Vlákno názorů ke zprávičce Firefox bude varovat před nezabezpečenými HTTP weby od Miroslav Šilhavý - Je to trochu matoucí, protože HTTPS automaticky neznamená...

Pokud jsem poskytovatel webu, měl bych rozhodnout, jestli celý, či jeho části potřebují být zabezpečené šifrovaným přenosem.
Pokud nějaké části nepotřebují být zabezpečené šifrovaným přenosem, nemusí být na webu vůbec – zřejmě nejsou důležité a ničemu nevadí, když místo nich uživatel dostane něco jiného. Takže na webovém serveru má smysl mít jen věci, které se posílají šifrovaně.

Nic mi nebrání nastavit HTTP redirect na HTTPS.
A útočníkovi zase nic nebrání ten redirect zrušit.

Daleko pravděpodobnější se mi zdá, že mi někdo pošle odkaz na úplně podvržený web, a ten klidně pojede na HTTPS.
Což je ovšem jiný problém. Když chci, tak si tu webovou adresu můžu ověřit, například.

Vynucené opuštění HTTP prostě neřeší skoro nic
Řeší ten problém, že se úplně zbytečně používá nešifrované spojení, přitom to nemá žádný přínos, jenom dost vážné negativní dopady na bezpečnost.

náklady zvedne všem
Ty náklady se limitně blíží nule.

Tak přesměrování nikdo nemůže zrušit, když server na HTTP prostě obsah nepošle a pošle jen a pouze redirect.

To, že jsou náklady rozmělněné, neznamená, že jsou nulové.

Tak přesměrování nikdo nemůže zrušit, když server na HTTP prostě obsah nepošle a pošle jen a pouze redirect.
Zrušit ho samozřejmě může, například tím, že se k původnímu serveru nedostane ani ten požadavek. Můžete si to vyzkoušet – nainstalujte si na svůj počítač webserver, v /etc/hosts si nastavte root.cz na 127.0.0.1 a zkuste si, jestli se z prohlížeče dostanete na http://root.cz a jestli vám server Internet Infa pošle přesměrování.

To, že jsou náklady rozmělněné, neznamená, že jsou nulové.
Nepsal jsme, že jsou nulové, ale že se blíží nule. Jsou zanedbatelné, nemá smysl je řešit, protože je mnoho jiných cest, kde se dá ušetřit řádově víc.

Přesměrování může řešit HSTS preloading - jak jsem psal, to není definitivní řešení, ale přechodová cesta.
Šetřit by se mělo všude, jinak dopadneme jako EU.

Neshodneme se, ale přeju krásné Vánoce!

Mirek

Ne, je to jen příklad, kterému lidé víc rozumějí a je to nádherný příklad toho, jak "dobré" úmysly dokáží zničit dobrou myšlenku.

Přesměrování může řešit HSTS preloading - jak jsem psal, to není definitivní řešení, ale přechodová cesta.
Ano, přechodová cesta k tomu, že HTTPS bude všude.

A nebo taky ne. Třeba se vyvine nějaká jiná technologie, která to překlene. Tomu prostě chce nechat volný vývoj. Za 15 let Vás možná někdo bude negativně hodnotit za to, že jste SSL tlačil zuby nehty, a nechtěl se zamyslet nad pro a proti.

Proč? Pokud vlastník webu provozuje jak HTTP tak HTTPS verzi, tak asi ví, co dělá.
A pokud tu HTTP verzi provozuje útočník, už teprve ví, co dělá.

Nebo snad chcete naznačit, že existuje vektor útoku, kdy si dokážu k nějakému webu, třebas https://rb.cz udělat vlastní web http://rb.cz?
Ano, takový vektor útoku existuje, nazývá se MitM a je to důvod, proč vůbec HTTPS (a jiné šifrované protokoly) vzniklo. Jde o to, že útočník může přesměrovat komunikaci uživatele na svůj vlastní server – např. se mu podaří podvrhnout DNS odpověď, nebo ovládne nějaký router po cestě.

například když místo https://rb.cz bude v emailu https://rb.cn
A nebo bude v e-mailu https://rb.cz. Uživatel se podívá na odkaz, vidí správný odkaz, v prohlížeči pak zkontroluje správnou doménu, ale už mu nedojde, že by měl zkontrolovat ještě protokol.

Pane Jirsáku, on tu nikdo podle mě nezpochybňuje výhody HTTPS jako takového, ani existentní možnost MitM útoků. Pobuřující je, že o tom rozhoduje třetí strana. Poskytovatel obsahu, a částečně příjemce, by se měli dohodnout na úrovni zabezpečení, a prohlížeč a servery by k tomu měly dát pouze nástroje. Tomu se říká svoboda a opaku se říká diktatura. Je lhostejné, jestli se jedná o diktaturu v dobrém úmyslu, či zločinnou. Každý diktát ořezává svobodu lidí, a to je vždy nebezpečné. Nikdy si nemůžete být jistý, jestli takové rozhodnutí nebylo iniciováno, či lobbováno nějakou zájmovou skupinou. Dnes to může být opravdu dobromyslné rozhodnutí, příště to může být zájem nějakého výrobce, či vendora dobře ovládajícího danou technologii, nebo zájem vlády.

Konkrétně v tomto případě platformu PROTI MitM útoku, který jste popsal, zajišťuje HSTS + preloading.

A jak víte, že to např. celé není iniciované nápadem nějakého výrobce SSL akcelerátorů, který může očekávat zvýšený zájem o své výrobky ze strany poskytovatelů? Nebo výrobcem některých serverů? Tomu se říká lobby, a je na hranici toho, co by se mělo připouštět.

Já neříkám, že to tak je, ale být to tak může. Proto se má připouštět absolutní minimum změn, ke všemu nechat dojít svoji dobu, a nic nerozhodovat seshora.

Velmi inspirativní je Velká Británie, kde zákony mění s obrovskou opatrností, právě s respektem k tomu, že zákon má vyjadřovat vývoj ve společnosti. Zákon NEMÁ určovat nebo měnit vývoj.

Jestli chceme svobodu, musíme se všichni smířit s tím, že nám sice nikdo nebude kecat do toho, na co jsme citliví, ale zároveň také nikdo nebude ovlivňovat ani to, co si MYSLÍME, že je dobré.

Jen v této diskusi je vidět, že existuje významné procento těch, kteří násilné zavádění https považují za blbost.

Pobuřující je, že o tom rozhoduje třetí strana. Poskytovatel obsahu, a částečně příjemce, by se měli dohodnout na úrovni zabezpečení, a prohlížeč a servery by k tomu měly dát pouze nástroje.
Jaká třetí strana? Klidně si s poskytovatelem obsahu domluvte, že si webové stránky budete posílat poštovními holuby. Nikdo vám v tom nebrání.

Tomu se říká svoboda a opaku se říká diktatura.
Chápu, že vy byste autorům prohlížečů rád diktoval, co mají dělat – oni jsou ale naštěstí svobodní.

Každý diktát ořezává svobodu lidí, a to je vždy nebezpečné.
Mou svobodu ořezává to, že prohlížeče implementují nešifrované HTTP, a já tak musím pořád hlídat, jestli jsem na HTTPS. Ale je to moje volba prohlížeče, a já dávám přednost té svobodě, že můžu používat už hotový prohlížeč, před svobodou používat prohlížeč bez HTTP. Ona totiž protikladem jedné svobody většinou nebývá diktát, ale jiná svoboda.

Konkrétně v tomto případě platformu PROTI MitM útoku, který jste popsal, zajišťuje HSTS + preloading.
Já jsem schválně psal o případu, kdy jde o stránku, kterou uživatel nikdy nenavštívil. A představa, že budou prohlížeče distribuované se seznamem všech webových serverů na celém světě, mi připadá velmi zvrácená. To je přece proti základnímu principu internetu.