- A hozzászóláshoz be kell jelentkezni
- 4392 megtekintés
Hozzászólások
'nyad meg salakmotoros :/
- A hozzászóláshoz be kell jelentkezni
Szerintem meg dugják oda, ahova nem süt a nap. Vagy mostantól ingyé adja a google az SSL certet ? Költői kérdés, meg puffogás...
--
openSUSE 42.2 x86_64
- A hozzászóláshoz be kell jelentkezni
- A hozzászóláshoz be kell jelentkezni
Köszi! De mint említettem, csak költői volt a kérdés. A puffogás meg inkább arra szólt, hogy meg kell mozdulnom és ssl-ezni a sitejaimat. :D Mondjuk a fenti oldalt konkrétan nem ismertem.
--
openSUSE 42.2 x86_64
- A hozzászóláshoz be kell jelentkezni
Certbot-al kb percek alatt megvan.
Némely tárhely szolgáltatónál van kemény meló vele.
Pl van egy ismerős a mediatemple-nél, neki szoktam segíteni ezt azt. Pl legutóbb belőttem nekik oda a free ssl-t, hát minimum 20-30 perc volt. És 3 havonta valszeg így fog menni. De még az se annyira megerőltető, certbottal pedig lófax.
- A hozzászóláshoz be kell jelentkezni
Köszi, kb. 2 perc alatt össze is lőttem a szervereimmel. Szuper!
- A hozzászóláshoz be kell jelentkezni
Én még nem estem neki. Úgy asszem 25 domainra kellene emiatt SSL cert. Amúgy a nagy részük statikus tartalmat kiszolgáló aldomain. *-ozni lehet ezzel a certborral?
--
openSUSE 42.2 x86_64
- A hozzászóláshoz be kell jelentkezni
Igen, tud wildcard certet is.
- A hozzászóláshoz be kell jelentkezni
Zsír, köszi.
Most vettem észre, hogy "bottal" helyett "borral" sikerült, hát van ez így... Mint tudjuk az éhes disznó. :D
--
openSUSE 42.2 x86_64
- A hozzászóláshoz be kell jelentkezni
És még csak szerda van vagyis még csak csütörtök. mindjárt...
- A hozzászóláshoz be kell jelentkezni
az mondjuk tök jó. Még én se próbáltam ki a csillagosat, de majd valamikor megnézem.
- A hozzászóláshoz be kell jelentkezni
Nekiestem, de a *-osra behányt, hogy "unexpected error", szóval ennyit erről.
--
openSUSE 42.2 x86_64
- A hozzászóláshoz be kell jelentkezni
- A hozzászóláshoz be kell jelentkezni
Ha anno a bolondos dallamokban tudták volna, mekkora márka lesz az ACME... :)
--
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Ha picit több időt szánsz rá mint 2 perc, akkor megoldható az is, hogy mentse valahova egy fájlba és te fűzöd be a vhost-ba. Jelentéktelen oldalaknál nem töltök vele több időt én se, de fontosabbnál azért nem szívesen engedek be egy scriptet a vhost-ba :)
- A hozzászóláshoz be kell jelentkezni
> Mondjuk a fenti oldalt konkrétan nem ismertem.
Kő alatt? ;)
- A hozzászóláshoz be kell jelentkezni
És mindig ingyenes marad ?
- A hozzászóláshoz be kell jelentkezni
Igen.
- A hozzászóláshoz be kell jelentkezni
Én nem találok erről infót. Tudnál adni egy linket ? Ez baromi nehezen hihető a mai világban.
- A hozzászóláshoz be kell jelentkezni
Oké, ez a Let's encrypt. Ha jól értettem (régebben) egy IP-hez, egy domain-hez egy kulcsot adtak. Most pedig azt látom, hogy "2 perc alatt" a python-certbot-apache csomaggal és barátaival egy IP-n több domainhez is lehet tanúsítványt szerezni. Nem félő, hogy a piszok drága tanúsítványokat áruló cégek csesztetni fogják a Let's encryptet?
- A hozzászóláshoz be kell jelentkezni
A "Server Name Indication" (SNI) teszi lehetővé, hogy egy IP cím/port pároshoz több (tetszőleges számú) TLS/SSL tanúsítványt lehessen használni. Ez teljesen független a Let's Encrypt-től. Bármilyen CA-tól igényelhetsz tetszőleges számú tanúsítványt.
A Let's Encrypt a többi CA korábban is létező, domain-validált tanúsítványaival versenyzik. A dolog szabadáras, más CA is adhatja ingyen, és van is néhány CA, aki ad ingyenesen.
- A hozzászóláshoz be kell jelentkezni
Ok, de akkor mondjuk nekem miért lenne jó megvennem a CA-t b*szott drágán? Support? Na, ehhez aztán...
- A hozzászóláshoz be kell jelentkezni
Mert akkor már vehetsz EV certet is akár és meg fog jelenni a cégneved is és az már aztán olyan húdebiztonságos (leszámítva, hogy az átlag usernek fogalma sincs, hogy mitől függ, hogy kinn van a cégnév és az mit jelent és hogy figyelnie kell fontosabb helyeken, hogy kinn legyen a cégnév... arról meg végképp nincs, hogy egyébként a "Fiktív Bank Ltd." feliratú ződ lakat meg a felirat nélküli ződ lakat közt technikai szinten nincs különbség, a "Fiktív Bank Ltd." felirathoz kicsit utánanéztek, hogy tényleg ők kérték-e a certet...)
A supporton felül egyébként valami biztosítás is jár a fizetős certekhez akár millió dolláros nagyságrendig is... (amit gondolom ki is fizetne a kiállító [haha], bár elképzelésem sincs, hogy hogy tudnád igazolni, hogy az ő hibájából történt valami)
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
- A hozzászóláshoz be kell jelentkezni
Mert ők kérnek papírokat is, és ellenőrzik is, hogy kinek adják ki az adott zónához tartozó tanúsíványt. A LE egyszerű, automatizált teszteket csinál, ami viszont nagyon sok helyre elég is.
- A hozzászóláshoz be kell jelentkezni
Na jó, de ezt a felhasználók tudják is? És tudják, hogy ki által aláírt, milyen tartalmú certnek kéne a randomxyz.tldn lennie? Mert ha nem, akkor semmi értelme a plusz ellenőrzésnek.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
- A hozzászóláshoz be kell jelentkezni
Nyilván nem tudják. Valamennyit segít a CAA. De pl. az általam megnézett bankok egyike sem állította be. Persze a CAA se old meg mindent, de legalább bonyolítja az életet.
De erről már volt szó.
- A hozzászóláshoz be kell jelentkezni
Az SSL cert jó ideje ingyen van.
- A hozzászóláshoz be kell jelentkezni
Főleg embedded környezetben tudjuk mire megyünk az ingyenes SSL cert-el.
- A hozzászóláshoz be kell jelentkezni
Hát, egy ingyenes cert-es titkosított forgalom még mindig nagyságrendekkel biztonságosabb, mint egy titkosítatlan...
- A hozzászóláshoz be kell jelentkezni
Kérdés, hogy minden egyes esetben tényleg szükség van-e titkosításra! Hiszen egy névjegy oldalon, ahol se bejelentkezés, se feliratkozás, se semmi paripafax nincs, csak publikus információ, oda mi a brének legyen kötelező?!
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
Privacy témában általánosan mondják "legyen minden titok rólam", ez legyen az alapeset. Az egy dolog, hogy így sem minden titok, majd kifejti valaki ha akarja (hogy egész konkrétan mi látszik a netes forgalmamból https esetén IS).
Másik, hogy hajbazer témáiban merült fel a felesleges https esetek által pazarolt energia kapcsán, hogy processzor szintű támogatás van már ezekre a számításokra, nagyon kis többletmunkáról van szó elvileg (fixme).
- A hozzászóláshoz be kell jelentkezni
> hogy egész konkrétan mi látszik a netes forgalmamból https esetén IS
Egy tipikus HTTPS kérés során egyedül az IP cím látszik, amire csatlakozol (ha nagyon titok, elérakod a CloudFlare-t). Esetleg a DNS query előtte, de arra is van megoldás (DNSCrypt). Minden más titkosítva utazik.
- A hozzászóláshoz be kell jelentkezni
SNI
- A hozzászóláshoz be kell jelentkezni
Igaz.
- A hozzászóláshoz be kell jelentkezni
Azért, hogy az, aki olvassa, biztos lehessen benne, hogy azt olvassa, ami a te gépedből kijött.
Azaz, hogy útközben senki nem nyúlt bele.
Attól, hogy valami publikus információ, az integritása lehet nagyon fontos.
- A hozzászóláshoz be kell jelentkezni
Mi fog engem megakadályozni abban, hogy egy sikeres DNS poison után gyártsak magamnak Let's Encrypt-es certet, és bemutatkozzak, mint Eredeti Oldal?
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
Mármint a Let's Encrypt-et támadod DNS poisoninggel? Sok sikert hozzá :-)
- A hozzászóláshoz be kell jelentkezni
Miért gondolnád lehetetlennek?
- A hozzászóláshoz be kell jelentkezni
Ja, nem gondolom lehetetlennek, de nagyságrendekkel bonyolultabbnak, mint egy sima DNS poisoningot.
- A hozzászóláshoz be kell jelentkezni
Hehe, véletlenül futtass egy bind-et Digis környéken.
- A hozzászóláshoz be kell jelentkezni
Igazság szerint itt jön képbe az, hogy mit kell védeni, és ahhoz milyen komoly hitelesítés szükséges. Ha csak azért kell cert, hogy a nyomi Chrome ne picsogjon, akkor bőven jó a LE. De egy pénzügyi vagy állami szervezet, mittomén, cryptoexchange az jobb, ha nem effélét használ.
- A hozzászóláshoz be kell jelentkezni
Azért ezen felül Salcay-nak igaza van, hogy maga a PKI van elbaszva, mert nem tudod egy-egy CA hatalmát korlátozni pl. megmondani, hogy melyik TLD-kre adhat ki certet. Ha alá van írva és az aláíró cert benne van a trusted store-ban, akkor biztos stimmel.
És persze ezt mindig az ingyenesek ellen hozzák fel, pedig ugyanúgy probléma bármelyik másik szolgáltatónál. Valószínűleg lehetne találni olyan nagy múltú, megbízható és az összes böngésző által megbízott CA-t, amelyik annyira felületesen ellenőriz, hogy kis ügyességgel ki tudj tőlük kérni egy EV certet...
Persze ott van erre az értelmes megoldás (DNSsec + DANE TLS, ami ráadásul több rétegben védene... pl. többek közt pont a DNS poisoning ellen), amit senki nem használ, mert a G nem szereti a decentralizált dolgokat; de nagyon jó, mert a fél világot körbe lehet helyette taknyolni, hogy látszat megoldásokkal (HPKP, CAA record, certificate transparency stb.) egy bizonyos use case (Béla beírja a böngészőbe az oldal címét és megnyitja) néhány attack vector ellen védett legyen.
--
És egyébként Salcay eredeti kérdésére válaszolva: az égvilágon semmi, kivéve, ha a célpontod DNSsec aláírt zónát használ [buktad a DNS poisoningot] és publikál CAA rekordot a saját CA-jával [buktad a "magamhoz irányítom a forgalmukat és a LE kéréseit én szolgálom ki" megoldást, mert az LE már kérni sem fog]. Egyébként pedig az LE (feltehetően szemben több "nagy múltú, megbízható és biztonságos blablabla" CA-val, amelyik DV certet ad, direkt úgy intézi, hogy egy-egy ellenőrzés akárhonnan jöhessen, világ szinten kéne forgalmat elterelned, mert nem tudhatod, hogy honnan várjad)
--
Szép hosszú rejtett subscribe voltam.
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
- A hozzászóláshoz be kell jelentkezni
> DNSsec
127.0.0.53 :)
Bar lehet inkabb :(
---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
- A hozzászóláshoz be kell jelentkezni
jó összefoglaló.
illetve tegyem még hozzá azt, hogy amíg egy cert-et csak egy CA tud aláírni, addig az egész infrastruktúra egy vicc.
elvileg semmi nem akadályozná hogy az SSL rétegben ne az egyeduralkodó x509 tanusítványok legyenek, hanem mondjuk PGP. csak avval kezdték implementálni (aztán latjuk h mennyire sikerült v. mennyire nem). és akkor PGP-vel már aláirathatom több CA-val is a saját certemet.
~~~~~~~~
deb http://deb.uucp.hu/ wheezy yazzy repack
- A hozzászóláshoz be kell jelentkezni
"amíg egy cert-et csak egy CA tud aláírni, addig az egész infrastruktúra egy vicc."
Létezik cross-signed cert, a LetsEncrypt is így ad ki certet, hogy elfogadott legyen, az ő CA certjük keresztaláírt:
https://letsencrypt.org/certificates/
Az IdenTrust keresztaláírta a CA certjüket, így az elfogadott minden elterjedt helyen. Amíg ez nem volt, addig fel kellett venni kézzel a LetsEncrypt CA certet az elfogadott root certek közé.
- A hozzászóláshoz be kell jelentkezni
jogos. rosszul fogalmaztam.
arra gondolok, h legjobb tudomásom szerint azt nem lehet hogy olyan certet tegyek egy site-ra, hogy azoknál is átmenjen a verification akiknél fel van telepítve "A" CA és nincs feltelepítve "B" CA, valamint azoknál is akiknél épp ellentétesen fenn van "B" CA és nincs fenn "A" CA; és "B" nem írja alá "A"-t és "A" sem írja alé "B"-t.
~~~~~~~~
deb http://deb.uucp.hu/ wheezy yazzy repack
- A hozzászóláshoz be kell jelentkezni
Igen, ilyet nem lehet.
Az X.509 tanúsítványok formátuma egy darab issuer-t támogat.
Ugyanígy, sem a PKIX sem a CABR tanúsítványláncok nem engednek meg ilyet a folyamtukban.
Szóval nem csak formátum, hanem folyamatprobléma is van.
Olyat tudsz csak csinálni, hogy ugyanarra az entitásra (weboldalra, cname-re) több tanúsítványt is készítesz, több kibocsátóval.
- A hozzászóláshoz be kell jelentkezni
Hát, CA vs. domain: https://en.wikipedia.org/wiki/DNS_Certification_Authority_Authorization
De gondolom ez sem old meg mindent, csak eggyel arrébb tolták a dögöt a DNS asztalára. Áh, látom, te is írtad.
- A hozzászóláshoz be kell jelentkezni
Azért van néhány ötletem, amivel kárt tudnék okozni az oldal tulajdonosának / megtekintőinek, vagy hasznot magamnak, ha csak úgy belenyúlhatnék a statikus névjegyoldalakba...
- Reklámokat tehetek minden oldalba
- Kicserélhetem az oldal tulajdonosának a reklámait olyan reklámokra, amik nekem hoznak pénzt, nem neki (még csak fel sem tűnik senkinek)
- Hozzáadhatok egy háttérben bitcoint bányászó szkriptet
- Kicserélhetem az oldalon a támogatóknak szóló bankszámlaszámot a sajátomra
- Egy vízszerelő oldalán a telefonszámot kicserélem a szomszéd vízszerelőjére, aki cserébe az így szerzett üzletekből 10%-ot visszacsurgat.
- Vagy mondjuk egy ügyvéd esetén lehallgatom és rögzítem a bizalmas hívásokat azzal, hogy kicserélem a telefonszámot a sajátomra, az szoftveresen automatikusan továbbirányít az eredetire, így senki nem vesz észre semmit, de közben rögzít is mindent. (Ezzel kapcsolatban egy érdekes előadás: https://www.youtube.com/watch?v=5c6AADI7Pb4 6:40-től)
- A hozzászóláshoz be kell jelentkezni
az SSL nem csak a titkosításért felel hanem a hitelességért is, tehát hogy ne tudják a tartalmat útközben módosítani.
~~~~~~~~
deb http://deb.uucp.hu/ wheezy yazzy repack
- A hozzászóláshoz be kell jelentkezni
Pont nálunk gyártanak olyan terméket, ami nem csak HTTPS-ben, de sok másban is azt cserél ki amit akar. Persze, man in the middle, és direkt van odarakva, de meg tudja tenni, hiába SSL.
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
De ezt csak akkor tudod megcsinálni, ha a böngésző és/vagy az OS kulcsai közé felveszed a sajátodat is, amivel újracsomagolod. Ezt csak úgy nem tudod betenni egy random böngésző és egy random szerver közé, mert nem fogod tudni lebontani és újraépíteni a titkosítást.
- A hozzászóláshoz be kell jelentkezni
Ez így van. Viszont, ahogy írtam is, szándékosan van ott az eszköz ahol van, de nem a user teszi oda, hanem pl munkáltató, aki viszont megoldja, hogy ott legyen a megfelelő cert a megfelelő helyen. Zöld lesz minden, és mégis be lesz folyásolva a tartalom.
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
De ezt pont nem a HTTPS ill. az SSL/TLS hibája, hanem a retek PKI-é (gyk.: bárki bármit aláírhat, ha az aláíró "megbízható", akkor ződ; lásd fenn). A fentebb említett DNSSec/DANE TLS-nél ugyanehhez az IANA root kulcsait kéne hamisítanod, akár minden alkalmazásban (mert simán szállíthat bele lehet égetni az alkalmazásba, nem kell nyócszáz standard a "trust store" fogalomra, mert nincs rá szükség - egy trust anchor van, oszt jónap).
BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)
- A hozzászóláshoz be kell jelentkezni
"be lesz folyásolva" - jajj!...
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
- A hozzászóláshoz be kell jelentkezni
Chrome-on nem zöld lesz ilyen esetben (ha munkáltató által konfigurált trust rootot használ egy oldal), hanem egy munkahely ikont mutat: https://i.imgur.com/yAawQ3w.png
- A hozzászóláshoz be kell jelentkezni
Na ja. Remek dolog ez, hogy nem biztonságos a http mosantól. Szépen ki is van írva. Aztán nagyon biztonságos lesz a 3 hónapos letsencrypt-es SSL-es történet.
Végülis :) A user meg majd nézi hogy úúú de szép zőőd, ez tuti biztonságos. :)
félreértés ne essék, nem az SSL ellen vagyok, még csak nem is a letsencrypt ellen. Csak hogy így a chrome kijelenti hogy "nem biztonságos" jelzőt elé rak egy sima http oldal elé, az nem kicsit lehet félrevezető, ugyanígy a "szép zőőd https SSL certes" oldal is lehet félrevezető, mert hát az meg "Biztonságos"nak van jelölve.
Szóval 'nyjuk meg salakmotoros :)
- A hozzászóláshoz be kell jelentkezni
Meg attól, hogy nem biztonságosnak jelöli, még semmilyen probléma nem fog megoldódni, ugyanúgy maradnak a http oldalak, a felhasználó pedig pár nap után ugyanúgy hozzaszokik és leszarja. Látszat cselekvés.
--
"Nem akkor van baj amikor nincs baj, hanem amikor van!"
Népi bölcsesség
- A hozzászóláshoz be kell jelentkezni
Mérleg egyik nyelvében a http-ssl-nélkül, másik nyelvében a "mindenhova ugyan azt a jelszavam használom még olyan webshopba is ahol simán nem titkosítva tárolják a jelszavam ezért fel tudják ők is használni máshol a nevemben való cselekvésre".
Melyik a nagyobb súlyú probléma szerinted? :)
- A hozzászóláshoz be kell jelentkezni
nyilván a második a nagyobb probléma :) Sőt, kontra, lehet hogy az egy olyan webshop aminél még vásárolt SSL CERT van! De azért plaintextben tárolják a jelszavadat :) Milyen jó biztonságos. Míg adott esetben egy http -s oldalon regelsz, ott meg pont hogy nem plaintextben van a jelszavad tárolva. De az nem biztonságos.
brr. ez ilyen se egyik se másik. Mind 2 oldalon félrevezető, http és https -nél is.
- A hozzászóláshoz be kell jelentkezni
"lehet ... olyan ... aminél még vásárolt SSL CERT van!"
Nem ÉS, hanem VAGY. Melyik hibát orvosolnád előbb? Ha a kettő együtt fennáll akkor is, de ha csak egyik helyen ez, másik helyen az, akkor is. Tippre a http oldalak többsége is hash-elt, mert valami keretrendszert használ, míg a https oldalak mögé könnyen elbújik egy phishing oldal bárány bőrben farkasként.
Jelenleg sokkal többet tudunk arról, hogy hogy kell technikai problémákat megoldani, mint emberieket.
- A hozzászóláshoz be kell jelentkezni
Nehéz a döntés...
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
Mégis az egész világ beszél az egyikről, és senki a másikról. Arról beszélnek, hogy jaj, ha feltörik a pinterest-et ÉS voltak olyan sügérek, hogy nem használtak semmi titkosítást, AKKOR baj ha nincs per site jelszavad, közben elfelejtik, hogy mint a huzat úgy rendelnek Kínából okosórát az emberek bizonytalan tulajdonosi hátterű webshopokban a gmail-es email címükkel és gmail-es jelszavukkal. Ami amúgy a facebook-os is. De remélem a paypal-os is.
Kérdés: megoldható-e, hogy a chrome ellenőrizze megadott jelszavam, hogy használtam-e már máshol is, és javasolja, hogy talán ne...?
- A hozzászóláshoz be kell jelentkezni
Google fiókhoz létezik: link
- A hozzászóláshoz be kell jelentkezni
### Más téma:
Oké, hogy próbál az ember mindenhova vagy legalább weblap csoportonként (banking, shopping, tech, stb - ki mt preferál) eltérő jelszavakat használni.
De minden jelszót nem jegyezhetsz meg... ------> Keepassban tárolod az összes jelszavad VAGY Google Password manager-ben/Firefox Cloudban? (Komoly kérdés)
- A hozzászóláshoz be kell jelentkezni
-duplán beküldve
- A hozzászóláshoz be kell jelentkezni
Sajnos pont a nagyobb problémát nem oldja meg ez, sőt. A user nyugodtan használja a cleartextstore.com-on a gmailje jelszavát, mert hiszen ott a felirat, hogy a cleartextstore.com az biztonságos. Letsencrypt sem válogat (meg igazából egyik tanúsítvány kiszolgáló sem), a scammer/spammer/haxor ugyanúgy https-t fog használni mint a bankod. Tehát valójában ez semmit nem old meg, a drótón utazó biteket lesz nehezebb lehallgatni, ezért nem a dróton fogják elkapni ezeket hanem az adatközpontban, az adatbázisokból úgyis könnyebb dolgozni, mert szépen strukturáltan vannak tárolva az adatok :)
--
openSUSE - KDE user
- A hozzászóláshoz be kell jelentkezni
Ott tevedtek, hogy azt hiszitek, hogy ez a userek miatt van.
Nem.
Ez azert van, hogy az ISP-k es egyeb MitM-k ne tudjak a Google penzkereseti forrasat, a reklamokat kicserelni a sajatjukra.
Gyakorlatilag megszivatjak az egesz internetet azert, hogy meg tobb profitot tudjanak termelni.
- A hozzászóláshoz be kell jelentkezni
Igaz - de ha ezzel indokolnák, akkor ordas nagy felhördülés lenne, az EU pedig az újabb bírság összegén kezdene gondolkodni, nem azon, hogy miért is veti ki.
- A hozzászóláshoz be kell jelentkezni
Ez eddig is így volt. A patent troll perek, meg az árukapcsolásos perek is csak kifogás zsonglőrködés.
--
Where do you want to go today?
[nobody@salcay:~]$_
- A hozzászóláshoz be kell jelentkezni
Hát ha még azt is hozzá vesszük, hogy - mivel már szinte minden https alapú - háromszor felfejtik a kommunikációt és lecserélik rajta a certet, pont a lényegét veszti el. Ma már az összes security szoftver megteszi ezt, bele értve a hálózati eszközöket is. Szóval pont ugyan úgy a fél világ látja a kommunikáció tartalmát, akár változtathat is rajta. De legalább a paraszt örül neki, hogy van zöld lakatja (ami ma már e miatt pont semmit nem jelent).
Szerintem valójában az egész https mizéria csak egy főpróba volt a Google részéről, hogy mennyire tudja kézben tartani, módosítani az internet felépítését. A súlya miatt látjuk, hogy egész jól.
Zavard össze a világot: mosolyogj hétfőn.
- A hozzászóláshoz be kell jelentkezni
pláne h nem egy usert ismerek akinek a zöld lakat azt is jelenti, hogy az oldalon olvasott tartalom hiteles és igaz: "itt megadhatom az adataimat merthát ződ"
~~~~~~~~
deb http://deb.uucp.hu/ wheezy yazzy repack
- A hozzászóláshoz be kell jelentkezni
kúl dolog lesz embedded device-okon használni, ahol nincs ssl support...
meg a cert revocation amúgy is sucks, chrome meg nem is használ OCSP-t. javítsatok ki.
- A hozzászóláshoz be kell jelentkezni
Van aki böngészőt használ, és van aki Chromeot.
- A hozzászóláshoz be kell jelentkezni
Méghozzá elég sokan vannak: https://netmarketshare.com/browser-market-share.aspx
- A hozzászóláshoz be kell jelentkezni
Tízmilliárd légy nem tévedhet.
- A hozzászóláshoz be kell jelentkezni
...és a kék sarokban felkészül dgeorge az Oil and Gas International rendszergazdája és webfejlesztője.
- A hozzászóláshoz be kell jelentkezni
jaj :D
- A hozzászóláshoz be kell jelentkezni
+1 sirok :D
- A hozzászóláshoz be kell jelentkezni
leszakadhatnatok szegenyrol, mar reg frissitett .NET 4.0.30319 -re:)
Es mostmar minden ssl ami szamit:
https://www.oilandgasinternational.com/SSL_Subscribe/subscribe_us.aspx
---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
- A hozzászóláshoz be kell jelentkezni
Lehet, hogy ez már nem az ő műve... :)
- A hozzászóláshoz be kell jelentkezni
intraneten az ssl cert is meger egy kulon miset, amikor van 4-5 belso ip cim, kivulrol meg egynek latszik.
Ugyanitt webdav/caldav/carddav protokollt betenni reverse proxy moge se olyan feludules.
Meg nem szantam ra magam nginx-et patchelni...
---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....
- A hozzászóláshoz be kell jelentkezni
Emlékeztető: Az összes kiállított ssl cert listája publikus. Tehát ha belső/nem publikus használatra szánt subdomainre kérsz ssl certet, akkor számolj azzal, hogy a botok/scannerek/etc. is meg fogja találni. Ha ez problémát okoz, akkor wildcard ssl cert használata ajánlott.
- A hozzászóláshoz be kell jelentkezni
Jahogy a Google indexelni akar, azert tolja ezt ennyire. Ertheto...
- A hozzászóláshoz be kell jelentkezni
Biztosan az összes? otpbank.hu-ra nem ad semmit.
- A hozzászóláshoz be kell jelentkezni
Ennek egyszerű oka van: az https://otpbank.hu -nak nincs ssl cert-je: (NET::ERR_CERT_COMMON_NAME_INVALID)
Na igen és erről beszéltem, az "include all subdomains"-t bepipálva lehet ilyen érdekességre bukkanni:
- https://piwikpro.otpbank.hu/ - Piwik 3.0.4 statisztikai rendszer !telepítőfelülete!, módosítható config fájlokkal (valószínű RCE egy olyan gépen ami hozzáfér legalább a szerver logokhoz)
- https://vpn.otpbank.hu/+CSCOE+/logon.html#form_title_text - Cisco belépési felület
- https://remote.otpbank.hu/ - Windows Server 2012 remote desktop logon
- Meg még egy csomó random, régi IIS-t futtató gép 404 errorokat dobva
- A hozzászóláshoz be kell jelentkezni
Vicces lesz, az összes router, switch, kütyű, belső IP-s eszközhöz... Nembaj, majd váltanak a rendszergazdák róla.
Mondjuk én eddig se használtam, ezután se fogom.
--
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
A nem túl ősküvületek eddig is leginkább self-signed certtel működtek, meg a szerverek BMC-i is, sose láttam céget, aki foglalkozott volna ezzel. Igazából engem se izgat túlságosan, legfeljebb ha a hülye Javás konzolhoz 15 helyre be kell írni, hogy biztosan használni akarom.
- A hozzászóláshoz be kell jelentkezni