Vlákno názorů k článku Skryté vnady protokolu SSL od PaJaSoft - Co ze si mohu ulozit?!

Co ze si mohu ulozit?!

Nevim co tu furt melete, pokud nemate v seznamu autoritu potvrzujici duverihodnost certifikatu, tak se kazdy prohlizec zepta, zda souhlasite a pripadne si certifikat muzete ulozit.

Vidim, ze jste vyuziti certifikatu naprosto nepochopil. Prvni co do oci razi je, ze by prohlizec zustal v klidu... - muzete mi rici, jak byste se dostal k certifiku SERVERu? A co treba overeni identity s kym hovorim? Jo, ze Vase banka to neumoznuje... a proc brecine tady nam?

Neptal se. To je ono. Tak fungují všechny browsery. Možná si můžete přečíst certifikát, který se zobrazí v dolní liště. Možná si ho přečtete poprvé, podruhé, potřetí. Popáté už jen úchyl.

Jen teoreticky: Pak někdo pošle na klientské počítače červíčka, který pár lidem stáhne klientské certifikáty pro tvojebanka.cz (pokud je najde) a dá do lmhost IP www.tvojebanka.cz někam na Kubu, tam si strčí svůj proxy server s vlastním certifikátem, odposlechne si jména a hesla (neboť klient stále vidí bezpečný zámeček dole na liště, https://www.tvojebanka.cz nahoře a prohlížeč mlčí, banka stále funguje...) Iluze bezpečného serveru dokonalá...

No, šlo by to i jednodušeji ...

Je to tak, bud budete duverovat tem korenovym certifikatum kterym duveruje M$, nebo je vymazete a pouzijete jenom ty kterym duverujete Vy. Jinak to nejde.

To ze M$ ,respektive klasicka americka velkohubost a lenost, defraudovala hloupou distribuci pseododuveryhodnych korenovych autorit tento zpusob zabezpeceni prece neznamena, ze jde o spatny princip.

Jen ho proste musite umet pouzivat.

https://secure.reg.net/
- neptal, ale ve spodni liste prohlizece je mozne si prohlednout certifikat

https://www.mojebanka.cz/
- zeptal se, zda duveruji cetrtifikatu, funguje pres javu

https://www.aliaweb.cz/
- neptal, ale ve spodni liste prohlizece je mozne si prohlednout certifikat

prohlizec firefox ( 1.0.4)

Doctu se tam napr. o Verizonu, ktery je ochoten (=schopen) vydavat identity na cizi subjekty (afera Microsoft nebyla jedina)?

K seznameni s politikou CA se da dostat pomerne jednoduse:
http://www.openvalidation.org/en/index.html

> Pokud vymazete seznam trusted CA, pak ocekavam ze kazdy -
> muzete jmenovat ten, ktery tak necini?

Treba links :-) No dobre, to neni zrovna mainstream, ja vim...

Pokud vymazete seznam trusted CA, pak ocekavam ze kazdy - muzete jmenovat ten, ktery tak necini?

Kazdy certifikat nebude nesmyslne rvat, jen bude prohlizec konstatovat, ze protistrana se identifikuje certifikatem, kteremu jste nedal status trusted a prohlizec Vam dava moznost ho za trusted prohlasit - naprosto korektni a ocekavane chovani - jednou se Vam libi, jednou ne, pocitac neni zenska aby se choval dle nalady a kramu...:-)

Opravdu neznam prohlizec, ktery by se me nejdrive zeptal, jestli chci certifikatu duverovat. IE má například desítky bezpečnostních nastavení, ale nikde jsem tam nenašel "Varovat pokud se změní IP adresa či certifikát zabezpečeného serveru". Pak by certifikáty na serveru měly smysl i pro ověření pravosti serveru. Alespoň trochu.

Vás se snad jakýkoliv prohlížeč ptá, jestli chcete důvěřovat certifikátům na níže uvedených URL? Pokud ano, zajímalo by mne, který prohlížeč to je.

https://secure.reg.net/
https://www.mojebanka.cz/
https://www.aliaweb.cz/

Jo, určitě, vymazat trusted CA a vypnout we windows službu, která updatuje seznam trusted CA je jedno z řešení. Kolik lidí o tom ví? A navíc: Pak mi bude úplně nesmyslně řvát každý certifikát, každé ssl, co na počítači mám. A o to taky nestojím.

No ja bych rekl, ze prohlizec se poprve zepta na to, zda-li tomu certifikatu chci duverovat, pokud se zmeni, urcite moji duveru nema = pta se znovu... staci jedine - vymazat Trusted CA (vesmes americke, o jejich policy vime zpravidla uplny kulovy)... - neznam naopak prohlizec, ktery zminenou funkcionalitou neoplyva... - vy ano?

Tomu nerozumím. Který prohlížeč takto funguje? Já jsem takový ještě nepotkal. Všechny, co jsem dotěď používal (IE, NN, Opera, Mozilla, Firefox, winhttp, wininet, ...) jaksi pravost serveru vůbec nezajímá. Kontroluje pouze certifikát vůči CN (+jeho platnost v čase a vydavatele).

Pokud přistupujete na nějaký web, a na něm se změní certifikát, váš prohlížeč si toho zcela jistě nevšimne (Pokud nemáte nějaký prohlížeč, který ještě neznám). Nevšimne si dokonce ani toho, když se kompletně změní DNS, majitel zóny, nameservery, změní se IP adresa www serveru, a na té nové IP adrese bude zcela nový certifikát, který s původním nebude nijak souviset. Váš prohlížeč si zcela jistě ani nevšimne, že nový certifikát vydala úplně jiná certifikační autorita, než ta, která vydala ten certifikát předchozí. A vy s nejvyšší pravděpodobností také ne - pokud ovšem certifikáty nečtete. A aby to bylo bezpečné, tak před přihlášením. Předpokládám, že i kdybych si certifikát četl, nepoznal bych (nevzpoměl bych si), že ten nový byl vydán jinou autoritou, než ten předchozí...

Čili, pokud komunikuji se svojí bankou, tak pevně doufám, že třeba server www.mojebanka.cz či server ib24.csob.cz někdo jakýmkoliv způsobem neukradl a nestrčil si tam svoje průchozí proxy s vlastními certifikáty. A že pokud někdo takový server "ukradne", bude to taková aféra, že se to dozvím dříve, než na tom ukradeném vyplním svoje přístupové kódy.

Naštěstí tohle všichni vědí, a tak je většina kritických aplikací chráněna ještě dalšími pomocnými prvky - klientskými certifikáty (které se také dají snadno ukrást), sms zprávami (ty už se kradou hůře), různými hardwarovými klíči a pod.

Evidentne vubec nevite o cem mluvite. Samozrejme, ze ten autentizator vi co ma, protoze ten autentizator je zarizeni banky a ona ho vydala i nakrmila patricnymi informacemi. Na overeni identity s kym ze to v tu chvili vlastne hovorim to ma _zasadni_ vliv.

Mozna jako vlastnik mobilniho autentizacniho prostredku o podobnych funkcich nemate tuseni (ani nevim, zda-li to nejakou obdobou MEKu vubec ceske banky umoznuji), ja zase naopak presne vim, proc si MEK neporidim a proc se mi vyplati investovat cca 150,- mesicne do _opravdoveho_ zabezpeceni...

Ten autentizator by si musel pamatovat certifikat te banky a overovat shodu s tim, ktery se pouzije pro spojeni coz asi nedela... Takze na overeni identity banky to nema vliv.

Ano, asi umožňuje, pokud bych certifikát pokaždé kontroloval. A to před přihlášením.

Stačí jednou - poprvé. Pak už si ho prohlížeč bude pamatovat.

No jsou banky, kde tu jistotu mate, protoze si prostrednictvim autentizatoru muzete zjistit, zda-li komunikujete s tim s kym si myslite... = nemusite overovat slozite certifikat...

Certifikáty navštívených serverů nestuduji, ale vím, že bych měl. O tom, že SSL umožňuje "ověření pravosti serveru" vím svoje - je to velmi naivní doměnka. Ano, asi umožňuje, pokud bych certifikát pokaždé kontroloval. A to před přihlášením. To bych se musel z toho splašit.

A tak jen doufám, že mé bance (internetovému obchodu, obchodníku s CP ...) "neukradl" nikdo IP adresu a nepodstrčil si tam svůj falešný certifikát, který by můj browser sežral i s navijákem, neboť kontroluje pouze CN ...