The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Расширение к Firefox 3 для проверки SSL HTTP соединений

25.08.2008 22:52

Для Firefox 3 представлено расширение perspectives, предназначенное для дополнительной проверки SSL HTTP соединений и выявления подставных SSL серверов. При соединении расширение обращается к доверительному внешнему серверу, который дополнительно запрашивает параметры SSL аутентификации открываемого сайта. После чего, независимо полученные параметры локального и внешнего запросов сверяются, что позволяет обнаружить атаки выполняемые через организацию подставного сервера-посредника.

Дополнительно, расширение помогает в работе с сайтами, на которых используются самодельные (self-signed), не заверенные внешним арбитром, сертификаты. Для таких сайтов perspectives автоматически определяет валидность сертификатов, избавляя пользователя от появления надоедливых окон с предупреждениями.

  1. Главная ссылка к новости (http://www.cs.cmu.edu/~perspec...)
Лицензия: CC BY 3.0
Источник: lwn.net
Короткая ссылка: https://opennet.ru/17543-ssl
Ключевые слова: ssl, firefox
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (28) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, yugin (?), 00:09, 26/08/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Если ломать будут "по крупному", то при желании покупка "правильного" сертификата думаю не такая уж проблема. А для остановки мелких кул-хацкеров, наверное подойдет.
     
     
  • 2.24, User294 (??), 18:40, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Если ломать будут "по крупному", то при желании покупка "правильного" сертификата думаю
    >не такая уж проблема.

    Проблема ровно одна - у вас имя сервера при этом будет отличаться от правильного. А это неспортивно.


     

  • 1.3, Ктототаммм (?), 02:31, 26/08/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А "обмануть" этот "доверительный внешний сервер" разве нельзя? При этом я недумаю что этих серверов много и что у них динамический IP...
     
  • 1.4, pavlinux (ok), 03:48, 26/08/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот к примеру что выдает официальный сайт СТРИМА

    > customer.tochka.ru использует недействительный сертификат безопасности.
    > Сертификат действителен только для customer.comstar-direct.ru.
    > (Код ошибки: ssl_error_bad_cert_domain)
    > *   Это может быть проблемой с конфигурацией сервера или же кто-то пытается
    > подменить нужный вам сервер другим.
    > *   Если в прошлом вы успешно соединялись с этим сервером, то возможно
    > эта ошибка является временной. Попробуйте зайти позже.

    Для домена customer.comstar-direct.ru он действителен, а для customer.tochka.ru,
    куда они же ссылаются на сайте tochka.ru - хрен.

    И что теперь, убивать их???

     
     
  • 2.5, GateKeeper (??), 09:07, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    У issa.avtlg.ru аналогичная проблема, там self-signed, но выписан на другой домен (newstat.kuban.ru). А это пользовательский интерфейс биллинга ЮТК :) И ничего, работают.
     
     
  • 3.27, User294 (??), 18:52, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >А это пользовательский интерфейс биллинга ЮТК :)

    А SSL там для галочки?Чисто попонтоваться?

    >  И ничего, работают.

    Функционируют.Гнать таких админов надо, ссаными тряпками и сраной метлой.Хотя-бы потому что современные браузеры с усиленной придирчивостью к SSL на данные сайты как минимум очень матерятся а то и вовсе не конектятся резонно предполагая левак (откуда ж кто знает, фишеры там с именем сервера мухлюют или криворукие админы-идиоты не в состоянии сертификат себе выдать нормальный?).Толку то от такого SSL в итоге?Он аутентификацию сайта в таком виде не обеспечивает, ну смысла в нем в итоге?

     
     
  • 4.29, GateKeeper (??), 13:53, 27/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Ну вот собственно, и пришлось иметь секас в 3-м фоксе с этой хренькой. А про админов... там есть, конечно, очень толковые ребята, проблема их в том, что ЮТК за специалистов не держится. Нисколько. Тем более при помощи оплаты труда.
     
  • 2.11, just_another_anonymous (?), 10:57, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    ибо нехрен на разные сайты один серт пихать
     
  • 2.25, User294 (??), 18:45, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >И что теперь, убивать их???

    Так точно.При том с особой жестокостью.Как и админов регионального МТС, которые мало того что сроду жлобятся на подпись сертификата у верисайнов и тавте всяких, так еще мало того - не могут даже сами себе выдать новый самоподписанный сертификат.Потому что старый у этиз лабухов банально просрочился и браузер вообще верещит (FF2) или по дефолту не конектится (FF3) к такому сайту.Вот скажите, кем надо быть чтобы самому себе самоподписанный сертификат не выпустить при протухании старого?Там вообще кто админит сервера?Стадо бабуинов?

     

  • 1.6, sda (??), 09:45, 26/08/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Все правильно, нефиг выписывать сертификат на другое, отличное от имени сервера. Криворукие админы должны после этого пойти нахуй
     
     
  • 2.7, cyclope (??), 10:07, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Ну, прям-таки. Думаете, это редкость - организации, жалеющие денег на лишний сертификат для доп. домена ?
    Хотя, кто мешал сделать редирект....
     
     
  • 3.8, anonymous (??), 10:19, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Организации, жалеющие денег на свой престиж в виде соответствующего домену сертификата, у меня не вызывают ни доверия, ни симпатий.
     
     
  • 4.9, gdenis (??), 10:45, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Я вынужден работать много с клиент-банками, так вот практически ни у одного из них нет нормальных сертификатов .... включая налоговую с ихним чертовым референтом кстати.
     
     
  • 5.12, winterheart (?), 11:20, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    А с такими банками _вообще_ работать надо запрещать - это не просто нарушение внутренних норм информационной безопасности, это их _отсутствие_. У налоговой другая проблема - она гос. орган, и должна получать сертификат от государственного сертификационного центра. Который должен уже работать лет 7 как. Ну как бы да. Не подумали еще над этим вопросом партийные деятели.
     
     
  • 6.14, Corvax (??), 11:49, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    " это не просто нарушение внутренних норм информационной безопасности, это их _отсутствие_"

    Почему? Вы читали эти _внутренние_ нормы каждого конкретного банка? Проверьте отпечаток ключа в сертификате совместно с банковским работником, добавьте сертификат в хранилище доверенных и работайте спокойно.


    "У налоговой другая проблема - она гос. орган, и должна получать сертификат от государственного сертификационного центра"

    Не уверен насчет именно "государственного сертификационного центра", но таки тот-же Таском работает с вполне себе сертифицированным гос. органами CA КриптоКом'а.

     
     
  • 7.15, Corvax (??), 11:50, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >с вполне себе сертифицированным гос. органами CA КриптоКом'а.

    Ошибся! Следует читать КриптоПро.

     
  • 7.21, winterheart (?), 14:54, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Если нет элементарного подтверждения третьей стороной того, что передо мной - мой банк, а не самопальный хост с фейковыми сертификатами, то о каком доверии может быть речь? Вся суть в том, нужен посредник, который подтвердит "Да, мамой клянусь, это тот, за кого он себя выдает".

    Вся эта криптотехника работает (сюрприз) на собственных сертификатах, максимум на сертификатах производителя в качестве CA. Отечественного CA как не было, так и не предвидится.

     
     
  • 8.23, Corvax (??), 18:18, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Никто не мешает один раз и надолго удостоверится в организации их ли это сертифи... текст свёрнут, показать
     
     
  • 9.28, User294 (??), 18:56, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Ага, а когда админы МТС в регионах мало того что сами себе подписали сертификат ... текст свёрнут, показать
     
  • 5.13, GateKeeper (??), 11:32, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Как бы банк-клиент - это услуга, при которой банк как поставщик клал с прибором на клиента. Потому что, банку эта услуга не упёрлась, трудности от ее не использования будут только и исключительно у клиента, потому как придётся каждую платёжку отвозить лично и выписки забирать лично, а потом еще и обрабатывать вручную. Потому в качестве банк-клиентов пихают всякую фигню, в том числе и унылую. Именно поэтому нет смысла пытаться надавить на банкиров с тем, чтобы они предоставили банк-клиент, к примеру работающий под "правильными ОС", или хотя бы исправить баги в клиенте (который к тому же у практически всех банков купленный со стороны).
     
     
  • 6.16, Corvax (??), 11:58, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Как бы банк-клиент - это услуга, при которой банк как поставщик клал
    >с прибором на клиента. Потому что, банку эта услуга не упёрлась,

    Это не так. Банку как раз эта услуга нужна не меньше, чем клиенту. Любой нормальный коммерческий банк стремится всеми силами завтоматизировать всё что только можно с целью снизить издержки и исключить фактор человеческих ошибок в такой критичной сфере человеческой деятельности, как финансовая.


    >трудности от ее не использования будут только и исключительно у клиента,
    >потому как придётся каждую платёжку отвозить лично и выписки забирать лично,

    В соответствии с нашим законодательствам в области бухгалтерии клиент в любом случае потом
    приезжает и привозит\забирает бумажные документы, которые он должен подшить к своим книгам.


    >а потом еще и обрабатывать вручную. Потому в качестве банк-клиентов пихают
    >всякую фигню, в том числе и унылую. Именно поэтому нет смысла
    >пытаться надавить на банкиров с тем, чтобы они предоставили банк-клиент, к
    >примеру работающий под "правильными ОС", или хотя бы исправить баги в

    Смысл имеет, если есть рынок правильных, как вы выразились ОС, а такового пока не наблюдается. Ну и потом есть примеры кроссплатформенных банк-клиентов: как web-based, так и выполняющихся в JVM. Те, кому это действительно необходимо об этом знают.

     
     
  • 7.17, GateKeeper (??), 12:43, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Перебрали не по моей инициативе порядка 10 банков, некоторые толкают BSS - п... большой текст свёрнут, показать
     
     
  • 8.20, Corvax (??), 14:32, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Вы видимо что-то не поняли Очень странная у вас безопасность, я бы даже написал... текст свёрнут, показать
     
     
  • 9.22, GateKeeper (??), 15:11, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    gt оверквотинг удален Фраза была сгенерировать у себя и выслать НАМ , т е со... большой текст свёрнут, показать
     
  • 7.18, GateKeeper (??), 14:01, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>нет смысла
    >>пытаться надавить на банкиров с тем, чтобы они предоставили банк-клиент, к
    >>примеру работающий под "правильными ОС"
    >Смысл имеет, если есть рынок правильных, как вы выразились ОС, а такового
    >пока не наблюдается.

    Т.е. КриптоПро под линукс есть, а рынка нет?
    http://cryptocom.ru/cryptopacket.html

    Особое внимание уделите списку поддерживаемых ОС.

     
     
  • 8.19, Corvax (??), 14:17, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Я очень хорошо представляю себе список операционных систем поддерживаемых компан... текст свёрнут, показать
     
  • 3.10, Аноним (10), 10:47, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    а зачем тогда вообще нужна эта канитель с сертификатами? Любой, прочитавший ман по openssl сделает такой же за 5 минут (self-signed)
     
  • 3.26, User294 (??), 18:47, 26/08/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Ну, прям-таки. Думаете, это редкость - организации, жалеющие денег на лишний сертификат
    >для доп. домена ?

    В россии много дегенератов которые даже не просто жалеют денег, а даже самоподписанный сертификат валидно сгенерить не могут или не могут продлить себе протухший сертификат.Мочить таких в сортире, ибо толку с такого "secure" ровно нуль.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру