Mit érdemelnek azok, akik még mindig ott tartanak, hogy a mail szerverük semmilyen TLS-t nem tud?
- 959 megtekintés
Hozzászólások
Nem kötelező, de mondjuk úgy, hogy illene így 2025-ben...
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
belső hálón mi is így adjuk át egyik smtp-től a másiknak a leveleket. gyorsabb úgy. kifele ilyet biztos nem csinálnánk
4 és fél éve csak vim-et használok. elsősorban azért, mert még nem jöttem rá, hogy kell kilépni belőle.
- A hozzászóláshoz be kell jelentkezni
Belső hálón teljesen OK. Ez public net...
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Mit érdemel az a postás, aki átveszi továbbításra a lebélyegzett levelezőlapot?
- A hozzászóláshoz be kell jelentkezni
Emailben általában komolyabb dolgok mennek, nem csak annyi, hogy "Szia Mama, itt vagyunk a Balatonon, az idő remek, nagyon jól érezzük magunkat! Puszi, Öcsi"
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Látod, amit nekem írtál, az sem kritikus, mégis https alatt jött-ment, tisztára pazarló módon. :-)
Én a gyermekvédelmiterrorizmus ürügyén követelem minden titkosítás megszüntetését, és switchek helyett hubok alkalmazását, hogy bárki ellenőrizhessen bárkit. Free tcp 80! Free nipple!
- A hozzászóláshoz be kell jelentkezni
Emailben általában komolyabb dolgok mennek, nem csak annyi, hogy "Szia Mama, itt vagyunk a Balatonon, az idő remek, nagyon jól érezzük magunkat! Puszi, Öcsi"
persze, ha meg rossz lesz az idő akkor egész nap csak gubbasztanak majd.
- A hozzászóláshoz be kell jelentkezni
Semmit. Mivel a szabávny nem írja elő, nem kötelező. Mivel nem kötelező, nem büntetheted érte őket. Ez egy rövid fórumtopik lesz így, dobj be még valami controversary-t.
- A hozzászóláshoz be kell jelentkezni
...és egy csomó esetben tök értelmetlen erőforrást pazarolni rá, tök publikus cuccoknál semmi haszna nincs annak, hogy titkosítva töltöd le, az ingyenes cert-ek miatt pedig még értelmes védelem sincs, hogy tényleg onnan töltötted-e le, ahonnan akartad... amúgy a keresőmotorok és a böngészők prefereláják, ezért van értelme https szolgáltatni.
- A hozzászóláshoz be kell jelentkezni
Azért a publikus oldalak üzemeltetői sem örülnének ha egy köztes entitás a tartalomban lecserélné az "osztogatnak" szót "fosztogatnak"-ra. :)
Egyébként az SMTP-nél is "bűntet" pl. a Gmail (webmail) megjelöli egy piros bizbasszal ha nem TLS-el ment az MTA- között a levél:
https://support.google.com/mail/answer/7039474?hl=en-GB&ref_topic=72802…
- A hozzászóláshoz be kell jelentkezni
> "bűntet" pl. a Gmail
annyira "imadom" hogy ezek a (majdnem) monopol cegek, google & microsoft buntetgetnek mindenfele miatt... aztan a legacy rendszereket uzemeltetok meg extra szopast kapnak ajandekba. legujabb hogy az o365 megkoveteli az spf-et akkor is, ha van dkim is. de miert? dkim megbizhatobb es jobb, altalaban kibirja a forwardot is szemben az spf-el. a webes buzisagaikrol mar nem is beszelve.
- A hozzászóláshoz be kell jelentkezni
Speciel ennek a "büntetésnek" van értelme.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Az SPF és a DKIM másra való.
- A hozzászóláshoz be kell jelentkezni
Nyilván, hiszen az egyik HBR, a másik meg NBR. :-)
- A hozzászóláshoz be kell jelentkezni
Azért a publikus oldalak üzemeltetői sem örülnének ha egy köztes entitás a tartalomban lecserélné az "osztogatnak" szót "fosztogatnak"-ra. :)
Erre van a checksum ellenőrzés, az SSL egy erőforrásigényes dolog, égetjük a pénzt a semmiért, amikor egy csomó statikus és publikus dolgot SSL csatornán küldünk át.
- A hozzászóláshoz be kell jelentkezni
Erre van a checksum ellenőrzés
Már ha a HTTP tudna ilyet. De nem tud.
- A hozzászóláshoz be kell jelentkezni
Már ha a HTTP tudna ilyet. De nem tud.
Oszt? Lehetetlen belefejleszteni? Vagy a böngészőbe?
- A hozzászóláshoz be kell jelentkezni
A köztes ISP-k profilozása, tartalom alapú QoS stb mind sokkal nehezebb (mondjuk nem lehetetlen) HTTPS-en, szép példa rá:
https://www.mjkranch.com/docs/pubs/CODASPY17_Kranch_Reed_IdentifyingHTT…
Folyamatosan megy a cicaharc a kontent providerek az isp-k és a kormányzati szervek között.
- A hozzászóláshoz be kell jelentkezni
Ez nem a HTTP feladata, mert az jogosan megbízik a TCP rétegben, ami automatikusan használ checksumot.
Ha az alkalmazás még ezen felül akar még egy checksumot, akkor az legyen az alkalmazás gondja.
- A hozzászóláshoz be kell jelentkezni
Ez nem a HTTP feladata, mert az jogosan megbízik a TCP rétegben, ami automatikusan használ checksumot.
Az egy teljesen másik checksum, teljesen más célra. Ha MitM támadás van, akkor a TCP-nek lövése nincs arról, hogy rosszarcú kicserélte a tartalmat, mert TCP szinten minden tökéletes lesz. Akkor tudod, hogy kicserélte, ha alá van írva digitálisan, amit ellenőrizni tudsz vagy van rajta checksum, amit más csatornán kapsz meg és nem tudja kicserélni a rosszarcú.
Ha az alkalmazás még ezen felül akar még egy checksumot, akkor az legyen az alkalmazás gondja.
Erről van szó kb.
- A hozzászóláshoz be kell jelentkezni
"egy csomó esetben tök értelmetlen erőforrást pazarolni rá, tök publikus cuccoknál semmi haszna nincs annak"
Ez azért nem feltétlen igaz. Ott felesleges erőforrást pazarolni rá, ahol az integritás ellenőrzés meg van oldva másképp. Ha letölti a csomagkezelő az rpm-et vagy deb-et, és tudja ellenőrizni, hogy tényleg az-e. Ha letöltöd az ISO-t, és megnézed a checksumot utána, hogy tényleg az az iso érkezett-e hozzád, és valaki út közben nem tett-e bele valami kis trójait.
"az ingyenes cert-ek miatt pedig még értelmes védelem sincs"
Ez hülyeség. Pont ugyanannyi a védelem az ingyenes certen, mint a nem teljesen cég-validált fizetősökön.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Sarki víz/gáz/fűtésszerelő csak informálódásra szolgáló honlapja (nincs reg, és statikus az egész) ugyan mi a francnak lenne https?
Más kérdés, hogy ez mára már egy kb. kihalt műfaj, amióta a facebook-ra költöztek ezek.
- A hozzászóláshoz be kell jelentkezni
Ha mondjuk ki van rá írva, hogy kazán karbantartás 20000 Ft, és ezt valaki út közben átírja 2000-re? Örülsz, kihívod az embert, megcsinálja, majd modja hogy 20000... Te meg mondod hogy 2000 volt. És akkor ha kötcsög vagy, akkor jöhet az, hogy vásárló megtévesztése és hasonló szarakodások.
Vagy fordítva: ő 20000-ért vállalja, de a konkurencia meg belenyúl, hogy te 40000-ret lássál, és így nem őt fogod hívni, azaz magának csinálja a bizniszt.
Tudom, ezek nagyon kisarkított dolgok és témák.... De ugye látszik a lényeg. Bármilyen információ akkor tekinthető validnak, ha biztos vagy benne, hogy ez szerepel ott, és onnan jön. Erre jó a HTTPS.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Erre jó a HTTPS.
Egyrészt nem mindenre jó, másrészt van más technológia is arra, hogy észre vedd, ha nem azt kapod, amit kértél.
- A hozzászóláshoz be kell jelentkezni
Ott felesleges erőforrást pazarolni rá, ahol az integritás ellenőrzés meg van oldva másképp.
Meg lehetne oldani HTTP-n is.
Ez hülyeség. Pont ugyanannyi a védelem az ingyenes certen, mint a nem teljesen cég-validált fizetősökön.
Fel akarsz menni az otpbank.hu oldalra és elírod, az optbank.hu oldalt megvette a rosszarcú, csinált rá ingyenes cert, felépített egy proxy-t a bank felé, a böngésző szerint ez teljesen rendben lesz, téged meg kirabol. Mi ellen véd akkor? :)
- A hozzászóláshoz be kell jelentkezni
Aki egy ilyen csinál, szerinted az tartja vissza, hogy ki kell fizetni 10 000 Forintot egy certért? Nem hiszem...
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
ez igaz. Ma is, pl nagyon sok repo ad http-t is, pont azert mert pl a checkum, vagy a gpg alairas miatt igazabol semmi szukseg a https-re... es amugy sok esetben jobb is, meg ceges kornyezetben is a http repo...
- A hozzászóláshoz be kell jelentkezni
És persze ha a checksum ugyanazon az SSL nélküli oldalon van, akkor nem sokra mész az ellenőrzéssel sem :D
- A hozzászóláshoz be kell jelentkezni
Így van, de ez már más téma.
Emiatt pl. repónál a gpg kulcsot mindig HTTPS-sel adom meg, a csomagok meg jöhetnek HTTP-n.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Miért, ha a szabvány előírja, akkor kötelező?
És milyen szabvány?
- A hozzászóláshoz be kell jelentkezni
Tudom, hogy ez meglepetésként ér sokakat, de a levelezés mint olyan, RFC szabványok által irányított technológia. Mind az SMTP (RFC 5321) mind pedig a levél MIME tartalma (RFC 822 / RFC 2822) elég kötött módon szabályozott dolog. És itt nincs olyan szabadosság, mint a böngészőknél, hogy majd mi jól leimplementálunk belterjes kis háziszabványokat, mert ha azt a levelezők többsége nem támogatja, akkor kiteheted az ablakba.
- A hozzászóláshoz be kell jelentkezni
Van ami pont attól működik, ha kiteszed az ablakba, pl. RFC 1149 és RFC 2549. :-)
- A hozzászóláshoz be kell jelentkezni
mennyire jellemzo, hogy mail szerverek kozotti adatforgalmat lehallgatjak?
mennyire jellemzo, hogy titkokat titkositatlan emailben kuldozgetnek egymasnak?
- A hozzászóláshoz be kell jelentkezni
"mennyire jellemzo, hogy mail szerverek kozotti adatforgalmat lehallgatjak?"
Pont annyira, mint ahogy a kliens-szerver vagy kliens-kliens közti kommunikációt.
"mennyire jellemzo, hogy titkokat titkositatlan emailben kuldozgetnek egymasnak?"
Ugye, mi is a "titok"? Egy emailben érkező 2FA auth? Egy elfelejtett jelszó link? Egy árajánlat, megrendelő? Egy bescannelt szerződés?
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
Pont annyira, mint ahogy a kliens-szerver vagy kliens-kliens közti kommunikációt.
Tökéletes válasz, az ember ebből mindent megtud, ami rá tartozik: semmit.
- A hozzászóláshoz be kell jelentkezni
mennyire jellemzo, hogy mail szerverek kozotti adatforgalmat lehallgatjak?
Most belenéztem a zeek smtp logjaiba, van benne pár .gov.hu-s cucc ami nem látta szükségességét a TLS-nek. Az egyik mondjuk pont elfelejtett jelszós linket küldözget így ami szerintem sem annyira faszányos.
(amiben a három delikvens is egyezik az a JavaMail a Message-ID-ben :))
Ha versenyszféra lennék kiszámláznék még 20 milliárdot beszúrnék egy "mail.smtp.starttls.enable=true" sort. (mert úgy rémlik default az false :))
- A hozzászóláshoz be kell jelentkezni
haaat, attol fugg mikori az a java. mert ha csak valami regi, konnyen torheto titkositot tud, nem vagyunk sokkal beljebb.
neked aztan fura humorod van...
- A hozzászóláshoz be kell jelentkezni
Ha csak levél fogadásra van, és nem kell neki auth, akkor minek?
- A hozzászóláshoz be kell jelentkezni
Nem csak levél fogadására van, ezek fqdn domain-ek publikus MX-ei.
Egyébként meg, teljesen mindegy hogy csak fogadásra van.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
És persze az MX mire való? Fogadásra :D
- A hozzászóláshoz be kell jelentkezni
ezek fqdn domain-ek publikus MX-ei.
Azaz levél fogadására vannak. Ezt jelenti, hogy valami publikus MX.
A relayhost nem kötelezően azonos az MX-szel, és jellemzően nem is szokott az lenni.
- A hozzászóláshoz be kell jelentkezni
kerdes, hogy van-e integritas ellenorzes.
pl. a debian letoltes utan csomagonkent ellenorzi az integritast, johet http-n is.
neked aztan fura humorod van...
- A hozzászóláshoz be kell jelentkezni
Az SMTP alapból erre semmi metódust nem ad, ezért akkora szopás a spam, és ezért kellett mindenféle utólagos meg külső megoldásokat bele/hozzátenni.
"Sose a gép a hülye."
- A hozzászóláshoz be kell jelentkezni
jo, de amikor terveztek, nem gondoltak, hogy mimindenre lesz hasznalva, ezert nem tettek bele az integritas ellenorzest.
nagyobb problema, hogy most, hogy mar tudjak, hogy most mire van hasznalva, most sem minden uzemelteto hasznalja a lehetosegeket.
ha nincs ssl, legalabb dkim legyen.
neked aztan fura humorod van...
- A hozzászóláshoz be kell jelentkezni
Vajon mennyi energiát lehetne megspórolni, ha 10 éven keresztül a világ összes levele hanyagolná a titkosítást és plain text -ben utaznva, kivéve azokat ahol a tudatos felhasználó PGP titkosítást használ? Mennyire lassabban melegedne a föld?
- A hozzászóláshoz be kell jelentkezni
kb egy AI kérdésre adott választ :-)
- A hozzászóláshoz be kell jelentkezni
Vannak nagyobb gondok, az oktatásunk épp kibertámad :
ELTE: https://www.abuseipdb.com/check/157.181.151.89
Békés: https://www.abuseipdb.com/check/195.199.210.194
Tatabánya: https://www.abuseipdb.com/check/195.199.197.147
Böszörmény: https://www.abuseipdb.com/check/195.199.212.141
Még jó, hogy van kibervédelmi törvényünk és hozzá jogászaink (kár , hogy az ellen pont nem véd, de senkit nem hagyunk az út szélén :P)
- A hozzászóláshoz be kell jelentkezni
az első IP érdekes:
| ISP | Eotvos Lorand University of Sciences |
|---|---|
| Usage Type | University/College/School |
| ASN | AS2012 |
| Hostname(s) | aleph.elte.hu |
| Domain Name | bme.hu |
| Country | 🇭🇺 Hungary |
| City | Budapest, Budapest |
most akkor ELTE vagy BME?
4 és fél éve csak vim-et használok. elsősorban azért, mert még nem jöttem rá, hogy kell kilépni belőle.
- A hozzászóláshoz be kell jelentkezni
Szerintem csereberélték egymás közt az IP-ket, csak az adminisztráció senkinek nem erős oldala.
- A hozzászóláshoz be kell jelentkezni
vagy egyik sem, mert a niiifi-tol - vagy kifu vagy epp hogy a tokombe hivjak hivatalosan az egyetemi halo karbantartojat - kapjak, nem az ovek a subnet :)
- A hozzászóláshoz be kell jelentkezni