Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Устаревание корневого сертификата AddTrust привело к массовы..., opennews (??), 31-Май-20, (0) [смотреть все] тот самый залетевший дятел, что разрушил цивилизацию , JL2001 (ok), 10:55 , 31-Май-20, (2) +24 // Это скорее кроилово ведет к попадалову Да, это я про тебя, GnuTLS , Аноним (4), 11:13 , 31-Май-20, (4) –4 // Автовымарывание вырезало мой первоначальный коммент Ну да ладно гнутлс это част, Аноним (5), 11:15 , 31-Май-20, (5) –1 // В gnutls багов, на минуточку, в разы меньше openssl И пресловутый heartbleed на, Аноним (-), 13:45 , 31-Май-20, (37) –2 Нет ошибок там, где их не ищут , Аноним (45), 14:58 , 31-Май-20, (45) А там есть ошибки - просто меньше Разработчики openssl так по жизни известны те, Аноним (-), 15:33 , 31-Май-20, (47) +1 Чем популярней проект, тем больше людей заинтересованы в регулярном его аудите , Аноним (45), 15:42 , 31-Май-20, (50) Своими действиями они способствовали основательному изменению этого статуса И, , Аноним (72), 20:51 , 31-Май-20, (72) GnuTLS это не древное ПО, Аноним (41), 14:31 , 31-Май-20, (41) GnuTLS это ПО с древними багами Про проблему им репортили еще в 2014 году, однак, Аноним (93), 06:41 , 01-Июн-20, (93) +2 Это явно не про него а про PKI и какие там еще циклические, б-ь, графы, в довери, Аноним (14), 12:35 , 31-Май-20, (14) –3 Что-то в последнее время дятлов становится всё больше и больше , Аноним (7), 11:42 , 31-Май-20, (7) +4 openssl ssleay разрабатывал человек, которого интересовала не секьюрить, а кое, пох. (?), 16:38 , 31-Май-20, (59) +2 Так там и протокол под стать Половина openssl овских дыр являются практически н, Аноним (-), 21:02 , 31-Май-20, (75) +1 протокол был без нужды переусложнен, да Но автор ssleay и не задавался целью ег, пох. (?), 21:31 , 31-Май-20, (85) Не отменяет кучи дурных атак на сам протокол, вплоть до того что атакующий мог у, Аноним (107), 15:41 , 01-Июн-20, (107) Просто грешки прошлого всплывают все чаще наружу , имя_ (?), 14:06 , 31-Май-20, (38) +1 Мир всё больше зависит от ПО, Аноним (41), 14:34 , 31-Май-20, (43) +1 // Без ПО сейчас у поезда колеса крутиться не будут И это не шутка , Аноним (-), 15:34 , 31-Май-20, (48) +4 Настало время расконсервировать паровозы , НяшМяш (ok), 18:33 , 31-Май-20, (62) +2 Бесполезно Под них инфраструктуры уже нет , Аноним (64), 18:43 , 31-Май-20, (64) +1 Вместо угля можно ту же соляру тепловозную в топке жечь Вот с водой может быть , НяшМяш (ok), 18:54 , 31-Май-20, (65) И как, много народа поедет по цене авиабилетов , Аноним (-), 20:57 , 31-Май-20, (73) надо просто поднять цены на авиабилеты Кстати, уже обещают что они подорожают к, пох. (?), 21:55 , 31-Май-20, (86) +2 А следующим шагом логично перейти на доллары в качестве топлива Заодно и вестер, Аноним (108), 15:50 , 01-Июн-20, (108) Ну это уже снова про ПО, от которого выше хотели избавится , Аноним (76), 21:04 , 31-Май-20, (76) –1 У РЖД сейчас есть только одна модель локомотивов с частотными приводами А то вс, Аноним (76), 21:07 , 31-Май-20, (79) Поэтому сапсана и делает в результате сименс А упыри с постоянным током идут об, Аноним (108), 15:58 , 01-Июн-20, (109) коллектор с постоянным током - это сильно и надежно частотники - это дань моде , alexrayne (?), 09:13 , 05-Июн-20, (134) Есть Иволга , Voldemaar (ok), 08:44 , 18-Июн-20, (137) Такова их природа , Аноним (130), 00:34 , 03-Июн-20, (130) С одной стороны не стоит так хейтить gnutls, потому что с ним всё достаточно оче, Аноним (45), 11:16 , 31-Май-20, (6) –4 // Может это всё-таки из-за того, что OpenSSL всё никак не перейдёт на более совмес, annon (?), 15:27 , 31-Май-20, (46) // И чем нынешняя лицензия OpenSSL мешает интегрировать его в хейтерские проекты , YetAnotherOnanym (ok), 19:10 , 31-Май-20, (67) Ошибка 2000, к которой мы оказались не готовы, Аноним (8), 11:44 , 31-Май-20, (8) +14 // Ошибка же, а не уязвимость , Аноним (76), 21:09 , 31-Май-20, (80) Виновны сидят в Sectigo Comodo Так надо было ZOG Нет чтобы серт вовремя замен, Аноним (9), 12:05 , 31-Май-20, (9) –8 // То есть что GnuTLS плевать хотел на RFC, проблема не GnuTLS , DerRoteBaron (ok), 12:14 , 31-Май-20, (10) +5 // А то что такую анину вообще в RFC пишут, это интересно чьи проблемы , Аноним (16), 12:38 , 31-Май-20, (16) –2 // Того, кто вовремя не предоставил свои C на этот R, вестимо , Аноним 80_уровня (ok), 01:17 , 03-Июн-20, (131) +1 GnuTLS наплевать что удостоверяющий центр Sectigo Comodo забыл выпустить вовре, Аноним (9), 12:45 , 31-Май-20, (20) –1 // он не забыл, его сертификат вовсе не истек и все еще подписан валидным CA Если , пох. (?), 21:57 , 31-Май-20, (87) +3 У меня ко многим RFC по поводу https есть возражения Sectigo Comodo должен был, Аноним (112), 16:45 , 01-Июн-20, (112) Какое счастье что ты никто и звать тебя - никак его сертификат НЕ ИСТЕК Что теб, пох. (?), 22:18 , 01-Июн-20, (118) 1 30 мая 2020 года, истёк 20-летний срок действия корневого сертификата AddTrust, Аноним (133), 18:50 , 03-Июн-20, (133) Зато ты, пох, как НеТиповая мартышка можешь наконец начать уже замечать в чем со, Аноним (-), 13:10 , 02-Июн-20, (125) да хоть все четыре миллиарда Просто их составляющим лучше убрать руки подальше о, пох. (?), 13:53 , 02-Июн-20, (129) Ку ку как comodo обновит миллионы неизвестных девайсов с рандомными операционкам, Лол (?), 12:15 , 31-Май-20, (11) +2 // Обновление сертов дело пакетного менеджера используемого на девайсе дистрибутива, Аноним (9), 12:41 , 31-Май-20, (18) +6 // s чертами сертами вражеский спелчекер похерил , Аноним (9), 12:42 , 31-Май-20, (19) +1 Учитывая длительный путь серта с офиса удостоверяющего центра Sectigo Comodo н, Аноним (9), 13:07 , 31-Май-20, (24) +3 а когда вся эта жуткая этажерка костылей наконец заваливается, половина глобу, Аноним (-), 15:36 , 31-Май-20, (49) +3 Этажерка посредников это конечно плохо Зато виновного определяем сразу, в даном , Аноним (61), 17:23 , 31-Май-20, (61) Ага, еще не успели остатки юзерей перестать дергать серваки в надежде что они от, Аноним (-), 21:05 , 31-Май-20, (77) Новые корневые серты стоит выпускать хотя бы за год до истечения строка действия, Аноним (112), 16:51 , 01-Июн-20, (113) из-за срока действия ключа подписи, сейчас Debian 5, 6, про 7 не помню точно, пр, б.б. (?), 12:21 , 31-Май-20, (12) –1 // А что, традиционный способ надувания шаровари уже не катит Неужто часы назад пе, Аноним (16), 12:39 , 31-Май-20, (17) +1 // работает, конечно но не хочется жить в прошлом , бедный буратино (ok), 13:07 , 31-Май-20, (26) –1 // Ну так установил - и назад, в будущее , Аноним (-), 13:40 , 31-Май-20, (35) +3 Тогда куча других сертификатов слетит, Аноним (51), 15:45 , 31-Май-20, (51) +1 Не сработает, кстати При TLS-соединении сравнивается время на клиенте с сервере, Аноним (124), 12:35 , 02-Июн-20, (124) // А где и зачем дебиану при установке TLS соединения нужны Я так понимаю что у , Аноним (-), 13:11 , 02-Июн-20, (126) Добро пожаловать в мир легаси , FixingGunsInAir (ok), 05:45 , 01-Июн-20, (92) все очень плохо Ничего не помогает, надеюсь что кто-то до понедельника найдет р, anonim1 (?), 12:21 , 31-Май-20, (13) +1 // Почему именно до понедельника Многие нужные https-сайты уже недели 3 недоступны , rvs2016 (ok), 13:26 , 31-Май-20, (34) // Можно пример А то у меня отвалился curl некоторое время назад, но я отключил ad, Аноним (45), 15:54 , 31-Май-20, (54) // если 3 недели назад, то это какието другие проблемы Обсуждаемый сертификат сдох, Анонои (?), 13:31 , 03-Июн-20, (132) Для wget есть ключ --no-check-certificate , Anonymoustus (ok), 16:43 , 31-Май-20, (60) +1 // Только потом не надо жаловаться что Васян налил майнер и стырил все бабки , Аноним (-), 21:07 , 31-Май-20, (78) Ты не знаешь, анон, что такое wget Просвещайся https www gnu org software wge, Anonymoustus (ok), 21:27 , 31-Май-20, (84) Проблема не в том, что кто-то стырил бабки, ибо в выкачивании многих страниц ник, rvs2016 (ok), 00:30 , 01-Июн-20, (88) Нет худа без добра Хоть одна радость веб-мастерам Правда, радость небольшая - б, rvs2016 (ok), 12:48 , 31-Май-20, (21) –2 А есть ли написанные на языке Go аналоги программ wget, curl А то wget да curl п, rvs2016 (ok), 12:51 , 31-Май-20, (22) –1 // https www tecmint com kurly-alternative-to-linux-curl-command amp , Анонимчик (?), 13:12 , 31-Май-20, (27) +1 Curl может быть собран с любым аналогом Хоть nss Но зачем, если есть openssl , Аноним (45), 13:14 , 31-Май-20, (28) +2 Http устарел, переходите на https говорили они О дивный новый мир А нельзя был, аноним еще один (?), 13:02 , 31-Май-20, (23) +11 // А таки да, интересно, сколько таких бомб еще всплывет, Dzen Python (ok), 13:17 , 31-Май-20, (29) +1 Нельзя - огрызок изо всех сил пытается вообще пропихнуть в картель сслщиков запр, пох. (?), 13:24 , 31-Май-20, (31) +3 // Apple для всех актуальных систем установила следующие правила, в числе прочего о, zanswer (?), 14:39 , 31-Май-20, (44) Потому я презираю Let s Encripple и хомячков, которые на него дёргают Завтра Бол, InuYasha (?), 16:02 , 01-Июн-20, (110) +1 // это он и раньше мог делать Ну, до истребления crl ов и отключенного по умолчани, пох. (?), 22:23 , 01-Июн-20, (119) Через день ничего не протухнет А 3 недель вполне достаточно, чтобы в случае про, Аноним (120), 22:26 , 01-Июн-20, (120) –1 А ты из дома с миноискателем, надеюсь, выходишь На случай если благодарный сосе, Аноним (-), 13:13 , 02-Июн-20, (127) Это чтобы им лет через эн начали подписывать все и вся, и никто типа не виноват,, Аноним (-), 13:43 , 31-Май-20, (36) –2 // Есть же процедура отзыва сертификата , аноним еще один (?), 14:25 , 31-Май-20, (40) +1 // Какая такая процедура Которая по умолчанию выключена во всех браузерах , Арчевод (?), 18:38 , 31-Май-20, (63) если фирма правильно склеила ласты - ее сертификат торжественно уничтожен при бо, пох. (?), 20:50 , 31-Май-20, (71) +3 // И хде это все регламентировано Хочу посмотреть на что-нибудь такое Можно начат, Аноним (81), 21:10 , 31-Май-20, (81) +1 он как раз неправильно склеил ласты - его сертификат превратился в тыкву, когда , пох. (?), 21:24 , 31-Май-20, (83) –1 Там распиарено получилось - комод очень уж эпично постебся над маздайцами с их п, Аноним (114), 17:16 , 01-Июн-20, (114) А нельзя Ну в смысле - можно, наверно, но бесполезно ж Через 1000 лет сертифик, rvs2016 (ok), 00:55 , 01-Июн-20, (90) +1 debian 10, столкнулся с тем, что стал openconnect ругаться со вчерашнего дняв фа, Аноним (32), 13:24 , 31-Май-20, (32) +2 // Вот как раз 10-я дубина у меня нормально работает А вот 9-ю вчера лечил как раз , rayder (ok), 14:23 , 31-Май-20, (39) +1 // Подтверждаю, на Debian 9 и форках достаточно закомментить и апнуть, как выше нап, raynor (ok), 19:10 , 01-Июн-20, (117) UPD Нормально помогает распарсить свой crt найти и выкинуть истёкший из цеп, Аноним (33), 13:24 , 31-Май-20, (33) –1 В centos 6 нет утилиты trust, она только в центе 7 Наверное, проще таки удалить , gogo (?), 14:33 , 31-Май-20, (42) Время от времени, в т ч сейчас, мне приходится не ради удовольствия, а для раб, Аноним (52), 15:47 , 31-Май-20, (52) –3 // Ты её переупрямил , YetAnotherOnanym (ok), 19:41 , 31-Май-20, (69) Подскажите примеры сломавшихся сайтов, чтоб у себя проверить , Аноним (51), 15:51 , 31-Май-20, (53) +1 // https api rbkgames com , Аноним (55), 16:00 , 31-Май-20, (55) +2 // спс, Аноним (51), 16:19 , 31-Май-20, (57) на нём нету AddTrust, Аноним (70), 19:50 , 31-Май-20, (70) Social Club у Rockstar отвалился , Аноним (94), 08:23 , 01-Июн-20, (94) Я ничего не удалял, только запустил команду CODE update-ca-certificates -f -v C, Anonymoustus (ok), 16:21 , 31-Май-20, (58) +1 Нет подключения к интернету -- нет проблемы А вообще, вся эта X 509 система -- к, lockywolf (ok), 19:02 , 31-Май-20, (66) +1   // идентификация клиента в нем есть, учи матчасть, двоечник Просто это несколько не, пох. (?), 21:01 , 31-Май-20, (74) +2   // Я и написал де факто Сам логинюсь на cacеrt овский сайт через сертификат Но , lockywolf (ok), 05:42 , 01-Июн-20, (91) +2   // ну вот де-факто - есть А предъявлять паспорт и снилс входя в магазин за хлебушко, пох. (?), 09:22 , 01-Июн-20, (95)   Это де юре , а не де факто Типа, пользуются полтора гика Да серьёзно что ли , lockywolf (ok), 09:51 , 01-Июн-20, (96)   Примеры чудесных превращений 8212 в студию , Anonymoustus (ok), 10:17 , 01-Июн-20, (98)   Готов отказаться от второй части заявления Хотя мне кажется, видел такое , Lockywolf (ok), 10:27 , 01-Июн-20, (99) +1   Это не про твоего собеседника Хотя, возможно, он таким был с самого начала , Анони (?), 17:19 , 01-Июн-20, (115)   инфа стопроцентов, или ты один раз попробовал только на васян-хосте с web0 1 На , пох. (?), 11:47 , 01-Июн-20, (103)   Имеется в виду HSTS что ли Так это выбор сервера, включать его или нет Все воп, lockywolf (ok), 12:29 , 01-Июн-20, (104) –1   ты не в теме - совсем certpatrol был скачан многие сотни тысяч раз и что им меша, пох. (?), 13:50 , 01-Июн-20, (105)   Ну так расскажи мне Иначе зачем вообще было ввязываться в трэд Мне интересно, , Lockywolf (ok), 14:17 , 01-Июн-20, (106)   А если еще компьютер не включать Оно не может быть секурно - by design , Аноним (81), 21:11 , 31-Май-20, (82) +1   Ребят не в курсе как на alpine linux 3 7 это пофиксить, серт закомментировал, но, Аноним (97), 10:05 , 01-Июн-20, (97) // Спокойно, качаем Windows 10, устанавливаем и пользуемся нормальной системой , Аноним (116), 17:25 , 01-Июн-20, (116) +1 // Поимев еще рекламу в тривиальных играх и кейлоггера в комплекте Майкрософт, вы , Аноним (-), 13:15 , 02-Июн-20, (128) Решение Скриптом костыль для клиента sed s mozilla AddTrust_External_Root crt, Аноним (100), 10:34 , 01-Июн-20, (100) По нормальному это демон системы должен отстреливать или сыпать в логи информаци, Аноним (101), 11:03 , 01-Июн-20, (101) +1 // https www opennet ru openforum vsluhforumID3 120795 html 116и да, в б-жествен, пох. (?), 22:28 , 01-Июн-20, (121) // systemd-ca нужен, й (?), 23:54 , 01-Июн-20, (122) –1 // запилишь фичреквест Я уверен, это не закроют с notabug - нужным и полезным предл, пох. (?), 00:26 , 02-Июн-20, (123) Однострочник для ubuntu sed -i s mozilla AddTrust_External_Root crt mozilla , pontiy_pilat1 (ok), 11:42 , 01-Июн-20, (102) +2 Диаграмма с красными подчёркиваниями доставляет PS спасибо что напомнили обнов, InuYasha (?), 16:36 , 01-Июн-20, (111) У меня из-за этого долбанного сертификата Figma не работает Как решить проблему, Девочка (?), 19:02 , 06-Июн-20, (135) в debiane 10 новый пакет прилетелStart-Date 2020-06-08 15 06 09Upgrade ca-cer, Аноним (32), 15:14 , 08-Июн-20, (136) 2,6,8,9,12,13,21,22,23,32,33,42,52,53,58,66,97,100,101,102,111,135,136

Сообщения

[Сортировка по времени | RSS]

66. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+1 +/–
Сообщение от lockywolf (ok), 31-Май-20, 19:02
Нет подключения к интернету -- нет проблемы. А вообще, вся эта X.509 система -- какое-то адское нагромождение костылей. Во-первых, потому что в нём де факто нет идентификации клиента. Я знаю про всякие странные конфигурации с прокидыванием в браузер клиентского сертификата, но это редкость. Во-вторых, потому что вся игра с сертификатами отдана на откуп вендорам оконечных девайсов, хотя по уму сертификат должен быть ответственностью как минимум не только его. Вполне можно было бы построить систему, в которой юзверь подписывает договор с удостоверяющим центром, и ходит раз в год обновлять свои и корневые сертификаты в УЦ. Так, собственно, уже работает OpenPGP или даже странная российская "электронная подпись".
Ответить | Правка | Наверх | Cообщить модератору

	74. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+2 +/–
	Сообщение от пох. (?), 31-Май-20, 21:01
	> Во-первых, потому что в нём де факто нет идентификации клиента. идентификация клиента в нем есть, учи матчасть, двоечник. Просто это несколько неудобно - и клиентам, и тем кто предоставляет им услугу. Потому что в большинстве случаев совершенно все равно, кому ее предоставлять, лишь бы данные кредитки совпали. > Вполне можно было бы построить систему, в которой юзверь подписывает договор с удостоверяющим > центром, и ходит раз в год обновлять свои и корневые сертификаты в УЦ. лично с паспортом, или можно через госуслуги? А пошлину платить раз в год, или включат в счет за электричество? (Мыло и веревку свои приносить, или там дадут?) Вполне возможно, что в чебурнете так и будет - заодно мазок на коровавирус заставят сдать. К сожалению, весь остальной мир пока пошлет с такими идеями найух. Приходится действовать постепенно. Вполне можно было бы построить такую систему, где доверяют - сертификатам, а не подписантам (и изначально ssl именно такой системой и был), их подпись всего лишь одна из дополнительных возможностей _разовой_ проверки _ранее_незнакомого_ тебе сертификата. Но, поскольку при этом не получается за всеми следить - были предприняты определенные шаги, чтобы так просто не получалось, даже в изолированных сетях. Вон дядя, покажи ему свой биометрический паспорт, сделай селфи со снилсом в зубах, он поставит (электронный, а как же) штампик. Бараны радностно блея бегут в стойло - зато бебебебезопастно!
	Ответить | Правка | Наверх | Cообщить модератору

	91. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+2 +/–
	Сообщение от lockywolf (ok), 01-Июн-20, 05:42
	> идентификация клиента в нем есть, учи матчасть, двоечник. Я и написал "де факто". Сам логинюсь на cacеrt'овский сайт через сертификат. Но так мало кто делает. >  Приходится действовать постепенно. Отставить паранойю. OpenPGP-Web-Of-Trust так уже много лет работает. Ходят погромисты друг к другу в гости, и делают keysigning party. Наоборот, это гибче даже получается. Ну а для тех, кто не хочет keysigning party, должно быть можно в Связном заплатить пошлину. > Вполне можно было бы построить такую систему, где доверяют - сертификатам, а > не подписантам (и изначально ssl именно такой системой и был) Так и сейчас доверяют сертификатам -- сертификатам УЦ. Сайтов кругом миллион, и сертификаты сайтов хотелось бы менять каждую сессию, ибо вдруг чего. Проблема не в самой идее УЦ, а в том, что какой-то абстрактный дядя за тебя решает, какому УЦ ты доверяешь. Мозилла и Гугл -- это ещё хотя бы люди, на которых можно ругаться в соцсетях. А производитель телефона -- вообще никто и звать его никак. Ходить раз в год и выбирать УЦ, которому доверяешь -- это как раз больше свободы юзеру, а не меньше. > Вон дядя, покажи ему свой биометрический паспорт, сделай селфи со снилсом в > зубах, он поставит (электронный, а как же) штампик. > Бараны радностно блея бегут в стойло - зато бебебебезопастно! Государство скорее закроет интернет нахрен, чем откажется от возможности следить за людьми. Надо быть реалистичными, и саботировать слежку так, как это работает, а не так, как этого хотелось бы утопистам от свободы информации. Надо напирать на те аргументы, которые люди слышат. Слышат про безопасность -- надо говорить от безопасности. В частности, тот факт, что в компах стоят протухшие на 20 лет сертификаты -- это _очень_ небезопасно.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от пох. (?), 01-Июн-20, 09:22
	> Я и написал "де факто". ну вот де-факто - есть. А предъявлять паспорт и снилс входя в магазин за хлебушком - желающих нет. > Отставить паранойю. OpenPGP-Web-Of-Trust так уже много лет работает. там совсем другой подход - никаких "trusted ca". По этой причине, кстати, и не работает. Гладко было на бумаге. > Так и сейчас доверяют сертификатам -- сертификатам УЦ. сейчас доверяют подписи этим сертификатом на сертификате васяна. Причем принята масса специальных мер, чтобы просто сертификату васяна ты доверять не мог. Включая и его одноразовость. > Государство скорее закроет интернет нахрен, чем откажется от возможности следить за людьми. гугл и мурзила - скорее государство в государстве. Ничего личного, just a business. У меня в помойке два приглашения на собеседование. Один от ntechlab, второй от хуавэя. Причем про второй я спросил - там не 60 тыщ и действующие сертификаты ccie и jncie, там вполне нормальные требования и зарплата выше средней по отрасли - при всей жадности плохой дороги, за это она готова платить. Вполне коммерческие предприятия. С умненькими мальчиками там работающими. > В частности, тот факт, что в компах стоят протухшие на 20 лет сертификаты -- это _очень_ > небезопасно. это совершенно безопасно. Ты замок в двери меняешь каждые пол-года просто на всякий случай? Или все же - только когда и если потерял ключ? А ключи от self-signed сертификатов CA потерять гораздо сложнее чем ключи от квартиры - они при правильном обращении (и это _проверяется_ прежде чем твой сертификат добавят мурзогугли - впрочем, последние двадцать лет они только свою марионетку добавили, а проверка доверена каким-то комитетам, не умевшим правильно настроить веб-сайт) не то что из дома не выносятся, а вообще не используются никогда. Используется второй или даже третий intermediate. Ключ от основного нужен только если их понадобилось перевыпустить. Ну или подписать вот ключ другого CA. Случается примерно раз в 20 лет.
	Ответить | Правка | Наверх | Cообщить модератору

	96. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от lockywolf (ok), 01-Июн-20, 09:51
	> ну вот де-факто - есть. Это "де юре", а не де факто. Типа, пользуются полтора гика. > А предъявлять паспорт и снилс входя в магазин за хлебушком - желающих > нет. Да серьёзно что ли? Все внезапно стали снова платить наличкой? Любая транзакция по карте -- это паспорт и ИНН (может, и не снилс, точно не уверен). > там совсем другой подход - никаких "trusted ca". По этой причине, кстати, > и не работает. Гладко было на бумаге. Ровно потому, что есть альтернатива, с корневыми УЦ. Ходили бы люди в раз в год в Связной выбирать УЦ из списка, система была бы поживее. > сейчас доверяют подписи этим сертификатом на сертификате васяна. Причем принята масса специальных > мер, чтобы просто сертификату васяна ты доверять не мог. Включая и > его одноразовость. Кто тебе мешает-то? Добавь васянский сертификат в доверенные, и пользуйся. Самоподписанный SSL работает, пусть и с ворнингом. Только как ты узнаешь, что это васян, а не MITM. > гугл и мурзила - скорее государство в государстве. > Ничего личного, just a business. Плевал я на гугл и мурзилу. Им ничего, кроме впаривания мне рекламы, от меня не нужно. А почитать их код я могу свободно, чего про "госуслуги" пока даже помыслить невозможно. > Вполне коммерческие предприятия. С умненькими мальчиками там работающими. Тут я вообще ничего не понял, какая-то конспирология. Хуавэй сегодня есть, а завтра его нет. Хотя нет, Хуавэй китайцы спасут в случае чего, пока Трамп на него обижен, но Трамп тоже не вечен. Сдохнет Хуавэй, и забудем про него, и вся работа умных мальчиков улетит в унитаз. > это совершенно безопасно. Ты замок в двери меняешь каждые пол-года просто на > всякий случай? > Или все же - только когда и если потерял ключ? Ни хрена себе безопасно! Я до сих пор по половине офисов старых работ могу пройти как по паркету, потому что заблаговременно делал копии ключей. Гавно твоя аналогия. > А ключи от self-signed сертификатов CA потерять гораздо сложнее чем ключи от > квартиры - они при правильном обращении (и это _проверяется_ прежде чем > твой сертификат добавят мурзогугли - впрочем, последние двадцать лет они только > свою марионетку добавили, а проверка доверена каким-то комитетам, не умевшим правильно > настроить веб-сайт) не то что из дома не выносятся, а вообще > не используются никогда. Используется второй или даже третий intermediate. Ключ от > основного нужен только если их понадобилось перевыпустить. Ну или подписать вот > ключ другого CA. Случается примерно раз в 20 лет. Не надо ничего терять. За двадцать лет хороший человек легко превращается в мудака, а мудак в хорошего человека.
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от Anonymoustus (ok), 01-Июн-20, 10:17
	> За двадцать лет хороший человек легко превращается в > мудака, а мудак в хорошего человека. Примеры чудесных превращений — в студию!
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+1 +/–
	Сообщение от Lockywolf (ok), 01-Июн-20, 10:27
	>> За двадцать лет хороший человек легко превращается в >> мудака, а мудак в хорошего человека. > Примеры чудесных превращений — в студию! Готов отказаться от второй части заявления. (Хотя мне кажется, видел такое.)
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от Анони (?), 01-Июн-20, 17:19
	> Готов отказаться от второй части заявления. (Хотя мне кажется, видел такое.) Это не про твоего собеседника. Хотя, возможно, он таким был с самого начала?
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от пох. (?), 01-Июн-20, 11:47
	> Кто тебе мешает-то? Добавь васянский сертификат в доверенные, и пользуйся. инфа стопроцентов, или ты один раз попробовал? > Самоподписанный SSL работает, пусть и с ворнингом. только на васян-хосте с web0.1 На остальных уже не работает. > Только как ты узнаешь, что это васян, а не MITM. проверю сертификат по другим каналам. Или, что гораздо более вероятно, предположу что Организация конечно всесильна и вездесуща, но подсунуть один и тот же в кафешке в Хайдерабаде и в офисе в Стамбуле даже ей затруднительно. И если сертификат один и тот же уже который год - вероятнее всего он настоящий, и митм организован путем его кражи. А если его можно спереть - то это можно делать и раз в день. > Ни хрена себе безопасно! Я до сих пор по половине офисов старых работ могу пройти как по паркету, > потому что заблаговременно делал копии ключей. Гавно твоя аналогия. Нет, гавно твои офисы и система безопасности в них. И вот по этой причине проверки кандидатов в trusted ca строже чем даже pci-dss, которая напрочь исключает возможность "сделать копии ключей" незаметно для окружающих. Но ты замок на двери все же меняй раз в неделю - а то твой ключ тоже кто-то успел скопировать. Что помешает ему обналичить результат немедленно, а не откладывать на неделю - учоные спорят. > Не надо ничего терять. За двадцать лет хороший человек легко превращается в мудака, а мудак в > хорошего человека. не превращается. И перевыпуск ключа раз в неделю от этого тоже ничем не поможет - вот он и перевыпустит, и десять копий налево в том числе.  Каждую неделю новых. А вот отследить теперь - невозможно. В отличие от простого и банального доверия - ключам, а не подписям на них.
	Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

	104. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	–1 +/–
	Сообщение от lockywolf (ok), 01-Июн-20, 12:29
	> На остальных уже не работает. Имеется в виду HSTS что ли? Так это выбор сервера, включать его или нет. Все вопросы к васяну. DNS течёт постоянно, по ошибке добавить сертификат от "великого файрвола" в доверенные не легко, а прямо очень легко. > проверю сертификат по другим каналам. Ты и полтора анононимуса. >А если его можно спереть - то это можно делать и раз в день. Ничего себе! Разъсните мне, как это получается? Как его можно потерять один раз, я понимаю -- скажем, пришли "маски шоу" и отняли волшебную флешку. А вот как его можно красть раз в день -- это я уже не понимаю. Я это без шутки спрашиваю. Как такое может быть? > Нет, гавно твои офисы и система безопасности в них. Так и у васянов хосты говно 99%. > И вот по этой причине проверки кандидатов в trusted ca строже чем > даже pci-dss, которая напрочь исключает возможность "сделать копии ключей" незаметно для > окружающих. Ну и что в этом плохого? > обналичить результат немедленно, а не откладывать на неделю - учоные спорят. Как, блин, чего? Что значит "обналичить". Обналичить -- это же не номер карты украсть, это опротестовывается на раз, и больше двух тысяч юаней в день не вывести, а внезапное списание 2к юаней я мгновенно спалю. Обналичить -- это подсадить закладку и (а) иметь возможность подложить причину для ареста, например, детское порно, когда нужно будет арестовать (вместо подбрасывания наркотиков), (б) потихоньку чарджить карту на пару центов в день, потому что среди пары десятков трат в день, (в) читать мою переписку и косвенно собирать компромат на других людей, (г) красть мои пароли и слать спам от моего имени, (д) понижать социальный рейтинг. Это всё требует перманентного доступа. Одноразовая протечка -- это несущественно, если она работает сутки или вообще сессию. > не превращается. И перевыпуск ключа раз в неделю от этого тоже ничем Как он перевыпустит, если у всех будет написано в кондуите, что человек подписывает всякий трэш и вообще фродстер? Просто ему никто доверять не будет. А так пусть выпускает, может, даже убедит кого. > В отличие от простого и банального доверия - ключам, а не подписям > на них. Ага, всем ста миллиардам.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от пох. (?), 01-Июн-20, 13:50
	> Имеется в виду HSTS что ли? ты не в теме - совсем. >> проверю сертификат по другим каналам. > Ты и полтора анононимуса. certpatrol был скачан многие сотни тысяч раз. > Ничего себе! Разъсните мне, как это получается? Как его можно потерять один раз, я понимаю -- > скажем, пришли "маски шоу" и отняли волшебную флешку. и что им мешает приходить раз в неделю, если первый раз прокатило? (лень. Сам езди и привози обновления, раз такой умный. Не приедешь - придут.) У тебя совершенно фантазийная модель угроз. В реальной жизни они совершенно другие. > Так и у васянов хосты говно 99%. у тебя фантазийная модель угроз. > Ну и что в этом плохого? в этом - ничего. В сертификате ca с валидностью хоть 1000 лет - тоже. > Как, блин, чего? Что значит "обналичить". если я украл ключи от твоей квартирки - наверное, я хочу их применить по назначению? Ну так зачем откладывать, пока ты ключ сменишь? Обнесу, пожалуй, прямо сразу. >> В отличие от простого и банального доверия - ключам, а не подписям > Ага, всем ста миллиардам. мне не нужны стомиллиардов. Мне нужно меньше десятка (и это меньше чем напиханных в браузер ненужно-CA)
	Ответить | Правка | Наверх | Cообщить модератору

	106. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+/–
	Сообщение от Lockywolf (ok), 01-Июн-20, 14:17
	> ты не в теме - совсем. Ну так расскажи мне. Иначе зачем вообще было ввязываться в трэд. Мне интересно, что я упускаю. > certpatrol был скачан многие сотни тысяч раз. Это копейки раз. > и что им мешает приходить раз в неделю, если первый раз прокатило? А то, что её там не будет. Один раз нормально попасться в ловушку одного типа, два уже собственная ошибка. > (лень. Сам езди и привози обновления, раз такой умный. Не приедешь - > придут.) С таким вообще ничего не сделать. > У тебя совершенно фантазийная модель угроз. В реальной жизни они совершенно другие. И какие же? Мне правда интересно. Обещаю обновить свою модель угроз. >> Так и у васянов хосты говно 99%. > у тебя фантазийная модель угроз. У васянов хорошие хосты? > в этом - ничего. В сертификате ca с валидностью хоть 1000 лет > - тоже. Кроме списков отзыва на триллионы штук. И потери доверия к сертификатам. > если я украл ключи от твоей квартирки - наверное, я хочу их > применить по назначению? Ну так зачем откладывать, пока ты ключ сменишь? > Обнесу, пожалуй, прямо сразу. У тебя фантазийная модель угроз. Вернее не фантазийная конечно, но слишком узкая. Потерять дневной лимит по карте не страшно. > мне не нужны стомиллиардов. Мне нужно меньше десятка (и это меньше чем > напиханных в браузер ненужно-CA) Ради своих 9 штук можешь вручную добавить доверие. Если что, пересобрав браузер и сервера своих 9 друзей.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Устаревание корневого сертификата AddTrust привело к сбоям в..."	+1 +/–
	Сообщение от Аноним (81), 31-Май-20, 21:11
	> Нет подключения к интернету -- нет проблемы. А если еще компьютер не включать... :) > А вообще, вся эта X.509 система -- какое-то адское нагромождение костылей. Оно не может быть секурно - by design.
	Ответить | Правка | К родителю #66 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема