( TCH | 2021. 12. 18., szo – 19:48 )

Propaganda. Méghozzá a hazug, alattomos fajtájú. Nem, nem olvashat el kis rutinnal bárki bármit a gépünkön, ha HTTP-n keresztül nézünk meg egy oldalt; mégis hogy fért volna hozzá?! Ugyanez vonatkozik a forgalomra is, nem láthatja bárki a forgalmadat, még nagy rutinnal sem, ez egy baromság. A forgalmadat az láthatja, akin az keresztülfolyik, senki más. Olyan van, hogy a forgalom útjába beáll valaki (MITM), de azért ez nem olyan egyszerűen kivitelezhető, ugyanis számos módon lehet ellene védekezni, pl. VPN-nel. Érzékeny adatokat persze már csak óvatosságból is célszerű titkosított csatornán (ez nem feltétlen HTTPS-t jelent, ld. megint: VPN) küldeni és fogadni, de ami nem érzékeny, azt teljesen felesleges; senkit nem fognak feltörni azért, mert titkosítatlanul nyitotta ki az indexet, vagy az origót, hiszen évekig nézték úgy az emberek és mégsem lettek feltörve... Tehát nettó FUD az egész. Ez a hazugság első fele, hogy a HTTP en-bloc nem biztonságos és aki használja azt szétkúrják a hekkerek. A hazugság második fele pedig az, hogy a HTTPS viszont en-bloc biztonságos és aki használja, azt nem tudják szétkúrni a hekkerek. A HTTPS biztonságossága egy mítosz:

• Bárki, akinek a certjét elfogadtad, játszhat MITM-et (internetszolgáltatók és driverek (!) előnyben).
• Elég a hulladék key-exchange segítségével összeszedegetni a kulcsokat a crackhez.
• Magát a HTTPS-t is törték már meg nem egyszer.
• Az egész cert-authority és cert-credibility ökoszisztéma egy rossz vicc.

És hogy miért van szükség a propagandára? A cél a net leszabályozása, a netsemlegesség kinyírása, hogy a nagyok dönthessék el, hogy mit nézhetnek meg az emberek a browsereikben. A HTTPS certificate alapokon működik. A self-signed certificate-ekre már így is anyáznak a browserek, alapból nem is fogadják el (krómon pl. ennyit kell vele szopni, ha még egyáltalán működik ez a módszer); mi lesz, ha a következő a Let's Encrypt lesz, ami majd hirtelen naonveszéjjessch lesz? Az a kisebbik baj, hogy utána akkor fizetned kell azért, hogy certet kapjál és egyáltalán elérhető legyen a weboldalad; na de mi lesz, ha felkerülsz valami cert-feketelistára és egyetlen provider sem fog adni neked certet még pénzért sem, mert olyat mertél leírni, ami sérti az amcsi milliárdosok és multicégek érdekeit? Akkor így jártál, tkp. kitiltottak az internetről, mert a weblapodat egyetlen browser sem fogja kinyitni. HTTPS-en legalábbis biztos nem. Ez pedig - ahogy mondtam - a netsemlegesség kinyírása: discrimination by protocol és discrimination by certificate, csak ez még nem szerepel a fogalmak között. Az illető tehát tök mindegy mekkora szájberszekuricsi tótumfaktum, jelen pillanatban egy koszos bértrollnok, aki hazug propagandát tol.