Вы здесь

Главная › Форум › Сообщество › Gentoo.ru

HTTPS://gentoo.ru

21 марта, 2016 - 10:44 — rayg00n

Парни! А когда будет обновлен православный сертификат для форума?
Может уже пора?

Форум: 
Gentoo.ru
25 августа, 2017 - 17:56 — sspphheerraa

Огнелис начал жаловаться на незащищённое соединение. Сертификат устарел? Или MITM?

25 августа, 2017 - 18:49 — SysA

Поскольку у него

Not after: (24 August 2017, 17:57:00 GMT GMT)

то явно устарел! :)

26 августа, 2017 - 11:08 — evadim

Готово.

28 августа, 2017 - 09:19 — RarogCmex

А почему сразу не перенаправляет на https из дефолтного http?

29 августа, 2017 - 11:52 — SysA

Сейчас сайт работает по принципу "Дело помощи утопающим — дело рук самих утопающих" (С) :)

Возможно я не совсем ясно выразился в первой редакции: имелось ввиду, что у тебя сейчас есть выбор, а данные здесь не настолько критичные, чтобы форсировать шифрование.

Лично я предпочитаю простой HTTP, если нет нужды в скрытии данных и/или реальном ограничении доступа, ибо не люблю SSL-технологию, поскольку она создает иллюзию безопасности, но не обеспечивает ее на самом деле.

29 августа, 2017 - 15:25 — Anarchist

SysA написал:
…не люблю SSL-технологию, поскольку она создает иллюзию безопасности, но не обеспечивает ее на самом деле.

Хрестоматийная дилемма «удобство vs безопасность».

«Не обеспечивает безопасность» не сама технология SSL, а её оптимизация под прозрачность/простоту/видимость удобства использования пользователем, которому по-хорошему и компьютер ненужен.

—

:wq
--
Live free or die

29 августа, 2017 - 17:23 — SysA

Anarchist написал:
SysA написал:
…не люблю SSL-технологию, поскольку она создает иллюзию безопасности, но не обеспечивает ее на самом деле.

...
«Не обеспечивает безопасность» не сама технология SSL...

Вот именно, что сама! Не будем даже говорить сейчас об относительно коротких ключах, слабом шифровании и ключах в кэше, если сессия не завершилась/обломилась. Достаточно того, что ты по технологии должен доверять сайтам, сертификаты которых выданы так называемыми доверительными сертификационными центрами. Но о том, что им можно доверять, сказал "какой-то дядя", а ты в принципе не можешь никак проверить! Поэтому MITM-атаки реализуются очень просто. В этом и есть принципиальное отличие от более защищенных технологий, например, SSH-технологии, где обмен ключей производится напрямую.

Разумеется в паутине проще и быстрее работать по SSL-технологии, но я бы предпочел с банками, например, работать то SSH-технологии, тем более, что в таком случае передать ключ доверительным путем не составляет проблемы, ибо ты все равно с ними встречаешься для заключения договора.

И таки-да, в случае SSH-технологии, например, анонимность невозможна в принципе, но в случае конфиденциальных данных ее и не должно быть! :)

30 августа, 2017 - 16:53 — Anarchist

SysA написал:
Anarchist написал:
«Не обеспечивает безопасность» не сама технология SSL...

Вот именно, что сама!

Не согласен.
Приглашаю обосновать утверждение на примере правильного сертификата сервера:

        X509v3 extensions:

            X509v3 Basic Constraints: critical

                CA:FALSE

            X509v3 Extended Key Usage: critical

                TLS Web Server Authentication

            Netscape Cert Type: 

                SSL Server

SysA написал:
Не будем даже говорить сейчас об относительно коротких ключах…

Во-первых: длина ключа — не панацея.
Во-вторых: встречал прекраснейшие заявления о том, что в web-де не нужны длинные ключи.

SysA написал:
…слабом шифровании и ключах в кэше, если сессия не завершилась/обломилась.

Вопрос в культуре разработки. И общей модели.

SysA написал:
Достаточно того, что ты по технологии должен доверять сайтам, сертификаты которых выданы так называемыми доверительными сертификационными центрами.

Та самая адаптация технологии под кдобство и прозрачность для пользователя.

SysA написал:
Но о том, что им можно доверять, сказал "какой-то дядя", а ты в принципе не можешь никак проверить! Поэтому MITM-атаки реализуются очень просто.

Воспроизводимый сценарий MITM-атаки для правильного сертификата (и модели) в студию!

SysA написал:
В этом и есть принципиальное отличие от более защищенных технологий, например, SSH-технологии, где обмен ключей производится напрямую.

Угу.
Особенно хорошо проработан сценарий компрометации ключа.
Когда он у тебя разнесён по [хорошо если только] десяткам узлов.

SysA написал:
Разумеется в паутине проще и быстрее работать по SSL-технологии, но я бы предпочел с банками, например, работать то SSH-технологии, тем более, что в таком случае передать ключ доверительным путем не составляет проблемы, ибо ты все равно с ними встречаешься для заключения договора.

И таки-да, в случае SSH-технологии, например, анонимность невозможна в принципе, но в случае конфиденциальных данных ее и не должно быть! :)

Авотфиг!
Ты удивишься, но банкстеры простым смертным правильных сценариев не предлагают.
Вероятно из принципа.

—

:wq
--
Live free or die

29 августа, 2017 - 09:28 — Anarchist

RarogCmex написал:
А почему сразу не перенаправляет на https из дефолтного http?

Может по тому, что стоит начать с обоснования целесообразности инвариантного https?

И да, ещё не октябрь [семнадцатого]. ☺

—

:wq
--
Live free or die

13 сентября, 2017 - 16:21 — sspphheerraa

Ещё поиск на сайте сбрасывает https на http

13 сентября, 2017 - 16:23 — sspphheerraa

После отправки сообщения в этой теме - сбрасывает https на http
Аналогично с поиском на сайте

29 августа, 2017 - 16:56 — slepnoga

Ну чего вы докопались до цертов - https://www.ssllabs.com/ssltest/analyze.html?d=gentoo.ru&s=5.45.234.53&latest

Если уже и пинки не помогают, и всех команде *****,то проект нужно просто закрыть и не ***** друг другу моск.

evadim попрошу осторожнее с обсценной лексикой.

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

30 августа, 2017 - 01:07 — evadim

Так ты того, закрыл и ушел. В чем сейчас-то проблема?

30 августа, 2017 - 08:46 — Anarchist

evadim написал:
Так ты того, закрыл и ушел. В чем сейчас-то проблема?

Всё же написано…
Во-первых, не выключен SSLv3.
Во-вторых — ревизуй список используемых шифров. См. https://blog.cloudflare.com/yet-another-padding-oracle-in-openssl-cbc-ciphersuites/

—

:wq
--
Live free or die

30 августа, 2017 - 10:31 — evadim

Anarchist написал:
Всё же написано…

А мой ответ совсем не про это, это то понятно вполне.

30 августа, 2017 - 16:52 — SysA

Поскольку параллельно существует открытый (HTTP) доступ, то требования к безопасности сертификатов абсолютно перпендикулярны! :)

Хотя, конечно, из уважения к профессии и уровню своего мастерства как бы надо соответствовать невзирая на...

31 августа, 2017 - 13:48 — slepnoga

>из уважения к профессии
в 2017-м году вводить пароли на страничке с plain http - это себя не уважать.

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

31 августа, 2017 - 16:55 — SysA

Перечитай мой пост внимательнее и постарайся понять... твой комментарий как бы не в тему.
Подсказка: желающие могут выбрать https!

31 августа, 2017 - 13:47 — slepnoga

Я как юзер сайта,номножко понимающий в настройке https,могу высказать свое мнение о качестве настройки на данном сайте?
Если да - то я высказал.

—

Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)

1 сентября, 2017 - 10:17 — evadim

Понятно, спасибо за замечания и пожелания. Немного резковатый тон меня слегка запутал.

Russian Gentoo Linux Community © 2005—2026
Gentoo — торговая марка Gentoo Foundation, Inc.
Сервер работает под управлением Gentoo Linux
Сайт работает под управлением CMS Drupal