| Allegro - taniej już było |
djbpm pisze: ...Ze 20 lat temu bawiłem się snifferem w sieci. Wówczas sieci były jeszcze na hubach, a SSL prawie nie istniał. Tak łatwo wpadały loginy i hasła do kolekcji, że to było nieprawdopodobne. Teraz hubów nie ma. Ale skąd wiesz, czy pomiędzy Twoim komputerem, a stroną bez SSL nie ma czegoś, co kolekcjonuje loginy, hasła, ciastka i kto wie co jeszcze? Warto ryzykować? Jak masz fizyczny dostep do kabla lub dowolnego węzła po drodze to zważywszy na tą właśnie cechę "99%" i te tanie i nic nie gwarantujące certy DV sprawa wygląda jeszcze gorzej bo przeglądarki www domyślnie ufają tak wielu urzędom CA że nie odróżnisz certyfikatu wystawionego dla hackera od tego dla przeciętnego serwera. Stąd uśpiona czujność usera i atak MITM (Man in the Middle) dalej są możliwe. Albo jesteśmy globalnie tak nieudolni albo komuś na tym zależy by popsuć zaufanie oparte na matematycznej zależności. Jaki bowiem kłopot w tym by cyfrowym dowodem osobistym którego integralność gwarantuje państwo podpisać wniosek na wystawienie certyfikatu dla serwera w domenie, za którą zapłaciła firma, której pełnomocnikiem jest również osoba o ustalonej cyfrowo tożsamości. Certyfikat taki ma gwarancję autentyczności do puki tego łańcucha nikt nie przerwie (np poprzez skompromitowanie któregoś z kluczy). Certyfikaty dla iluś tam domen klientowi za free w ramach obsługi firmowego konta mogłyby potwierdzać banki, które też korzystałyby z certyfikacji wyższego urzędu. Legalnie działająca firma nie musi ukrywać tożsamości właściciela domeny a ta mogłaby być gwarantowana jak wyżej. Większy problem będzie tylko z utrzymaniem bezpieczeństwa samego serwera i jego kluczy prywatnych. Gdyby nie niska świadomość i te 99% to nie musielibyśmy powierzać zaufania dostawcom przeglądarek, w których jest już tyle domyślnie wpisanych urzędów certyfikacji że potencjalny atakujący ba szerokie pole do wyboru gdzie wygenerować sobie nowy cert. Dlatego nie uważam by w tym konkretnym przypadku darmowe systemy wystawiające certy komu popadnie przyczyniały się do poprawy bezpieczeństwa. |