Vlákno názorů k článku
Bajer & Tomek: nejsme programátoři

...je např. skoro zásadní neodpovídání na dotazující se emaily. Buď help email nemějte a nebo odpovídejte!
Nevím už pokolikáté jsem se ptal, proč Centrum zrušilo SSL u přístupu na email (změna designu vedla i ke zrušení tohoto) a nikdy jsem nedostal odpověď. SSL zatěžuje server minimálně...

Bez odpovídání na dotazy si u mě ani Centrum ani jinej portál dobrýjméno neudělá, nezlobte se na mě.

Uz se to probiralo v nekolika jinych diskusich zde na Lupe. Vpodstate jde o to, ze:

1) KOREKTNI implementace SSL neni trivialni. Sehnat certifikat(y) akceptovane defaultni konfiguraci browseru sice neni MOC slozite, ale zcela trivialni taky ne. A stejne uzivateli budou vyskakovat okenka "stranka obsahuje nezabezpecene polozky" kvuli reklamam.

2) Uzivatelu, kteri chteji pouzivat SSL je mizive mnozstvi.

Z kombinace techto dvou duvodu vychazi, ze nez na poradnou implementaci SSL je efektivnejsi naprit sily na jine veci.

Jinak helplinka funguje a na spoustu dotazu odpovida, ale tohle je dotaz trochu mimo :-) (Vysvetlovani takovyhle veci, popravde receno, nema v popisu prace...)

Upozorneni: Tento nazor je muj osobni a v zadnem pripade nevyjadruje stanovisko portalu Centrum.cz.

To ovšem nic neříká o tom, proč když to už vyřešené měli!, že to zrušili, že, a to naprosto bez jakéhokoliv upozornění - a tím si to u mě shodili tuplem.
Ostatně, pokud helplinka nemá v popisu práce odpovědět, když najednou a bez varování zruší SSL, proč se tak stalo, tak to sorry..
Ale mně je to celkem jedno, Centrum používám už jen sporadicky (důvod je pro mě právě SSL, pro někoho nic důležitého, pro někoho docela zajímavá a důležitá funkce - a v blízké budoucnosti myslím že dost zásadní), jinak jsem na Email.cz (vyskakovací okénka mně nevadí, a mimo to, komu to vadí a SSL nechce, používat ho ani nemusí, klasické HTTP funguje taky). Prostředí má na můj vkus dost "přeplácané", narozdíl právě od Centra, POP3 pořád ještě zpoplatněný, ale holt každej máme priority někde jinde.

No, prave ze to vyresene nebylo. Certifikat byl self-signed a ta okynka vyskakovala.

> ale holt každej máme priority někde jinde.

A vo tom to je :-)

ad 1) Pro nekoho je netrivialni i provoz web serveru, pro jineho je nasazeni SSL trivialni.

ad 2) Uzivatele ze nechteji SSL? Tak to je z obchodniho hlediska pekny nesmysl. Spis ho neumite poradne prodat.

ToM

> ad 1) Pro nekoho je netrivialni i provoz web serveru, pro
> jineho je nasazeni SSL trivialni.

No, to zalezi na okolnostech. Samo nasazeni SSL takovy problem neni, ale spis jde o ten certifikat podepsany "duveryhodnou" CA. A problemy s vyskakujicimi okny stejne nevyresite, pokud se nevzdate reklamy...

> ad 2)

Nebo mate ponekud nadnesene predstavy o uzivatelich. Ti se deli na dve skupiny:

1) Odhadem 90% uzivatelu nema o bezpecnosti poneti, pripadne na ni zcela kaslou. Pro ty SSL neni prilis velkou komparativni vyhodou.

2) Lide, kteri tomu rozumi. Jenze tech moc neni a navic mnozi (jako treba ja ;-) nepouzivaji freemaily pro dulezitou komunikaci, takze SSL pro ne taky moc neznamena.

Zbyvaji tedy jenom lide, ktery tomu rozumi a pouzivaji freemaily pro dulezite veci. A tech je opravdu dost malo.

Nerikam, ze by se na to nedali utahnout uzivatele, to zas ano, ale zatim jsou i jine featurky, ktere se daji vyvijet. A je otazka, jestli pri velikosti ceskeho trhu bude mit smysl se na to vubec zamerovat - pokud vim, v zahranici jsou webmaiy (a nektere mozna i free), ktere se na bezpecnost zameruji.

No, to zalezi na okolnostech. Samo nasazeni SSL takovy problem neni, ale spis jde o ten certifikat podepsany "duveryhodnou" CA. A problemy s vyskakujicimi okny stejne nevyresite, pokud se nevzdate reklamy...

Verisign, Thawte?

Spis Thawte, AFAIK ma jedondussi proces. Ja nerikam ze to nejde. Jen, ze to neni moc efektivni ;-)

Michale, mam dojem, ze temi, kterym by melo jit o bezpecnost, jsou predevsim provozovatele freemailu.

Provozovatelum Centra o bezpecnost pochopitelne jde. Jenze bohuzel jsou urcite hranice :-( Sice by bylo pekne zavest vsem SSL a zvysit tak bezpecnost, jenze pokud by uzivatelum na kazde strance vyskakoval box (navic s pro ne nesrozumitelnym hlasenim), tak by Centrum asi brzy prestalo byt druhym nejpouzivanejsim freemailem u nas :-(

Ale on jim NEMUSI vyskakovat. Pokud Centru jde skutecne o bezpecnost, pak prece neni problem dat tech par dolaru za "defaultni" certifikat.

Faktem je, ze Centru (a nejen jemu) nestoji bezpecnost uzivatelu ani za tech par dolaru. To je smutny fakt.

> Ale on jim NEMUSI vyskakovat.

No jak ktery. Ten o nezabezpecenych polozkach se neda odstranit jinak, nez zrusenim reklamy :-(

Ale Michale,
pokud nejste schopni udelat nejakou trivialni http/https proxy branu, pak holt nemate narok na zivobyti :-)

Ach jo....

Prave ze ne trivialni. Ty requesty jsou do jinych reklamnich systemu, ktere https nepodporuji. Jelikoz jsou casto generovany javascriptem, museli bychom delat nejake prepisovatko, ktere by ty odkazy predelavalo na nasi proxy. Ale stejne by mozna byl problem, kdyby ty requesty chodily ze stejne adresy.

Jak bylo receno vyse, nerikam, ze se to neda "nejak" udelat. Problem je v pomeru naklady/uzitek.

Jestli je pro Vás nepodstatná bezpečnost (SSL či SSH je beztak opravdu jen základ bezpečnosti), pak že máte reklamu v JS je pro reklamy už dobrá faux pass, protože ani nějakých 5-10% (zatím) s vypnutým JS - reklama na Centru mě tedy míjí velkým obloukem (nebo na mobilech či PDA nepodporovaným JS) je i ve Vašem "businnesu" hodně mimo mísu resp. 100 let za opicema, stejně jako šetření každého bajtu právě pomocí JS..

Predne nechapu, jak se vam tam dostalo SSH, ktere s tematem vubec nesouvisi ;-)

A bezpecnost pro nas podstatna je, nicmene ne za cenu odchodu vetsiny uzivatelu.

SSH jsem zmínil v obecné souvislosti základní bezpečnosti (např. vzdálené správy počítače). Je to jen o přístupu (stejně jako SSL), samozřejmě, ovšem to je právě ten základ. Dále tu máme PGP, GPG apod., a to už je bezpečnost ve své podstatě.
To "A bezpecnost pro nas podstatna je, nicmene ne za cenu odchodu vetsiny uzivatelu."
Vzhledem k tomu, co jsem už psal (nikdo nikdy uživatele nenutil SSL přístup používat a tedy je nenutil ani nechat si vyskakovat nějaká "ošklivá" okýnka), stále dokola píšete právě důvod, který právě s tématem vůbec nesouvisí (resp. je to pseudodůvod, kterej důvodem nikdy být nemohl, protože by to nedávalo smysl).

Jo, az na ten "drobny" rozdil, ze SSH pouzivaji administratori Centra a SSL uzivatele ;-)

Jinak viz odpoved Martina Zedka.

jeste jednou - je to proxy brana. i obycejnej squid umi vytahnout ne-ssl komunikaci pres ssl (resp je za za tunelem)

Jeste jednou: Mame (nas) server A. Ten posle pres SSL stranku. Pokud ve strance jsou odkazy (byt i na blbe obrazky) na ne-SSL (ne-HTTPS) server B, tak Explorer vyhodi na kazde strance okno s hlaskou, ktere se neda vypnout.

Server B neni nas. Takze opravdu jedine, co muzeme udelat, je prepisovat nejak odkazy...

Takze opravdu jedine, co muzeme udelat, je prepisovat nejak odkazy...

No vidis ... Vzhledem k tomu, ze prakticky stejnou vec dela vetsina anonymizeru, ktere funguji celkem v pohode, tak kde vidis problem? Ze nebude fungovat 1% reklamy, kde si reklamni Flash stahuje vlastni data? Kolik takovych reklam jste v posledni dobe prodali?

Ted mozna kecam (nemam to overene), ale podle mne to dosta casto funguje takto:

Do stranky se da <script src="http://reklamni.server/genjs.asp?param=abc&quot;&gt;. Ten javascript po natazeni a spusteni vygeneruje HTML kod, ktery natahne reklamu.

Takze bychom museli prepsat ten skript a hlavne prepsat URL, ktere vygeneruje, coz nemusi vubec jit...

(A i kdyby slo, tak mi fakt prijde uchylne delat takovehle brikule...)

Ja nerikal, ze je to prace na 5 minut.

Druha vec je to, co je to "casto" a zda to nejde udelat jinak. Vetsina reklamnich systemu je napriklad prizpusobena tomu, ze uzivatel NEMA aktivovany Javascript ... Tedy opravuji - byla uzpusobena pred par mesici, kdyz jsem se tim zabyval :-)

Takze bychom museli prepsat ten skript a hlavne prepsat URL, ktere vygeneruje, coz nemusi vubec jit...

Možná jsem naivní, ale: i Centrum je tak malé, než aby si vynutilo od partnera běh reklamního systému i pod HTTPS/SSL?

Vy vsichni opravdu nerozumite tomu jak vam to pan Kara vysvetlil? On to nemuze napsat jasneji, on musi udrzovat firemni kulturu. Vzdyt to tak krasne napsal -> 07.07.2004, 14:50. Sere na vas pes jak na placatej kamen. To jsem tu psal uz pred valkou kdyz jsem o tom mluvil s panem hejtmanem, urctitym procentem naprosto charakteristicke skupiny se nema smysl jakkoli zabyvat. Rozhoduji uplne jini zakaznici. Kdyby panovalo obecne povedomi, ze airbag je nebezpecny, tak ho proste automobilky prestanou montovat, byt si 1% lidi bude notovat na serveru www.klikova-hridel.cz jaka je to hovadina. A to navic skupina, ktera si nikdy zadne auto nekoupi.

Jste naivni :-)

NEMUZETE PREPISOVAT NIC protoze ten kod tam obvykle pomoci JS vklada nekdo jinej (ad system) a ten stahuje uzivatel, ne vas server. vy mate mi aplikacni proxy na nejvetsi vymeniky (trivialitka) a cele to hnat pres vas s certem *.domena.tld aby to ad-proxy.domena.tld bylo ve vasi domene a jeste podepsane a nemusel to byt webserver ale treba ssl tunel nebo nakopnutej squid.
a ze proxy nejde udelat bych nerekl kdysi jsem to sam zblastlil (pro lynxe a billboard) - a to uz je co rici kdyz to zvladl clovek jako ja :)
no nejaka rezie s tim bude, obecne se da o ssl uvazovat ne jen na fremailu, ono staci poslouchat na nejakem vetsim nodu a uvidite kolik lidi resi SSL - nikdo hesla tam putuji jak na drate. samozrejme nehovorim o zneuziti nejakym providerem nebo zamestnancem ale casto staci zborit nejake AP uzivatelu (treba nedaleko je jedno vydavatelstvi bez WEPu) a mate pristup nejen k schrankam co jejich zamestnanci maji vsude po svete vcetne pristupu do IS (jsou to trubky maji to v PT)

coz takhle postavit starou 1203 dovybavit ji sadou baterii a na viaepia s nejakym 2,5 diskem kam se jednou z ahodinu ulozi data na nejake 2,5 disk aneb muj plan na CAR-WIFI@ETDN hotspot #2 :)

Jak už jsem psal, pro začátek (dokud nebudou donuceni - a brzo - VŠICHNI brát bezpečnost jako základ služeb, a ne jako přídavnou hodnotu) není sebemenší problém používat jak HTTP, tak HTTP s SSL (s vyskočivším okýnkem), jak je komu libo. Do změny designu to tak fungovalo, takže Vaše argumenty jsou mimo a vůbec jsem je zatím nepochopil (ani zarytý mlčení Centra při dotazech PO SKUTEČNÉM DŮVODU, či proč to proboha alespoň nedal vědět, když to ani v helpu nikde není, že už to prostě nefunguje). Těm, co používali SSL, nějaký okno navíc fakt nevadilo a ohánět se tím (zvlášť když uživatelé měli možnost SSL vůbec nepoužívat) je nesmysl.
Prostě je to teď chování stejný jako: MSIE používá 90% lidí, tak na ostatní s...

to nema centrum 1300 na certifikat? nebo na nejaky *.centrum.cz ?

Cena za certifikat je opravdu ta nejmensi polozka.

AFAIK * certifikaty snad ani neexistuji, pouze vicepolozkove (jeden pro vice vyjmenovanych serveru), ale ty nepodporuje Mozilla.

neni to otazka technicka ale ceny - a mate pravdu i implementace v jednotlivych browserech/os

AFAIK * certifikaty snad ani neexistuji, pouze vicepolozkove (jeden pro vice vyjmenovanych serveru), ale ty nepodporuje Mozilla.

Jelikož se v problematice jednotlivých typů certifikátů příliš neorientuji, chtěl bych Vás poprosit o zadání bugu do Bugzilly požadujícího podporu zmíněného typu certifikátu. Odkaz na jeho specifikaci, podporu ve známých internetových aplikacích a případně i odkaz na ukázka ostrého užití by byl jistě užitečný. A pokud mohu poprosit, do cc: dejte aha@czilla.cz. Díky!

Jo, budu se snazit, bohuzel jsem mezitim ztratil odkaz na ono RFC a mozna, ze uz to funguje (bylo to cca 6 mesicu nazpet). Nicmene to zkusim najit a jeste jednou otestovat.

(Jinak OpenSSL ten typ certifikatu podporuje, tim jsem ho vytvoril, takze spis ho akorat Mozilla neumi zpracovat.)

Zkuste otestovat, Mozilla 1.7 zahrnuje novou NSS 3.9.

Odkaz na RFC lze doplnit i později.

A ještě jeden nápad: pokud jsou překážkou pro zavedení SSL reklamy, proč nenabídnout SSL přístup jako placenou službu bez reklam? Použít platební kartu pro platbu přes Internet už pár dní lze.

dni = let, je otazka, jak vhodny ustav sis vybral...:-)

Prosim jen to NE!!!! Wildcard certifikaty jsou prasecina, kterou zase vymyslel nejakej hnup - zacnete premyslet o tom, co to je certifikat, k jakemu ucelu byl vystaven a co od neho MA OCEKAVAT uzivatel - tedy predne ten UCEL, proc vubec neco jako certifikat existuje...

Popravdě řečeno, já mám s helpdeskem Centrumu naprosto opačné zkušenosti. Kdykoliv (bylo to během posledních cca 4 let asi 3 x) jsem měla nějaký dotaz, námitku proti změně nebo připomínku, bylo mi obratem odpovězeno. Od konkértního vysvětlení po obecné poděkování za "zajímavý námět, který snad v budoucnou zužitkujeme". Nicméně vždy do 48 hodin..

Dobry den,

ad helplinka:
promptní a relevantní odpovědi jsou hlavním úkolem naší helplinky (helpline funguje 24 hodin denně během pracovních dní) Mrzí mne, pokud se Vám i přesto z naší helpline dlouhodobě nedostalo odpovědi nebo pokud byla odpověď na Vaši otázku zcela nevyhovující, v takovém případě budeme rádi, pokud použijete druhý komunikační kanál helplinky abychom se o takovém problému dozvěděli a mohli zjednat nápravu.

ad SSL:
SSL podporu jsme zatím nemohli nabídnout v kvalitě jakou bychom si představovali (viz vyskakující okýnka matoucí uživatele atd..) a proto jsme se rozhodli, že ji prozatím v novém designu nebudeme promovat (je ovšem stále přístupná přímým zadáním https://mail.centrum.cz) To, že nám bezpečnost uživatelů není lhostejná se na druhou stranu snažíme ukazovat například zavedením striktnější kontroly hesla, varováním před nebezpečnými java scripty či ochranou před ukradením session.
Podporu SSL jsme rozhodně neodpískali a platí, že v některé z dalších verzí našeho emailu ji chceme opět nabídnout všem uživatelům v lepší kvalitě.

K odpovedi na otazku k SSL blahopreji. Je videt, ze PR mate zvladnute. Faktem zustava, ze centrum neni ochotne investovat do bezpecnosti tolik, aby se uzivatelum chovaly stranky privetive ...

Nicmene to neni zadna ostuda, jen je fer to priznat. Proste se chovate jako user-driven firma. Bohuzel se ukazuje, ze tento pristup je VELMI v rozporu s bezpecnosti (protoze uzivatele proste bezpecnost nechteji).

Ach... takychto userov mam naradsej.

Ked chcete nieco specificke, super, excelentne, tak si zaplatte hosting.

Velke portaly sa prisposobuju POZIADAVKAM drvivej vacsiny. Maximalne 5% ludi vie o existencii SSL. Keby tych 95% o nom vedelo, tak nan aj tak kaslu. Velke portaly preto mozu s kludnym svedomim KASLAT na na SSL.

HOWK

Mozna to je tim, ze sice techto 5% neco konkretniho chce, sranda je v tom, ze dokonce je schopno tyto veci ocenit a zaplatit (coz snad Michal dokazal, ze technicky to neni problem velblouda, jak se snazilo Centrum ukazat), ale mate pravdu, je veci obchodnika jeho dobrovolne rozhodnuti cast svych prijmu radsi venovat konkurenci...

procpak nema centrum jako jedinej freemail SMTP?

ptal jsem se na infolince, ale po nekolik koleckach odpovidani, kdy porad mleli o tom, ze se mam pripojit pres vas dial-up, jsem toho nechal. porad nemohli pochopit, ze se pres dial-up nepripojuji.

No, to mleli spravne ;-) Odchozi SMTP je sluzba poskytovana internetovym providerem.

I kdyz, samozrejme, o nejakem SMTP ve stylu "pop before send" se uz take uvazovalo ;-)

1) nektere SMTP servery dovoluji odeslat jen e-maily provozovane na jejich domenach

2) pokud beham s notebookem mezi 20 LAN, jaky SMTP si mam v Outlooku u Centrum uctu nastavit?

Proste je bez SMTP nabizeny freemail pouze polovicni. Kdybych to pri zakladani vedel, zalozil bych si ji jinde.

> Pokud beham s notebookem mezi 20 LAN, jaky SMTP si mam v
> Outlooku u Centrum uctu nastavit?

To je opravdu asi extremni pripad, ale IP adresu take nemate stale stejnou, ze?

Bod cislo jedna je zcela nepresny a ma znit: "Nektere provozovane konfigurace SMTP serveru dovoluji odesilat maily jen ze specifikovanych domen". Jak jsou specifikovany ci ze to nektere treba nemusi umet prenecham jinym...

Kolego, tohle je doufam ulet... Proc delat neco tak nespolehliveho jako pop before send, kdyz mame SMTP autentizaci naprosto standardni a normovanou? Nebo Vas system (ci spise technici) o tom nema(ji) potuchy?

To i Vase konkurence po nekolia dnech/tydnech na black-listech sla do sebe a neco se naucila..:-)

To byl jen priklad. Nebo si myslite ze jsem tak nevzdelany a o SMTP auth nic nevim? ;-) Dokonce jsem ji uz na jednom firemnim serveur nastavoval.

(IMHO to POP before send je o neco jednodussi pro uzivatele, protoze to od nich vetsinou nevyzaduje zadne nastaveni...)

No jo, jenze pop before send je staven nad zakladnim digmatem end to end komunikace, bohuzel dnesni Internet vypada kapanek jinak...

To presne nevim, co jste tim chtel rict ;-)

Nicmene pro freemail je to ("paradigmaticky") vhodne reseni, nebot uzivatel ten POP pred odeslanim v 99% pripadu dela.

1. Chcete nam tvrdit, ze zamestnanci Vasi hot-line nastupuji v pondeli 0:00 a posledni konci v patek v 23:59? Nebo nam radsi mezi radky sdelujete, ze vlastne nevite, co znamena 24-hodinova podpora?

2. Radi muzete byt za co chcete, nastesti je konkurence dostatecna, takze dotycny pak nema potrebu uzivat Vasi sluzeb, podobne jako ja - nemam potrebu pouzivat Vase sluzby, registruji Vas jen jako subjekt (kapka) v Internetu.

3. Problematika SSL, resp. tech nesmyslu, ktere podle Vas maji uzivatele chranit snad patri do PR ci obecnych Webu pro masu, kde technicke povedomi je mizive, zde pusobite ponekud trapne...:-( (napr. k cemu je mi "striktnejsi kontrola hesla" - co je tim mysleno nechavam bez komentare - kdyz je stejne jednoduse bez sifrovani zachytitelne?)

Dobrý den,

ad 1) ano, helpline začíná v neděli ve 23 hodin a končí v pátek ve 23 hodin. Je tam tedy asi hodinový přesun směrem do víkendu, předpokládám ale, že to jste ve své lehce sarkastické poznámce na mysli neměl...

ad 2) je samozřejmě na vaší svobodné vůli používat jen služby které chcete. Já jsem chtěl jen sdělit, že názory uživatelů nás zajímají a ohlasy, ať pozitivní nebo negativní nám pomáhají při vytváření dalších verzí služeb

ad 3) nejsem pracovníkem marketingu a ani není mým cílem kolem vést PR řeči - mým cílem je služby vylepšovat - souhlasím, SSL přihlašování je dobrá věc a jak jsem již řekl, budeme se snažit jej uživatelům v rozumně fungující formě zpřístupnit, stejně jako mnoho dalších vylepšení, o která si píší. Na druhou stranu, ani další opatření bych úplně nepodceňoval - "odposlechnutí" hesla je jen jeden z mnoha způsobů ohrožení a tak bych i opatření jako vyžadování bezpečnějšího hesla, ochranu před ukradením session kliknutím na odkaz v mailu nebo třeba ochranu před spouštěním nebezpečných javascriptů mohou uživatelům pomoci.

Ad 1) - budiz:-)

Ad 2) - to je samozrejme pravda, na druhou stranu kdyz neco platim (je jedno jakou formou), predpokladam funkcnost a ne byt v pozici betatestera... - pokud jim mam byt, neco za to chci... (dneska neni nic zadarmo, ze si to nekteri neuvedomuji a treba si jen nevazi sveho casu, ktery maji jen "jeden" je jejich vec) S rovnez souvisi jedna vec, pravda, dneska to mozna konkurence nema, zitra ma prvni, pozitri druhy, my budeme mit v dohledne dobe - ale stejne je to k nicemu, protoze Ti, kteri by to fakt chteli uz budou jinde a nevrati se, brand jako takovy je velmi citlive zbozi a tak je treba s nim nakladat, vysvetlovat Vam to ale myslim nemusim...:-)

Ad 3) Muzete mi sdelit jakym zpusobem ukradnete session v HTTPS seanci? Pripadne, jak se timto kanalem (a tedy z duveryhodneho zdroje) da podvrhnout nebezpecny javascript je mi dost zahadou - vite o nejake proveditelnem utoku? Ja ne. Odchytavac klavesnice je jiz opravdu jen a jen problem pitomeho uzivatele a neni snad predmetem teto diskuse (ostatne, vsechna Vami zminena reseni ho naprosto neeliminuji ani nijak neovlivnuji).

Martin Zedek mel "ukradenim session" na mysli zabezpeceni, aby se (pripadny) session identifikator v URL nemohl predat na jine servery.

K tomu ukradeni SSL: Kolik % uzivatelu si myslite, ze by pri prihlasovani odkliklo box s tim, ze certifikat neni duveryhodny a klidne se prihlasili? Podle mne bohuzel hodne :-(

ad 1) no aspoň nějaký úspěch ;-)

ad 2) ad betatester: v principu - neznám výrobek, který by se nedal zlepšit, nebo se mu nedalo něco vytknout. ad konkurence: a také neznám výrobek, ktery by v danou chvíli mohl vyhovovat všem - a proto spotřebitelé výrobky zkoušejí a mění za jiné atd... obávám se ale, že tenhle thread přestává být věcný a zaváni přemírou filozofie, což asi nikdo tady nechce...

ad 3) třeba tak, ze vám pošlu html mail obsahujicí javascript, ktery na pozadí vykoná z vašeho prohližeče nějakou akci (třeba nastaví filtr - přeposílej kopie všech zpráv ke mně - a seanci krást ani nemusím..) - můžete tedy klidně komunikovat přes SSL a stejně vám to v té chvíli nepomůže...

ad: odchytávač klávesnice - bezpečnost se opravdu nedá shrnout do 3 bodů a i to SSL je jen jedna z kapek v moři - o pgp, virech, trojských koních, o tom, že data na disku nemáte teměř určitě kryptovaná bychom si mohli povídat hodiny,ale asi bychom se stejně nikam dál nedostali..

Ad 3) - mluvil jste ale o podvrzeni JS, pokud by to bylo HTTPS, pak nema sanci - bud mu nebude odpovidat hostname (proto nesnasim "podporu" wildcard certifikatu) nebo jina soucast, takze jak jste to myslel? Samozrejme, via nesifrovanou komunikaci lze provest cokoli, proto rikam, ze by to mela byt jedna ze zakladnich podporovanych veci, ve firemnich intranetech to lze realizovat vselijak, ve verejnych sluzbach nikoliv.

Ad bezpecnost - v clanku zaznel edukacni program, kdy jste objizdeli mesta, mozna je prave vhodny cas, zejmena dobre ziveny dialery, trojskymi konmi apod., abyste zase vyjeli mezi lid a provedli osvetu treba v teto oblasti, staci se zamerit na PIN a bankovni konto, na penizky jsou lidi vzdy citlivi...

ad JS) pokud by byl JS přímo součástí mailu, pak se může při jeho zobrazení vykonat... A protože už je v té chvíli na straně klienta, HTTPS s tím již nemá co dočinění - JS v té chvíli může otevřít třeba nějaké nové okno, nebo provést na pozadí nějakou akci (nasimulovat akci uživatele a nastavit zmíněný filtr...). Je to obecný problém při neošetřené zobrazování stránky, do které mohl kdokoliv s kusy html kódu propašovat i nějaký JS...

Pak je to ovsem nevhodna vlastnost zobrazovaciho rozhranni/klienta... - nevim koho napadlo, ze pristup do informacniho systemu (posta) zaroven znamena, ze kdokoli neco posle, tak to bude vykonano - to uz je vetsi dira nez Outlook & spol. sam o sobe. Ano, vim jak to dela vetsina freemailu, z visne jsem nespadl... Taky prvni co v klientovi (MUA) zapinam je, ze veskerou postu hodlam cist/zobrazovat jako prosty text, nic jineho mne nezajima a nevsiml jsem si, ze bych o neco zakazaneho prisel...

s helpline rozhodně problémy nemám, naopak nedávno jsem jeden problém řešil a helpline se ozvala do dvou hodin. Bohužel odpověď mě vůbec neuspokojila, byly to více méně všeobecné řeči. Následoval telefonický rozhovor - opět bez úspěchu. Pracovník linky nebyl schopen odpovědět, ale odkázal mě na svoji nadřízenou. Opakovalo se to samé, můj e-mail, následná nezajímavá odpověď, telefonát a odkaz na odborného pracovníka. A tam to proběhlo do třetice: mail - odpověď na mail a telefonát. A ejhle: odborný pracovník připustil chybu na straně Centra (!) a během pár hodin byl problém odstraněn.
Nebýt té šílené anabáze a odkazování od čerta k ďáblu, tak bych byl navýsost spokojen. Rozhodně však nemůžu tvrdit, že helpline nefunguje - dvakrát dokonce volali oni mně a ne já jim.