URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 106301
[ Назад ]

Исходное сообщение
"Минобороны США продолжило использование SHA-1 в новых сертиф..."

Отправлено opennews , 12-Янв-16 11:13 
Несмотря на вступление в силу 1 января 2016 года  требований (https://cabforum.org/baseline-requirements/) к удостоверяющим центрам, регламентирующим прекращение использование SHA-1 при формировании цифровых подписей для сертификатов TLS/SSL, Министерство обороны США продолжило (http://news.netcraft.com/archives/2016/01/08/us-military-sti...) формирование заверенных SHA-1 сертификатов, применяемых для организации защищённых соединений к сайтам в доменной зоне ".mil".

<center><a href="http://news.netcraft.com/wp-content/uploads/2016/01/necporta... src="https://www.opennet.me/opennews/pics_base/0_1452585755.png&q... style="border-style: solid; border-color: #e9ead6; border-width: 15px;max-width:100%;" title="" border=0></a></center>

При должной рандомизации серийных номеров сертификатов, использование SHA-1 пока не представляет (https://blog.cloudflare.com/why-its-harder-to-forge-a-sha-1-.../) практически реализуемых угроз, проблемы пока носят теоретический характер. Тем не менее, браузеры уже начали процесс прекращения поддержки SHA-1 и помечают как незащищённые сайты, доступ к которым по HTTPS осуществляется с сертификатом, подписанным SHA-1 и выданным после 1 января 2016 года. Подобная пометка игнорируется сотрудниками при доступе к защищённым областям сайтов .mil, что усыпляет бдительность и вырабатывает привычку не обращать внимание на выдаваемые браузером предупреждения, что создаёт благодатную почву для проведения MITM-атак.


Применительно ко всей Сети, в обиходе находится около 650 тысяч  SSL-сертификатов, использующих SHA-1, но почти у всех из них время жизни истекает в 2016 году. Пока небезопасными помечаются только сайты с сертификатами, выписанным после 1 января 2016 года. В июле в Chrome и Firefox доверие будет прекращено ко всем сертификатам, заверенным с использованием SHA-1, независимо от даты их создания.

URL: http://news.netcraft.com/archives/2016/01/08/us-military-sti...
Новость: http://www.opennet.me/opennews/art.shtml?num=43658


Содержание

Сообщения в этом обсуждении
"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 12-Янв-16 11:13 
Не только. =) Ещё всякие случаи бываюат, может вояке попадется старое устройство и выход срочный понадобится. А с шифрованием оно лучше, хоть с каким. А уже новые будут или использовать новые алгоритмы, или имет внутренние механизмы шифрования поверх SSL.
Это я теоритизирую.

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено XXasd , 12-Янв-16 11:28 
> Не только. =) Ещё всякие случаи бываюат, может вояке попадется старое устройство и выход срочный понадобится.

на старом устройстве -- установлен ли браузер Chrome\Firefox?

если ответ "да":

-- значит устроство *будет* шифровать SHA-256 , не волнуйся об этом.

если овтет "нет":

-- значит запрет на SHA-1 внутри браузеров Firefox\Chrome -- ни как не коснётся этого устройства.


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено papakota , 28-Янв-16 15:37 
> Не только. =) Ещё всякие случаи бываюат, может вояке попадется старое устройство
> и выход срочный понадобится. А с шифрованием оно лучше, хоть с
> каким. А уже новые будут или использовать новые алгоритмы, или имет
> внутренние механизмы шифрования поверх SSL.
> Это я теоритизирую.

Хотелось бы увидеть, где это GI's будут юзать XP без сервис паков...


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 12-Янв-16 11:18 
> усыпляет бдительность и вырабатывает привычку не обращать внимание на выдаваемые браузером предупреждения

... паталогическое перманентное желание браузеров что-то перевести, что-то сохранить или запомнить, обновиться или подтереть браузеру другие какие слюни

А sha1 просто под раздачу попал.


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено АнонимХ , 12-Янв-16 11:30 
Если бы "браузеры" не встраивали кучу блоатваре и, как уже упомянуто, выскакивающую всякую дрянь (дебильные вопросы, подсказки, переводы), им бы было больше доверия. И относились со всей серьезностью к рекомендациям.

А пока все эти потуги убрать дырявое шифрование для рядового пользователя выглядят лишь как очередной баннер "Адоб флешпреел обновился! Скачать без СМС голые писечки! Азазаза!"


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено XXasd , 12-Янв-16 11:31 
> бизнес отказываться от него не стал, а предпочёл отказался от "неработающих" браузеров

завтра вдруг окажется что этот "бизнес" ни кому не нужен.

а точнее -- пользователи, которые через Internet Explorer (с о великим SHA-1) ходят по сомнительным сайтам -- вдруг окажутся весьма бесполезными элементами


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Michael Shigorin , 12-Янв-16 11:43 
>> бизнес отказываться от него не стал
> завтра вдруг окажется что этот "бизнес" ни кому не нужен.

Ага, "бизнес" такой из .mil (и эти ведь "бизнесмены" тоже приходили).


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 12-Янв-16 12:42 
> Минобороны США продолжило использование SHA-1

Уважаемая администрация. Фильтруйте новости! Ном нет никакого дела о том чем пользуются в минобороны США


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено кевин , 12-Янв-16 12:53 
нам нет дела кто продолжает пользоваться ША-1 вопреки запретам если это никто, но если кто-то кое где у нас порой клал на безопасность, значить будем бить калёной кочергой всех кто был причастен!

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Шкурка_от_головки , 12-Янв-16 15:26 
>дела кто
>кое где
>значить

Друзья, я призываю вас писать грамотные и понятные комментарии!


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 13-Янв-16 11:08 
> но если кто-то кое где у нас порой клал на безопасность,....

А у вас это где? В пиндосии? Вы ещё новость про военных Гондураса опубликуйте.


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 12-Янв-16 15:30 
> Несмотря на вступление в силу 1 января 2016 года требований к удостоверяющим центрам, регламентирующим прекращение использование SHA-1 при формировании цифровых подписей для сертификатов TLS/SSL, Министерство обороны США продолжило формирование заверенных SHA-1 сертификатов, применяемых для организации защищённых соединений к сайтам в доменной зоне ".mil".

Несмотря на прекращение поддержки Windows XP 8 апреля 2014, анонимные хаксоры продолжают использовать её и в 2016.


"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 12-Янв-16 16:21 
мб это скин для гтк [/irony]

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 15-Янв-16 00:09 
Поддержку можно докупить при желании.

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 18-Янв-16 06:04 
зато картинка прекрасно иллюстрирует ретроградство виновников появления новости

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Дегенератор , 12-Янв-16 18:21 
Спецом оставили дэзу вбрасывать "продвинутым исследователям".

"Минобороны США продолжило использование SHA-1 в новых сертиф..."
Отправлено Аноним , 13-Янв-16 18:40 
А это не для тех же ребят майкрософт продлял поддержку windows XP?