Új hozzászólás Aktív témák

• #88975 sh4d0w félisten Rowon #88969

  Új Válasz 2023-03-29 20:11:48 #88975

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  sh4d0w

  félisten

  LOGOUT blog

  válasz Rowon #88969 üzenetére

  Okes, tisztazzuk: ha egy website SSL/TLS titkositast hasznal, az annyit jelent, hogy kozted es a webszerver kozott titkositott csatornan aramlanak az adatok - semmi tobbet. Ha az a webszerver egy tamado kezeben van, fujhatod a titkositast. Ha magaban az SSL/TLS protokoll implementaciojaban hiba van, fujhatod. Ha tegyuk fel, a Google valamelyik oldalara mesz fel, ami SSL/TLS titkositast hasznal, szuper biztonsagban vagy, amig mondjuk egy Yahoo-fele kokler hulyetol be nem huz valamit, akik meg elcseszik a sajat reszuk korrekt deplymentjet/implementaciojat.

  Alapbol egy bizalomra epul az egesz HTTPS koncepcio: megbizol abban, aki kiadja a partnerednek a certifikaciot arrol, hogy o az, akinek mondja magat. Tegyuk fel, hogy a partnered megbizhato, tenyleg az, akinek kiadja magat.
  De mi van a Root CA-val, aki ezt a tanusitvanyt kiallitja? Torhetetlen? Biztos, hogy torhetetlen? Megbizhato? Tudja auditalhatoan bizonyitani, hogy amit o kiad a kezebol, mint tanusitvany, az tenyleg megbizhato?

  https://www.coreinfinity.tech

• #88985 urandom0 aktív tag Rowon #88969

  Új Válasz 2023-03-29 22:11:03 #88985

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  urandom0

  aktív tag

  válasz Rowon #88969 üzenetére

  Azt hittem, hogy weboldalaknál, ami HTTPS-sel kezdődik, az kóser.

  sh4d0w már leírta az ezzel kapcsolatos tudnivalókat, én csak annyit tennék hozzá, hogy ha van egy webszerverem, kb. 3 percbe telik generáltatni hozzá egy teljesen érvényes tanúsítványt, amiről egy átlagos felhasználó soha nem mondja meg, hogy mennyire valid. Ő csak annyit lát, hogy ott a kis lakatka a címsorban, és azt hiszi, hogy ettől kóser a weboldal, miközben simán lehet adathalász is az adott oldal...

  Szerintem a böngészőgyártók nagyban sárosak abban, hogy elhitették az emberekkel, hogy ami https és zöld lakatos, az megbízható és biztonságos, ami nem, az pedig nem. Pedig ez egyáltalán nincs így.

Új hozzászólás Aktív témák