Vlákno názorů k článku Stalo se: Česká pošta neradila správně od Amater - Pro MitM utok na nejake obycejne weby nemusi...

Relativně bezpečný způsob ověření kořenového certifikátu PostSignum je:

1) Stáhnout ho z webové stránky PostSignum

http://qca.postsignum.cz/www/authorities.php

2) Ověřit jeho otisk (fingerprint, miniatura) vůči webové stránce PostSignum (na stránce výše rozbalit radio-button na "Podrobnosti".

3) Ověřit jeho otisk (fingerprint, miniatura) i vůči webové stránce Ministerstva vnitra:

http://www.mvcr.cz/clanek/vysledky-overeni-platnych-kvalifikovanych-systemovych-certifikatu-akreditovanych-poskytovatelu-certifikacnich-sluzeb.aspx

I přes výše uvedená opatření by vám "man in the middle" mohl oboje webové stránky podsouvat. Musel by ovšem spolupracovat s vaším ISP, což u solidních ISP je nerealistické.

Napadnutá může být i vaše firewall nebo proxy - realističnost si musíte zhodnotit sami.

Realističtější možností "man in the middle" je trojan na vašem počítači, který např. přepíše IP adresy v "hosts". Pokud ovšem máte trojského koně místo vašeho operačního systému, tak vám nepomůže ani fyzická návštěva a vyzvednutí certifikátů na poště, neboť si trojan stejně nainstaluje co bude chtít.

Ověření ze dvou zdrojů brání tomu, že někdo unese dva (webové) servery zároveň.

Domény mvcr.cz a postsignum.cz používají i naprosto různé jmenné servery, takže to brání i případu, pokud někdo napadne jmenný server. Napadnout dva jmenné servery současně je velmi obtížné.

Jinak riziko phishingu je poměrně malé, pokud uživatel přesně opíše adresu "postsignum.cz" z rozeslaného papírového materiálu. Valná většina phishingu je založená na tom, že využívá "překlepovou adresu" s nápodobou grafiky.

Dobrou metodou by bylo otisk (fingerprint, miniatura) sdělovat i nějakým jiným způsobem, např. telefonní automat přeříkavající otisk, SMS zpráva zasílaná zpátky apod.

Umím si představit i další, bezpečné způsoby rozšiřování kořenového certifikátu ... zájemci o toto viz kontakt na mne.