The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Проекты Collusion и HTTPS Everywhere 2.0 для обеспечения безопасности и приватности пользователей в Web

29.02.2012 18:09

Разработчики проекта Mozilla представили проект Collusion, в рамках которого подготовлено дополнение для выявления и наглядной оценки фактов отслеживания перемещений пользователя между сайтами. Дополнение анализирует передачу Cookie рекламным сетям и различным web-сервисам в процессе посещения различных сайтов в сети, размещающих на своих страницах код данных рекламных сетей и сервисов. В итоге, формируется наглядный и интерактивный граф для оценки взаимодействия различных сайтов, позволяющий выявить сторонние сайты, отслеживающие перемещения пользователей. Выявив подобные сайты, пользователь может легко блокировать передачу им идентификационных Cookie при помощи таких дополнений, как TrackerBlock.

Как правило рекламные сети используют данные о посещаемых пользователями сайтах и страницах для повышения релевантности показа рекламы. В будущем планируется расширить функции Collusion возможностью накопления и анонимной отправки данных об отслеживающих перемещения пользователя сервисах на отдельный сайт, на котором планируется сформировать единую базу данных с информацией о состоянии отслеживания перемещений пользователей в глобальной сети. Наглядно оценить возможности Collusion можно на специально подготовленной демонстрационной странице.

Одновременно некоммерческая правозащитная организация Electronic Frontier Foundation (EFF) представила релиз HTTPS Everywhere 2.0 - дополнения к Firefox, позволяющего на всех сайтах где это возможно использовать шифрование трафика. Дополнение призвано решить проблему с сайтами, по умолчанию предоставляющими доступ без шифрования, но тем не менее поддерживающими HTTPS, а также ресурсами, использующими ссылки из безопасной области на незашифрованные страницы. Для таких сайтов HTTPS Everywhere обеспечивает автоматическое перенаправление запросов на HTTPS-области. Проектом поддерживается база данных с набором правил, отражающих особенностей использования HTTPS на сайтах и сервисах, включая ресурсы Google, Wikipedia, Twitter, Flickr, Facebook и еще около 1400 сайтов.

Среди мотивов создания дополнения HTTPS Everywhere отмечаются участившиеся случаи сниффинга в локальных сетях: появление таких инструментов, как Firesheep, сделало доступным для любого желающего процесс перехвата паролей и сессионных cookie к различным социальным сетям и web-сервисам. HTTPS Everywhere также позволяет защититься от участившихся попыток провайдеров вклиниться в трафик клиента, например, некоторые провайдеры были уличены в подстановке своего рекламного контента на открываемые страницы.

В новой версии добавлено 404 новых правила перенаправления на HTTPS-области. Добавлен перевод интерфейса на русский язык. Сформирован экспериментальный вариант дополнения для браузера Chrome. Представлен опциональный режим "Decentralized SSL Observatory", при включении которого производится анализ проблем с шифрованием и корректности оформления SSL-сертификатов. В случае выявления проблем пользователю будет выведено уведомление о наличии риска при работе с текущим сайтом, например, потенциальной возможности проведения атак "man in the middle". Кроме прочего, новая версия позволяет выявить ненадёжные RSA-ключи, как правило используемые в марштутизаторах, точках доступа и VPN-шлюзах, и из-за использования при создании ключа некорректного генератора случайных чисел, позволяющие подобрать закрытый ключ на основе данных о публичном ключе.

  1. Главная ссылка к новости (https://www.eff.org/press/rele...)
  2. OpenNews: Организация Electronic Frontier Foundation представила первый стабильный релиз HTTPS Everywhere
  3. OpenNews: Инициатива по привлечению пользователей к повышению качества поддержки HTTPS
  4. OpenNews: Обновление дополнения для постоянного использования HTTPS в Firefox
  5. OpenNews: Дополнение для постоянного использования HTTPS в Firefox
  6. OpenNews: Представлен первый успешный способ атаки на SSL/TLS
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/33228-privacy
Ключевые слова: privacy, ssl, firefox
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (29) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (-), 19:37, 29/02/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    По моему лучше просто белый список сайтов сделать для кук.
     
     
  • 2.8, dimqua (ok), 21:20, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Так уже давно сделано в самом браузере.
     
  • 2.10, Lain_13 (?), 23:28, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Я себе в фоксе уже давным-давно так настроил. Отдельным сайтам разрешаю сохранять куки на сколько они хотят, другим — лишь в пределах сессии, некоторым вообще только временно включаю не добавляя в исключения, а всё остальное — заблокировано. Расширение Cookie Monster. Замечательно работает даже в ночнушках фокса.
     
     
  • 3.12, dimqua (ok), 00:21, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Без дополнения тоже можно, но муторно.
     
     
  • 4.15, Аноним (-), 09:18, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Я разрешил хранить куки только до конца сессии. Ну и все, новая сессия - чистенький браузер. Элементарная гигиена, типа чистки зубов.
     
     
  • 5.17, dimqua (ok), 09:31, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Если куки с определённых сайтов не нужны, то зачем их вообще принимать?
     
     
  • 6.18, Аноним (-), 10:36, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Затем, что иногда некоторые вещи тупо не работают без этого. Если, конечно, не ходить по десятку сайтов в режиме read-only. Как та монашка с огурцом и парой презервативов.

    Красноглазая паранойя такая паранойя.....

     
     
  • 7.23, dimqua (ok), 11:02, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты не так понял. Зачем мне принимать куки с сайтов, с которых мне куки не нужны? С сайтов, где мне требуются куки, я их принимаю.
     
  • 3.14, Аноним (-), 05:52, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Еще есть Request Policy, который блокирует запросы к другим доменам
    Ну и ReferelControl + Redirect Remover + выпилинивание всяких browser.safebrowsing.
    Вот и набор параноика готов.
     
     
  • 4.16, Аноним (-), 09:19, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > выпилинивание всяких browser.safebrowsing.

    А просто отключить в настройках в гуятине - это слишком просто, да? :)


     

  • 1.2, Хм8230 (?), 19:39, 29/02/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Разработчики проекта Mozilla представили проект Collusion, в рамках которого подготовлено дополнение для выявления и наглядной оценки фактов отслеживания перемещений пользователя между сайтами.

    Ох, как бы не было это «палкой о двух концах»! Я не разбираюсь, к сожалению, в разработке дополнений к Огнелису, но, думается мне, если получится вытянуть инфу из данного дополнения — Гугл нервно курит в сторонке сос своей тотальной слежной за пользователями!

     
     
  • 2.5, Аноним (-), 20:13, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Но ведь любое дополнение может вытянуть такую инфу и передать её третьему лицу. Не зря же перед установкой пишут "Устанавливайте дополнения только от доверенных источников".
     
     
  • 3.6, Хм8230 (?), 20:45, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Пишут, да. Вот, только, многие ли читают? Я так думаю, 95% просто жмёт «Установить»…
     
     
  • 4.11, Lain_13 (?), 23:30, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Пишут, да. Вот, только, многие ли читают? Я так думаю, 95% просто
    > жмёт «Установить»…

    Некоторые ещё устанавливают всякие VkMus и VkButton, а потом жалуются, что у них реклама даже с адблоком во вконтактике отображается…

     
  • 2.19, Аноним (-), 10:38, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >>Разработчики проекта Mozilla представили проект Collusion, в рамках которого подготовлено дополнение для выявления и наглядной оценки фактов отслеживания перемещений пользователя между сайтами.
    > Ох, как бы не было это «палкой о двух концах»! Я не
    > разбираюсь, к сожалению, в разработке дополнений к Огнелису, но, думается мне,
    > если получится вытянуть инфу из данного дополнения — Гугл нервно курит
    > в сторонке сос своей тотальной слежной за пользователями!

    Да что ты ссышь не по теме?! Собрали блжад сами о себе подробнейшие досье на фконтактиках/фейсбуках, а теперь озаботились прайвиси! Что теперь, как говорите вы, русские, снявши голову по волосам-то рыдать?!

     

  • 1.3, anonn (?), 19:47, 29/02/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    HTTPS Everywhere 2.0 и https://addons.mozilla.org/ru/firefox/addon/https-finder/
    не одно и тоже?
     
     
  • 2.9, dimqua (ok), 21:23, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Нет. Как раз хотел об этом написать -- для того, чтобы более эффективно использовать возможности HTTPS Everywhere и действительно использовать шифрование на _всех_ возможных сайтах (а не только тех, что в списке HTTPS Everywhere), следует использовать его с HTTPS Finder.
     

  • 1.4, YetAnotherOnanym (?), 19:48, 29/02/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > дополнения HTTPS Everywhere

    А дополнения "Cryptoaccelerator to all servers for free" у них нет?

     
     
  • 2.7, Аноним (-), 21:07, 29/02/2012 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Отключайте HTTPS при определённой нагрузке. Или запустите stunnel с низким приоритетом.
    Работать будет, когда есть возможность.
    Это не самое страшное. Ещё сертификаты за деньги на каждый домен. Впрочем я самодельные поставил, кому надо - welcome.
     
     
  • 3.20, Аноним (-), 10:39, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Отключайте HTTPS при определённой нагрузке. Или запустите stunnel с низким приоритетом.
    > Работать будет, когда есть возможность.
    > Это не самое страшное. Ещё сертификаты за деньги на каждый домен. Впрочем
    > я самодельные поставил, кому надо - welcome.

    Это с какой-такой радости мы должны верить твоим самоподписным сертам, которые неведомо как тобой сгенерированы в openssl? И стопудово без аппаратного рандомизатора?

     
     
  • 4.22, Аноним (-), 10:51, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    И не спорю.
    Но я сделал что мог для любителей HTTPS. Если клиенты принесут валидные сертификаты для своих сайтов - поставлю их. А так не платить же деньги. Да и домены не на меня оформлены.
     
  • 4.26, Аноним (-), 12:39, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Это с какой-такой радости мы должны верить твоим самоподписным сертам, которые неведомо
    > как тобой сгенерированы в openssl? И стопудово без аппаратного рандомизатора?

    Покупные не чем не лучше. А в некоторых случаях только хуже. При обращении к сайту ты постоянно делаешь запрос на проверку сертификата. Во первых это замедляет работу. Во вторых если связь долго не работает то браузер пропускает проверку и доверяет этому сертификату. И в третих несколько центров улучили в продаже кажется мастер сертификатов то есть тех которые в состоянии расшифровать любое соединение которое подтверждает данный центр. Ну и напоследок когда ты используешь центры то ты сам их предупреждаешь когда и куда ты идешь. И вот подумай нафига тебе такая безопасность.

     

  • 1.13, Pilat (ok), 05:39, 01/03/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Единственная засада - куча сайтов имеют https страницы, которые работают только на первый взгляд.
     
     
  • 2.21, Аноним (-), 10:40, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Единственная засада - куча сайтов имеют https страницы, которые работают только на
    > первый взгляд.

    А на какой работают-то?

     
     
  • 3.24, dimqua (ok), 11:08, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Мне попадались сайты, у которых даже сертификат валидный, а когда заходишь на них по https, то видишь пустую страницу или около того.
     
  • 2.25, Аноним (-), 12:10, 01/03/2012 [^] [^^] [^^^] [ответить]  
  • +/
    На уютненьком Лурке картинки по https не грузятся(
     

  • 1.27, Аноним (-), 16:39, 01/03/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    > 404 новых правила

    символично

     
  • 1.28, Pilat (ok), 23:06, 03/03/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В общем пришлось отключить - очень много сайтов, как оказалось, полноценной работы по https не поддерживают, хотя и имеют https версию. Зачем они это делают - одному Админу известно.
     
  • 1.29, Аноним (29), 16:23, 14/05/2013 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    зы барбобиекергуду
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру