| 1.1, Аноним (-), 11:24, 29/01/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> В частности, будет удалён один корневой сертификат Verizon и четыре
> сертификата Symantec.
Спонсор шоу - Verizon и Symantec, которые с удовольствием продадут новые сертификаты своим клиентам :).
| | |
| |
| 2.3, Stax (ok), 11:51, 29/01/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Нормальные конторы (возможно, эти тоже, не проверял) меняют в такой ситуации бесплатно. Например, сертификаты, подписанные sha1 предлагали заменить на подписанные sha256 после того, как гугл и прочие объявили о пометке их как небезопасные в будущем.
| | |
|
| 1.2, Аноним (-), 11:50, 29/01/2015 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
Если не доверять центрам сертификации (а настоящий параноик им доверять не будет никогда), то все сайты можно считать незащищёнными.
Только certificate pinning спасёт мировую рев^W демократию.
| | |
| |
| 2.4, Stax (ok), 11:54, 29/01/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Если не доверять центрам сертификации (а настоящий параноик им доверять не будет
> никогда), то все сайты можно считать незащищёнными.
> Только certificate pinning спасёт мировую рев^W демократию.
Да не, web of trust решает. Встретиться вживую, попить пивка, обменяться сертификатами доверенных центров...
| | |
| |
| |
| 4.6, Stax (ok), 12:56, 29/01/2015 [^] [^^] [^^^] [ответить]
| +/– | |
Не!
Например, я заявляю: "отныне я выдаю настоящие сертификаты! проверяю клиентов лично! Качество гарантирую! Я доверенный центр X - довереннее некуда!".
Выдал компании Y сертификат. К ней заходит клиент Z и видит - сертификат выписан лично X. Задумывается - а можно ли X доверять, вообще? Звонит мне. Я говорю - "не вопрос, приходи, расскажу что и как, пиво не забудь.". Клиент Z приходит ко мне, мы пьем пиво, беседуем, он видит меня - доверенный центр - лично, убеждается что я это я, что я весь такой доверенный и клиентов проверяю, он доволен, я дарю ему отпечаток своего ключа на память.
Он вносит его в список доверенных центров и теперь с уверенностью доверяет сертификату компании Y.
А если я выдам еще сертификат компании Y', то он будет уверен, что кому попало я сертификат не выдал бы, и ему тоже можно доверять. Он же мне доверяет. Мы же с ним пиво пили!
| | |
| |
| 5.7, КО (?), 13:25, 29/01/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
На самом деле все доверяют X не из-за того, что с ним пиво пили, а потому, что Y заплатил X за то, что X порекомендует Y, ну и x, наверное, поделился деньгами с тем, кто рекомендавал X Вам. :)
| | |
| 5.13, Аноним (-), 16:11, 31/01/2015 [^] [^^] [^^^] [ответить]
| +/– |
Если каждый клиент, открывающий по https посещаемый сайт будет пить с тобой пиво, у тебя печень выдержит?
| | |
|
|
|
|
| 1.8, Ilya Indigo (ok), 21:24, 29/01/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 >Владельцам подобных сайтов следует пересоздать сертификат с ключом, размером 2048 бит.
Почему сразу не 4096 бит?
| | |
| |
| |
| 3.10, Аноним (-), 06:48, 30/01/2015 [^] [^^] [^^^] [ответить]
| +/– |
Экспортные ограничения и так сильно ниже, чем любые современные способы шифрования.
4096 не применяется по той простой причине, что 2048 в большинстве случаев достаточно.
| | |
| |
| 4.12, Ilya Indigo (ok), 15:47, 30/01/2015 [^] [^^] [^^^] [ответить]
| +/– |
> Экспортные ограничения и так сильно ниже, чем любые современные способы шифрования.
> 4096 не применяется по той простой причине, что 2048 в большинстве случаев
> достаточно.
1024 в те времена тоже считали достаточным.
А как же рассчитывается критерий достаточности?
| | |
| |
| 5.14, Аноним (-), 19:02, 01/02/2015 [^] [^^] [^^^] [ответить]
| +/– |
>> Экспортные ограничения и так сильно ниже, чем любые современные способы шифрования.
>> 4096 не применяется по той простой причине, что 2048 в большинстве случаев
>> достаточно.
> 1024 в те времена тоже считали достаточным.
> А как же рассчитывается критерий достаточности?
В связи с существованием SSL Bump и SNI весь HTTPS можно целиком считать незащищенным, вне зависимости от разрядности ключей и используемых пар Диффи-Хеллмана.
| | |
| |
| 6.15, Chaser (??), 01:02, 16/02/2015 [^] [^^] [^^^] [ответить]
| +/– |
 > SSL Bump
Что в нём особенного? Типичный MitM. Если у организатора self-signed сертификат, то юзер увидит. Если же CA в браузере юзера - то нет, но это фундаментальная проблема доверия CA.
> SNI
Что в этом плохого?
| | |
|
|
|
|
|
|
