Vlákno názorů k článku Zabezpečení na úkor použitelnosti jde na úkor bezpečnosti od Smazaný profil - Přesně. Podvrhávat certifikáty, DNS odpovědi čo vkládat bordel do...

O2 to mimochodem s tím GDPR a podvrháváním http dělá zrovna teď znovu.

S tímhle ale skončíte u toho, že musíte mít přímou linku do servovny poskytovatele služby :). S ISP je samozřejmě problém, ač mám brány v DC, stejně tak potřebuji ISP, který mě aspoň umožní propojení do nixu a tranzitní pásmo, opět tam je mezičlánek, kterému musím věřit. Pro mě má ale již daleko vyšší důvěru než poskytovatel wifi v hotelu.

Přesměrování provozu přes BGP je problém, však se postupně nasazuje ověřování na úrovni protokolu. Pokud jsem v tomhle hodně paranoidní (nebo spravuji vlastní AS), monitoruji ohlášení směrování a mohu na to zareagovat.

Myslím, že se to postupně vyvinulo z doporučení nepoužívat pro citlivé věci cizí zařízení. Toto doporučení dávalo smysl, protože nikdy nevím, jestli na zařízení neběží třeba keylogger. A pokud není účet chráněn 2FA, tak je to opravdu problém. A z toho to nějaký chytrák rozšířil i na veřejné sítě.

No, zrovna u té manimpulace bych si nebyl tak jistý ani u ISP v ČR. Viz nedávná kauza GDPR a O2, kdy ISP unesl http spojení aby zobrazil formulář pro odsouhlasení GDPR. A nebo kauza únosu celých bloků veřejných adres přes Čínu. Co tam s tím provozem dělali raději ani neřekli.

Osobně přistupuji prakticky ke každé "internet" síti jako k nedůvěryhodné, tedy požaduji šifrování a ověřování identity v maximální míře. Byť ta identita bývá často založena také jen na důvěře.

ale u šifrování si musíš být jistý, kdo je na druhé straně, jinak ti také nepomůže

Jistě. Jenže to je úplně stejné u hotspotu někde v nákupním centru, na nádraží, v hotelu - a nebo třeba doma nebo v práci. Rozdíl je jen v míře rizika, ne v tom, že by jedno bylo bezpečné a druhé ne, přestože se řada populárních článků snaží takový dojem vyvolat.

pro mě jsou velcí ISP v ČR důvěryhodní a tolik se nebojím, že mi pakety doručí jinám nebo s nimi budou tajně manipulovat

Já tuhle slepou důvěru ve všechny hopy po cestě nemám - tím spíš, že obvykle ani s jistotou nevím, které všechny to jsou. Takže se i doma při přístupu na služby, kde mi na bezpečnosti záleží (třeba Internet banking nebo přihlašování na mé servery) chovám stejně, jako bych byl na nějakém tom pochybném hotspotu.

ale u šifrování si musíš být jistý, kdo je na druhé straně, jinak ti také nepomůže. Poslední míle je vždy velice riziko vzhledem k výrazné různorodosti.

Samozřejmě musím věřit všem subjektům na cestě, pro mě jsou velcí ISP v ČR důvěryhodní a tolik se nebojím, že mi pakety doručí jinám nebo s nimi budou tajně manipulovat, naproti tomu u Wi-Fi důvěru nemám, ví jak je lze napadnout a obelhat i já.

To, že je to tam nejsnazší, ani v nejmenším neznamená, že bych se jinde mohl chovat, jako by to tam možné nebylo.

Částečně máte pravdu, ovšem veřejná wifi je z celé cesty nejrizikovější bod - tím že je veřejně přístupná je nejsnazší tam páchat nepravosti (kompromitované routery a pod, a tím nemyslím infikované, ale rovnou fyzicky vyměněné - není to teorie, už se to stalo)

Ještě důležitější je IMHO ten opačný směr: proč si ti lidé myslí, že na nějaké neveřejné wifi nebo doma je situace nějak výrazně odlišná? Pokud nemám pod kontrolou celou cestu mezi mnou a protistranou - a to nemám skoro nikdy - musím předpokládat, že se té síti věřit nedá. Implementace jednoho konkrétního úseku té cesty v tom až tak zásadní roli nehraje.