS nechci, chtěl jsem jen zapnout SSL" .
Když neřešíme konkrétní detaily zabezpečení, klidně mluvme o zabezpečeném spojení nebo v kontextu webu o HTTPS. Když jde o konkrétní technologii, buďme přesní a mluvme o TLS, ne o SSL (ledaže bychom hovořili o nějakém legacy systému, který skutečně SSL používá).
-
Ono to není černobílé. Z praxe vím, že pro spoustu lidí, kteří se tím nezabývají do hloubky, ale prostě dostali za úkol zabezpečit komunikaci, je to pořád SSL. Takoví average Joe programmers.
Ostatně můžeme udělat anketu, "Čím byste radši zabezpečili síťovou komunikaci" a na výběr bude SSL a TLS. Výsledky se určitě budou lišit podle skupiny. Když se zeptáte bezpečáků, celkem určitě tu bude výrazná převaha TLS. U programátorů, kteří chtějí do nastavení HTTPS sahat co nejméně, hlavně ať to nějak funguje, bych se celkem vsadil, že bude převaha SSL, protože o tom více slyšeli. A jak jsem psal, to může vést občas k nedorozuměním typu "chtěli po mě SSL, tak jsem tam dal SSL [3.0]".
Ne, nechci přispívat k nedorozumění a radši se pojmu SSL vyhnu tam, kde to jde.
-
martyd (neregistrovaný)
Mě by zajímalo kdo (proč) dal ty mínusy :D
Jako opravdu je zrovna tady někdo tak omezený, že si myslí, že ta zelená ikonka zaručuje, že se nejedná o podvodný web?
Podívejte "LDASCZ" a spol. - když bychchtěl udělat podvodný web, třeba eshop, věř tomu, že tam ten zelený zámeček budu mít, kapišto? -
LDASCZ (neregistrovaný)
Já nepíšu o tom, že to je 100% zaručený, ale o tom, že to něco vyfiltruje. Je to myšleno tak, že ten dejme tomu podvodník když bude zakládat takový web, bude to mít těžší, případně z lenosti to nedokončí.
Není to řešení, ale aspoň to něco omezí a zpomalí.
V případě na který jsem odpovídal bylo zaměřeno na šifrování. -
j (neregistrovaný)
To se neboj, na tom soudruzi z chrozilly uz urcite mohutne makaj, a ty miliardy (nejen)domacich krabek kery nic jinyh nez http neumej kvuli tomu lidi urcite vyhodej a za biliony nakoupej novy ... a nebo budou spokojene pouzivat starou a nezaplatovanou verzi browseru, ktera na ne nebude mit blby kecy.
-
Tak především ty krabičky co neumí nic jiného než HTTP fungovat nepřestanou, jen se při přístupu k nim zobrazí varování, že spojení není zabezpečeno, což je pravda a je podle mě fér o tom uživatele informovat. Důvodem různých varovnání je často to, že se k nim přistupuje přes IP adresu, kterou důvěryhodným certem bez vlastní CA stejně nepokryjete, takže se vlastně nic moc nemění.
A také tyto funkce jde většinou i nějak vypnout (třeba to aktuální varování na http webech s heslem pomocí flagu #enable-mark-http-as).
-
Kkt1 (neregistrovaný)
A jaky ma prosim smysl, ze muj klasicky telefon pripojen v domaci siti s ip 192.168.1.5 na kterem mohu vybrat jedno z 5 vyzvaneni bude potrebovat https? Proc mi jako uzivateli kurvite neco co mi x let funguje a co v podstate nepouzivam jenom kvuli tomu ze https je ted in? Urcite TLS ma smysl na spouste mist na internetu, nebo i v domaci siti, ale kurva jako uzivatel bych mel mit moznost vyberu. Ja nechci pripojovat svuj telefon do internetu jenom kvuli tomu aby si obnovoval treba certifikat, nechci to resit ani ja, chci to jednou za cas pouzit a je mi uprdele ze si soudruzi z xyz mysli ze mi to nema byt u prdele.
-
Ondra Satai NekolaZlatý podporovatelKdyz mas polofunkcni zarizeni, tak halt budes muset odklikavat pokazde varovani...
Nebo mit pro tehle par zarizeni ve vnitrni siti extra browser.
-
Mně se zdá, že v těchto diskusích chybí úvahy nad nějakou zásadou přiměřenosti.
Z hlediska uživatele je určitě HTTPS posun vpřed. O tom nemůže být diskuse.Z hlediska vlastníka obsahu už to tak jednoznačné není. Je spousta webů, kde se žádné citlivé údaje neposílají.
Zdá se mi, že se snažíme udělat digitální svět bezpečnější, než je ten hmotný. Podle stejné logiky bychom měli nejlépe zakázat pohlednice či dopisnice, protože na nich jsou také informace neskryté a lehce do nich může kdokoliv na poště něco dopsat. Pak bychom mohli vyžadovat, aby všechny dopisy chodily jen doporučeně a možná i na dodejku. Nakonec nám bude vadit, že poštovní doručovatel vidí adresáta a zavedeme "novinku" - P. O. boxy!
A proč neposíláme vše doporučeně, na dodejku a do P. O. boxů? Protože je to příliš nákladné a nic navíc to reálně nepřinese. Tam, kde je to potřeba, používají se doporučená a cenná psaní a dodejky.
Pokud se na webech posílají důvěrné informace, měla by to být zejména povinnost provozovatele. Nejprve by se zamyslel nad tím, jestli opravdu takové informace potřebuje přenášet. Teprvde pokud ano, měl by mít stanovenou povinnost zavést ochranu.
Mně nevadí HTTPS, nemám problém ho zavádět ani pro zákazníky. Vadí mi, že je o tom rozhodováno na sílu někým, kdo neponese náklady, ale rozprostře je na každého dalšího. To je špatně ne z technického pohledu, ale z principu.
-
j (neregistrovaný)
Z hlediska uzivatele je to naopak doslova pruser. Protoze jak sem psal vejs, dokud to pouzivaly vicemene jen banky, tak to uzivatel videl tak, ze zamecek = banka = je to OK. Pravdepodobnost, ze by vyznamnejsi cast uzivatelu narazila na web s "duveryhodnym" https tvaricim se jako jejich banka se blizila nule.
Kdyz se dneska zamecek zobrazuje vsude, neni treba ho zobrazovat vubec ... protoze informacni hodnota je nula. Stejne tak samozrjeme dneska i ten nejvetsi bridil co bude chtit rybarit nejaky ty mouly, si na to poridi cert od LE, a bude mit stejne zelenouckej zamecek jako ta banka.
A muzou za to vyvojari browseru, nebot jsou to tardi. HTTPS samo o sobe totiz bezpecnost vubec nijak nezlepsuje, a vzhledem k pristupu prave tehle volu naopak jen a pouze zhrosuje - snazi se totiz prave uzivatelum tvrdit, ze https === bezpeci, coz jednoduse neni pravda (a nikdy nebyla).
-
HTTPS samo o sobe totiz bezpecnost vubec nijak nezlepsuje, a vzhledem k pristupu prave tehle volu naopak jen a pouze zhrosuje - snazi se totiz prave uzivatelum tvrdit, ze https === bezpeci, coz jednoduse neni pravda (a nikdy nebyla).
Já s Vámi souhlasím. Navíc, pokud někdo může provést MITM útok, zejména pokud je na straně "blíž k serveru", pak může i MITM principem získat DV certifikát. Nemluvě o tom, že klíč k získání DV certifikátu je v přístupu ke správě DNS. A poskytovatelé DNS služeb prakticky vždy nabízejí password recovery prostřednictvím e-mailu, který chodí nešifrovaně.
Ano, odbouráme úplné trouby, kteří si někde v cestě (nejčastěji před poslendní mílí) nastaví transparentní proxy a odposlechnou nebo dokonce změní uživateli obsah.
Naopak si vytrénujeme ty, kteří najdou způsoby jak získat certifikáty - popsal jsem metodu MITM a metodu přes password recovery k DNS. Také se asi pomnoží pokusy přimět uživatele, aby si nainstaloval nový, nebezpečný "důvěryhodný" kořenový certifikát.
Prostě títmto postupem vše prodražíme a rizika nevymýtíme, jen je naopak povýšíme na další level. Bude radost řešit útoky MITM, když takový útočník bude mít certifikát, kterému bude uživatel důvěřovat.
-
Filip JirsákStříbrný podporovatel
Proč by šifrování mělo být použité jenom pro citlivé údaje? Napadnout digitální komunikaci je mnohem snazší a méně nápadné, a ochrana je mnohem levnější, než v případě pošty.
Autoři prohlížečů a hlavně uživatelé nesou náklady spojené s útoky využívajícími HTTP, to je z principu také špatně.
Zajímalo by mne, které jsou ty weby, kdy podle vás není nutné šifrovat. To, že se nešifruje, znamená, že může někdo přenášený obsah změnit. Existují podle váš weby, kde nezáleží na tom, zda dostanete obsah poskytovaný serverem nebo něco jiného?
-
Existují podle váš weby, kde nezáleží na tom, zda dostanete obsah poskytovaný serverem nebo něco jiného?
Každé riziko se musí kvalifikovat. Ano, existují weby a služby, kde je úplně šumák, jestli někdo změní obsah, ale PŘEDEVŠÍM, kde není vůbec motivace někoho, aby obsah měnil. Stejně, jako poštovní doručovatel nemá motivaci číst cizí dopisy, a i kdyby měl, je vypátratelný a potrestatelný.
-
Filip JirsákStříbrný podporovatel
Pokud je jedno, že se změní obsah, je klidně možné ten web vypnout, ne? Motivace ke změně obsahu je třeba těžba kryptoměn. V tom, že poštovní doručovatel je vypátratelný a potrestatelný je právě ten rozdíl.
-
Pokud je jedno, že se změní obsah, je klidně možné ten web vypnout, ne? Motivace ke změně obsahu je třeba těžba kryptoměn. V tom, že poštovní doručovatel je vypátratelný a potrestatelný je právě ten rozdíl.
Já vám rozumím, pořád tu vidím dva platné argumenty:
1. toto riziko si může / má posoudit provozovatel obsahu, ne nějaká autorita shůry,
2. těžba kryptoměn formou změny obsahu je stejně hypotetická, jako moje úvahy nad tím, že se změní forma zločinnosti (např. se zaměřením na získání DV certifikátu a poté pro další veselé provozování MITM útoků).Mně to přijde podobně moudré rozhodnutí, jako byly své doby úvahy nad nutností balit čerstvé koblihy do obalu, aby se směly prodávat. Taky to přinese level čistoty (hygieny) navíc. Teoreticky.
-
Filip JirsákStříbrný podporovatel
Vždyť o tom žádná autorita shůry nerozhoduje. Vydávání DV certifikátu se dá zabezpečit podstatně snáze, než koncová míle někde u uživatele – DNSSEC, CAA záznam v DNS, certificate transparency…
-
Vždyť o tom žádná autorita shůry nerozhoduje. Vydávání DV certifikátu se dá zabezpečit podstatně snáze, než koncová míle někde u uživatele – DNSSEC, CAA záznam v DNS, certificate transparency…
Ano, a přesně to jsou nástroje, které umí obsluhovat instalatér, který potřebuje zveřejnit informaci o tom, že opravuje prasklou vodu a že poskytuje služby nonstop. Přesně ten potřebuje, aby jeho jednoduchá HTTP stránka, která nestála skoro ani korunu, napřístě stála každoročně víc a víc, jak budeme nakládat nové technologie. Až jednoho dne, nejen pod tíhou IT, ale i pod tíhou požadavků od státu pověsí živnost na hřebík. Přesně to nám všem prospěje, když ty peníze nebude vydělávat instalatér, ale gigahosteři.
Za sebe volím raději HTTP a raději o pár set korun ročně navíc, co zbude tomu instalatérovi.
-
Filip JirsákStříbrný podporovatel
Neměl by spíš instalatér instalovat vodovodní trubky a webmaster dělat web, než opačně? Proč by měla webová stránka stát ročně víc a víc? Zavedení HTTPS dnes nemusí stát ani korunu.
-
webmaster dělat web, než opačně? Proč by měla webová stránka stát ročně víc a víc? Zavedení HTTPS dnes nemusí stát ani korunu.
Do teď to nepotřeboval a dál tu potřebu necítí. Stejně jako já necítím potřebu vyměňovat vodovodní trubku ve zdi, byť by mi, nepochybně, instalatér vysvětlil, že dnešní trubky jsou mnohem lepší než ty z doby před 30 lety. Dokud mi voda teče a je nezávadná, je mi jedno, jestli je jedná o PVDF, PE-HD, PVC, ocel, měď, nebo potažené olovo.
Je velmi naivní, že něco složitějšího nemusí stát ani korunu. VŽDY to někoho stojí korunu, maximálně může být v něčem skrytá nebo rozpuštěná. Ale s trochou nadsázky, ani elektron Vám drátem neletí zadarmo (a to nemluvím o střídavém proudu, kdy veškeré elektrony poctivě, prakticky hned vracíte dodavateli!!!).
-
Filip JirsákStříbrný podporovatel
Kvůli tomu, že webmaster necítí potřebu aktualizovat, máme mít všichni nebezpečný web? Server taky nebude mít potřebu aktualizovat, takže mu ho někdo hackne, bude rozesílat spam, a všichni z toho máme být happy? Webhoster stejně musí implementovat automatickou obnovu certifikátů kvůli těm, co to chtějí – takže ten instalatér to má zadarmo.
-
Webhoster stejně musí implementovat automatickou obnovu certifikátů kvůli těm, co to chtějí – takže ten instalatér to má zadarmo.
Ano. Přesně tak vypadá náš svět v porovnání s tím před 30 lety. Zadarmo se máme tak dobře, že už nezvládáme platit daně, plnit si všechny povinnosti, ...
U nás v baráku dělají hasiči pravidelné revize. Zkusím jim navrhnout, že když už tu jsou, aby se mi na moji firmu mrkli zdarma. Know how přeci už mají (kvůli mně ho nepořizovali), na místě už také jsou (zaplatil to někdo jiný)...
Fííííha, pane Jirskáku, vím, že nejste žádný pitomec, proto nevěřím, že tohle myslíte opravdu vážně.
-
Filip JirsákStříbrný podporovatel
Já nevěřím tomu, že to myslíte vážně vy. Webhoster má pro své zákazníky nějaký systém, který umožňuje objednat službu, nastavit jí atd. Do tohohle systému implementuje podporu pro Let's Encrypt certifikáty – vyžadují to někteří vaši zákazníci. Jaké náklady bude webhoster mít se zpřístupněním této služby i těm zákazníkům, kteří to nevyžadovali?
Ti hasiči by snad revizi ve vaší firmě zvládli za nulový čas?
-
Jaké náklady bude webhoster mít se zpřístupněním této služby i těm zákazníkům, kteří to nevyžadovali?
Ti hasiči by snad revizi ve vaší firmě zvládli za nulový čas?
Ale o tom jsem mluvil. Po desetníčcích dáváme všechno těm, co to dělají ne ve velkém, ale v gigantickém.
Toho hostera ten výkon, zavádění, upgrade a support technologií také nestojí nulu.Proč nás stojí nová auta takové sumy ne jen při pořízení, ale hlavně na údržbe? Proč auto neopotřebujeme, ale nejčasteji mu nenávratně zdechne nějaká elektronika? Opravdu jezdíme o tolik bezpečněji a dýcháme o tolik lepší vzduch? Opravdu nám cílené pěstování rostlin kvůli přimíchávání biosložky šetří životní prostředí? Určitě nám elktroauta, vozící kila lithia, hrozí méně, než rtuť, kterou nesmíme mít už ani v teploměru? Tomu všemu fakt věříte, že je JEN dobré?
-
Filip JirsákStříbrný podporovatel
Zdá se, že jste vypadl z kontextu diskuse. Nebavíme se o zavádění HTTPS od nuly. Bavíme se o tom, že si dnes instalatér na svém webu zapne HTTPS, aby mu od července prohlížeč nezobrazoval, že komunikace je nezabezpečená. Zavedení, upgrade a support pro toho instalatéra nestojí webhostera vůbec nic, naopak by měl náklady s tím, kdyby to měl speciálně pro toho instalatéra vypínat. Zda to webhostera stojí výkon, nebo zda naopak na výkonu ušetří, asi těžko rozhodneme a nejspíš to závisí na konkrétní situaci.
V případě těch aut je to posun k lepšímu, ale hlavně se to situaci s tím instalatérem a HTTPS nijak nepodobá.
-
Bavíme se o tom, že si dnes instalatér na svém webu zapne HTTPS, aby mu od července prohlížeč nezobrazoval, že komunikace je nezabezpečená. Zavedení, upgrade a support pro toho instalatéra nestojí webhostera vůbec nic, naopak by měl náklady s tím, kdyby to měl speciálně pro toho instalatéra vypínat. Zda to webhostera stojí výkon, nebo zda naopak na výkonu ušetří, asi těžko rozhodneme a nejspíš to závisí na konkrétní situaci.
Tak já jsem se setkal, a ne jednou, že aplikace webu zapnutí HTTPS neunesla, protože interně má natahování obsahu napevno v http schématu. Takže instalatér si bude muset nechat upravit aplikaci. Odhaduji, že v 85 % případů to dopadne tak, že se bude celý web přepisovat, protože už se nikomu nebude chtítí jít do rizik, že za pár stovek bude upravovat web z http na https.
Webhostera tyto legrace stojí peníze, jakákoliv změna = náklady. Vynucení zapnutí https = odhaduji, že bude spíš zdrojem příjmů. A kdo bude ztrácet a kdo profitovat?
V případě těch aut je to posun k lepšímu
V roce 1985 bylo 5,48 mrtvých na 100 nehod se zraněním, dnes je 2,72 mrtvých na 100 nehod se zraněním. Za zranění se dnes považuje už i modřina, v roce 1985 byla metodika trochu jiná. Opravdu jsou vynaložené biliardy (EUR) adekvátní takové změně? Nešly utratit smysluplněni, např. do lepší osvěty, prevence, ..., do něčeho, co by živilo lidi a ne jen automobilové koncerny?
-
Filip JirsákStříbrný podporovatel
Aha, instalatér, který se o svůj web stará sám a neumí si ani v administraci webu zapnut HTTPS, má aplikaci napsanou na míru. To je opravdu věrohodné.
Webhoster ty peníze vynaložil už dříve, když tu technologii zaváděl pro ty, kteří HTTPS chtěli. Náklady s HTTPS pro toho instalatéra nemá žádné, naopak by měl náklady s tím, kdyby mu měl HTTPS znepřístupnit.
-
Aha, instalatér, který se o svůj web stará sám a neumí si ani v administraci webu zapnut HTTPS, má aplikaci napsanou na míru. To je opravdu věrohodné.
Ne, jedná se o instalace bůhví čeho prehistorického, co často funguje 5 i 10 let bez zásahu lidské ruky. I takoví se najdou.
Webhoster ty peníze vynaložil už dříve, když tu technologii zaváděl pro ty, kteří HTTPS chtěli. Náklady s HTTPS pro toho instalatéra nemá žádné, naopak by měl náklady s tím, kdyby mu měl HTTPS znepřístupnit.
To je naivní pohled na svět. Webhostér vynakládá zase nyní náklady na něco jiného, a to zase zaplatít ten instalatér (aby to ti další v budoucnu dostali zdarma).
-
Filip JirsákStříbrný podporovatel
Ne, jedná se o instalace bůhví čeho prehistorického, co často funguje 5 i 10 let bez zásahu lidské ruky. I takoví se najdou.
To ale neznamená, že to musí všichni podporovat. To by si taky mohl ten instalatér vzpomenout, že ty stránky má vlastně ještě v Gopheru, a že tedy musí prohlížeče podporovat tenhle protokol.To je naivní pohled na svět. Webhostér vynakládá zase nyní náklady na něco jiného, a to zase zaplatít ten instalatér (aby to ti další v budoucnu dostali zdarma).
Nemotejte dohromady náklady a cash flow. Pro toho webhostera jsou náklady na zavedení HTTPS pro toho instalatéra nulové, s tím nic nenaděláte. -
Nemotejte dohromady náklady a cash flow. Pro toho webhostera jsou náklady na zavedení HTTPS pro toho instalatéra nulové, s tím nic nenaděláte.
No když myslíte, nechme to při tom.
Já s tím ostatně nic dělat nebudu, mně nedělalo problém na https přejít v minulosti, a u zákazníků na tom můžu jedině vydělat. Vadí mi to jen z principu, ale to už bych se opakoval. -
karlik (neregistrovaný)
To já se vyloženě těším, až zruší a zakážou zobrazování http webových stránek ve všech prohlížečích.
Potom sloučí vydavatele https kořenových certifikátů nejléle na jednoho, důvěryhodného.
Jak jednoduché bude potom rušit webové stránky s nevhodným obsahem!
Konečně bude internet obsahovat pouze obsah plně prověřený a odsouhlasený důvěryhodnými autoritami... -
Potom sloučí vydavatele https kořenových certifikátů nejléle na jednoho, důvěryhodného.
Jak jednoduché bude potom rušit webové stránky s nevhodným obsahem!Já si hlavně myslím, že zafunguje psychologie uživatele. Úplný BFU ne, ale "šťoura od vedle" mu ukáže jak, nebo mu sám přidá nové certifikáty mezi důvěryhodné CA a bude se zavádět HTTPS hlava, nehlava. Výrobci levných krabiček budou dávat návody či přímo instalátory, které tento "problém" "vyřeší". Lidem totiž bude vadit, aby na ně doma svítilo "nezabezpečeno", tak udělají jakoukoliv hovadinu, aby se toho zbavili.
...no a výsledkem bude, že mezi CA budeme mít dřív či později v lepším případě domácí CA, kterým ale uživatelé nebudou rozumět, takže stejně ničemu nepomohou. V horším případě si lidé budou doinstalovávat CA kdejakého čínského výrobce hardwaru, aby jeho webinterface by default nesvítil "červeně".
Příliš rigidní pravidla vedou k tomu, že se přestane následovat účel, všichni se začnou soustředit jen na splění podmínek. Asi jako při měření emisí a dieselgate, tam byl na začátku taky super nápad, zlepšit životní prostředí.
ČLÁNKY DO MAILU