forum.opennet.ru - "В Chrome планируют удалить поддержку технологии PKP (Public ..." (32)

"В Chrome планируют удалить поддержку технологии PKP (Public ..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
Сообщение от opennews (ok) on 28-Окт-17, 23:51
Компания Google представила (https://groups.google.com/a/chromium.org/d/msg/blink-dev/he9...) план прекращения поддержки механизма привязки открытых ключей (PKP, Public Key Pinning), позволяющего явно определить сертификаты каких удостоверяющих центров допустимо использовать для заданного сайта. Прекращение поддержки HTTP-заголовка Public-Key-Pins, позволяющего сайтам определять привязки ключей, запланировано в выпуске Chrome 67, который ожидается 29 мая 2018 года. В дальнейшем, после внедрения для всех сертификатов проверки через механизм Certificate Transparency (https://www.certificate-transparency.org/), ожидается удаление поддержки и ручных привязок. В качестве причины прекращения поддержки PKP указывается на то, что данная технология не оправдала себя и почти не применяется на практике из-за трудности внедрения на сайтах (сложно подобрать корректный набор ключей для закрепления) и высокой цены ошибок в настройке, которые могут привести к недоступности сайта в случае привязки не тех ключей или применения другого сертификата на сайте. Кроме того, PKP может применяться для осуществления (https://risky.biz/RB467/) некоторых видов атак. Например, для скрытой идентификации (https://www.opennet.dev/opennews/art.shtml?num=43209) пользователей или для вымогательства (https://github.com/cyph/ransompkp) после взлома сайтов. Утверждается, что прекращение поддержки PKP не сопряжено с риском нарушения обратной совместимости, так как это не скажется на работе сайтов. Кроме того, PKP до сих пор не поддерживается в Edge и Safari, а также имеет минимальный уровень внедрения - из миллиона крупнейших сайтов по рейтингу Alex заголовок Public-Key-Pins выставляют только 375 сайта. Вместо PKP разработчикам сайтов рекомендуется использовать HTTP-заголовок Expect-CT (https://tools.ietf.org/html/draft-ietf-httpbis-expect-ct-01) c SCT-параметрами (SignedCertificate Timestamps) для выявления некорректных SSL-сертификатов при помощи системы Certificate Transparency (https://www.certificate-transparency.org/). В отличие от HTTP-заголовка Public-Key-Pins в Expect-CT предусмотрена возможность отмены ошибочных привязок. Кроме того, Expect-CT уже применяется рядом удостоверяющих центров. URL: https://groups.google.com/a/chromium.org/d/msg/blink-dev/he9... Новость: http://www.opennet.dev/opennews/art.shtml?num=47466
Ответить \| Правка \| Cообщить модератору

Оглавление

В Chrome планируют удалить поддержку технологии PKP (Public ..., AntonAlekseevich, 23:51 , 28-Окт-17, (1) +1
В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 23:59 , 28-Окт-17, (2) +4

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 00:29 , 29-Окт-17, (3) +12

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 00:39 , 29-Окт-17, (5) –4

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 00:36 , 29-Окт-17, (4)

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 00:03 , 30-Окт-17, (34)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 01:22 , 30-Окт-17, (35) +1

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 03:12 , 30-Окт-17, (36) –1

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 02:39 , 29-Окт-17, (7)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 10:29 , 29-Окт-17, (11) –3

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 14:51 , 29-Окт-17, (13)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 21:28 , 29-Окт-17, (28)
В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 23:30 , 29-Окт-17, (33) +1

В Chrome планируют удалить поддержку технологии PKP (Public ..., xm, 15:49 , 29-Окт-17, (19) +1

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 21:31 , 29-Окт-17, (29)

В Chrome планируют удалить поддержку технологии PKP (Public ..., xm, 15:46 , 29-Окт-17, (18) +1

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 03:44 , 29-Окт-17, (8) +4
В Chrome планируют удалить поддержку технологии PKP (Public ..., Ilya Indigo, 07:40 , 29-Окт-17, (9) –3

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 09:40 , 29-Окт-17, (10)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 10:37 , 29-Окт-17, (12)
В Chrome планируют удалить поддержку технологии PKP (Public ..., Ilya Indigo, 15:29 , 29-Окт-17, (15) –1
В Chrome планируют удалить поддержку технологии PKP (Public ..., xm, 15:51 , 29-Окт-17, (20) +1

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 15:15 , 29-Окт-17, (14) +5

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 15:30 , 29-Окт-17, (16) +4

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 16:27 , 29-Окт-17, (22) –3

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 21:36 , 29-Окт-17, (30) –1

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 21:37 , 29-Окт-17, (31) –1
В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 23:07 , 29-Окт-17, (32) –1

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 16:45 , 29-Окт-17, (24)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 16:43 , 29-Окт-17, (23) +2

В Chrome планируют удалить поддержку технологии PKP (Public ..., Аноним, 16:56 , 29-Окт-17, (25)

В Chrome планируют удалить поддержку технологии PKP (Public ..., пох, 17:24 , 29-Окт-17, (26)

Сообщения по теме [Сортировка по времени | RSS]

1. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от AntonAlekseevich (ok) on 28-Окт-17, 23:51

Стоит Google отдать должное.
Убрали ещё 1 механизм из Web'а который игнорируется всеми кроме тех 375 сайтов и их пользователей.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +4 +/–

Сообщение от Аноним (??) on 28-Окт-17, 23:59

TL;DR: нехрен админам заботиться о безопасности, CA позаботятся за них.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +12 +/–

Сообщение от Аноним (??) on 29-Окт-17, 00:29

А потом CA такие: "упс, мы прое*али ключи от 100500 сертификатов, но вы нас простите, ладно?.."

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –4 +/–

Сообщение от пох on 29-Окт-17, 00:39

> А потом CA такие: "упс, мы прое*али ключи от 100500 сертификатов, но
да нет, зачем же? Мы просто выдали кому надо (а не владельцу сервера) очередной летсдекриптовый сертификат - их мильярды, они каждый день обновляются, никто ничего и не заметил даже, чего вы волнуетесь?
Ключи просpала один-единственный раз одна-единственная контора, которая не должна была пройти аудит - если бы его проводили как надо, а не ради вымогательства денег. Там просто вообще не было, похоже, ни нормальных админов, ни у тех админов реальных прав остановить бардак.
Все остальные intermediate roots были выданы _сознательно_.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

4. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 00:36

гугль позаботится за них. Поскольку весь этот тяжелый бред (с прозрачным упоминанием еще одной возможности собирания бабла за воздух) с логсерверами, аудиторами и прочей неведомой хренью будет принадлежать известно кому.
Соответственно, не владельцы сайта будут решать, каким именно сертификатам доверяет браузер их посетителя.
И не посетитель - см. полезный и нужный пункт об удалении ручной привязки сертификатов - хотя она явно не может быть использована ни для чего, кроме...ну да, 100% уверенности, что сертификат не подменен, если первоначально он был получен из доверенного источника. Без всяких гуглосервисов и гуглошпионов, заметьте.
гугль продолжает старательно выполнять условия своего кредита под 0%

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

34. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от Аноним (??) on 30-Окт-17, 00:03

> гугль позаботится за них.
Ну, вот здесь: https://www.certificate-transparency.org/what-is-ct много говорится о прозрачном, криптографически заверенном журналировании всех процессов сертификации, об открытой системе аудита и мониторинга, поддерживающей публичное наблюдение и проверку выпущенных сертификатов, распределенной системе независимых серверов журналов и т.п.
> Без всяких гуглосервисов и гуглошпионов, заметьте.
Если все будет реализовано по уму и так, как описано, и без навязчивой привязки к серверам Большого Брата, то должно быть хорошо всем.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

35. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от пох on 30-Окт-17, 01:22

> много говорится
да-да, говорится много. Табличку "bullshit" можно поднимать после первых десятка строк.
> Если все будет реализовано по уму и так, как описано
то pkp это не заменит практически никак, ручную привязку сертификата к конкретному хосту - совсем никак.
Ваши возможности на что-то повлиять и вовсе сводятся к нулю, по обе стороны от мушки.
1. вы не можете держать свой лог-сервер - то есть, хоть обдержитесь, но CA вам никаких логов слать не будут. Доверяйте гуглю.
2. вы вряд ли сможете держать свой монитор, анализирующий логи по мере добавления - во-первых, это довольно дорогое удовольствие, во-вторых, наверняка логовладельцы захотят сделать на этом бакшиш (или просто зарейтлимитят - ну можно будет раз в день проверить, что твоему сайту еще не выдали десять сертификатов неизвестно кому, пользы от этого - ноль)
Доверяйте гуглю.
3. из набора функций аудитора вы сможете самостоятельно разьве что проверить, что сертификат есть в логе. А он конечно ж есть, чего ж нам не есть. Вот нет ли там еще парочки - непонятно ни как проверить, ни что делать с этим знанием (они может валидны).
"In most cases, the Certificate Transparency system can detect suspect certificates or CAs in a few hours instead of" immediately, as pkp did. Поправил, не благодарите.
Ну и вишенка на тортике: Others will be run as subscription services that domain owners and certificate authorities can buy into.
платите за воздух еще разок.

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

36. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –1 +/–

Сообщение от Аноним (??) on 30-Окт-17, 03:12

Да, эта система пока не выглядит совершенной.
С одной стороны (https://www.certificate-transparency.org/what-is-ct):
Make it impossible (or at least very difficult) for a CA to issue a SSL certificate for a domain without the certificate being visible to the owner of that domain.
Protect users (as much as possible) from being duped by certificates that were mistakenly or maliciously issued.
И это выглядит хорошо: кому попало не выдаем и юзера как-то защитить пытаемся.
С другой стороны (https://datatracker.ietf.org/doc/rfc6962/?include_text=1):
7.2. Detection of Misissue
The logs do not themselves detect misissued certificates; they rely instead on interested parties, such as domain owners, to monitor them and take corrective action when a misissue is detected.
Что не выглядит хорошо, ибо это есть попытка возложить функцию контроля на владельца домена.

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

7. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от Аноним (??) on 29-Окт-17, 02:39

Всё правильно делают. Подробнее о проблемах:
https://scotthelme.co.uk/im-giving-up-on-hpkp/

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –3 +/–

Сообщение от пох on 29-Окт-17, 10:29

> Всё правильно делают. Подробнее о проблемах:
"если у меня взломали сервер и, возможно, сперли все _ваши_ шифрованные данные - c pkp у меня не получается быстренько перевыпустить сертификат и сделать вид что ничего не было".
перевел, не благодари.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

13. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от Аноним (??) on 29-Окт-17, 14:51

твоя позиция понятна, но оглянись вокруг, разве людям в массе работоспособность сервиса не важнее его безопасности? тот же Линукс значительно ближе к народу, когда называет кое-кого обезъянами дрочащими на безопасность?

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

28. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 21:28

> твоя позиция понятна, но оглянись вокруг, разве людям в массе работоспособность сервиса
> не важнее его безопасности
ну так, казалось бы, не пользуйся pkp - доверяй CA, как все...э...заставь своих юзеров доверять CA или позаботиться о себе самим, вот, теперь правильно ;-)
но есть один ньюанс - pkp был еще одним (доступным немногим, с учетом необходимости подкладывать очень небесплатную соломку) препятствием к поголовному переходу на letsencrypt - поскольку, очевидно, бесмысленнен и опасен с короткоживущими сертификатами.
P.S. делайте ставки, господа - уберет гугль pkp из _телеметрии_ хромого, или нет.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

33. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от Аноним (??) on 29-Окт-17, 23:30

> разве людям в массе работоспособность сервиса не важнее его безопасности?
Лукавое, манипулятивное и, в ряде конкретных случаев, глупое противопоставление.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

19. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от xm (ok) on 29-Окт-17, 15:49

> перевел, не благодари.
Если бы только это. К примеру, недавняя история с регистрацией на стороннего человека одного из доменов NS серверов TLD .io доставила не по-деццки.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

29. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 21:31

>> перевел, не благодари.
> Если бы только это. К примеру, недавняя история с регистрацией на стороннего
> человека одного из доменов NS серверов TLD .io доставила не по-деццки.
ну а чего тебе не нравится? ns был зарегистрирован на несуществующий в природе хост несуществующего в природе домена. Чувак, мимокрокодил, видит, непорядок, дай, думает - зарегистрирую. Денег, между прочим, заплатил, кому следует (тем самым, кто должен бы по идее следить за бардаком) Теперь видимо чувствует себя медведем в сгоревшем автомобиле.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

18. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от xm (ok) on 29-Окт-17, 15:46

Скотт, конечно, красаучег. Но проблему со злоупотреблениями (ошибками) HPKP можно решить через внедрение механизма отзыва отпечатков. Он, собственно об этом и написал на днях.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

8. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +4 +/–

Сообщение от Аноним (??) on 29-Окт-17, 03:44

> механизм Certificate Transparency,
> Google's Certificate Transparency project ...
А, ну понятно...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –3 +/–

Сообщение от Ilya Indigo (ok) on 29-Окт-17, 07:40

Мне это механизм с самого начала не понравился.
При mitm-атаке заголовок легко подделывается.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от Аноним (??) on 29-Окт-17, 09:40

А какой механизм защищает от mitm-атак и в каких браузерах он правильно реализован?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 10:37

> А какой механизм защищает от mitm-атак и в каких браузерах он правильно
> реализован?
механизм trusted ca, удивительное рядом? Но наше индиго-детишко недавно очаровательно описялось, обнаружив что вообще не понимает основополагающих вещей в том, как работает ssl.
pkp защищает не от обычного mitm, а от того, что сам ca неожиданно оказался не очень-то trusted - например, получил кредитец под 0% от кого надо.
как, собственно, и ручное сохранение сертификата сайта.
в обоих случаях требуется хотя бы один раз получить настоящий сертификат - например, банально до того, как 0% кредит заставят отрабатывать. Что в любом случае не может быть всеобъемлющим и продолжаться долго - ибо палевно, поэтому в общем можно доверять CA.
Вероятно, если ты создал повод предполагать, что ОНИ за тобой следят, коллекцию сертификатов надо было начинать собирать не вчера.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

15. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –1 +/–

Сообщение от Ilya Indigo (ok) on 29-Окт-17, 15:29

> А какой механизм защищает от mitm-атак и в каких браузерах он правильно
> реализован?
Из публичных методов, в которых каждому клиенту не придётся заранее устанавливать себе сертификат сервера перед обращением к нему, а потом и переустанавливать. если сервер его изменит, ни один из них.
Но использование KPK это лишний геморрой на пустом месте.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

20. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +1 +/–

Сообщение от xm (ok) on 29-Окт-17, 15:51

> А какой механизм защищает от mitm-атак и в каких браузерах он правильно
> реализован?
1. DNSSEC + DANE (доверие переносится на уровень регистратора домена).
2. Ни в каких.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +5 +/–

Сообщение от Аноним (??) on 29-Окт-17, 15:15

Я один из тех, кто проср*л проект из-за этой технологии. Зарегал домен, поднял все, раскрутил, а потом решил добавить эту фигню. Шобы, значить, было еще более лучше с безопасностью. Потом полетел жесткий диск. Сайт восстановил из бэкапов, сертификат получил новый, поднял и ... никто не может зайти. Все коту под хвост.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +4 +/–

Сообщение от Аноним (??) on 29-Окт-17, 15:30

Не понял, а почему ты сертификат не бекапил?

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

22. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –3 +/–

Сообщение от Аноним (??) on 29-Окт-17, 16:27

Вначале не бэкапил, ибо не было надобности. Если что-то случится, логичнее всего перевыпустить certificate signing request и получить новый сертификат. Более того, в случае взлома старый сертификат нужно инвалидировать и заменить. А потом ... потом было поздно.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

30. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –1 +/–

Сообщение от Аноним (??) on 29-Окт-17, 21:36

Минусующие могут внятно объяснить, почему перегенерация сертификата - это плохо, а его бэкап и раскладывание бэкапов по разным дропбоксам, домашним компам и флешкам - это хорошо?

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

31. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –1 +/–

Сообщение от Аноним (??) on 29-Окт-17, 21:37

ЗЫ. Я - другой аноним.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

32. "В Chrome планируют удалить поддержку технологии PKP (Public ..." –1 +/–

Сообщение от пох on 29-Окт-17, 23:07

> Минусующие могут внятно объяснить, почему перегенерация сертификата - это плохо, а его
> бэкап и раскладывание бэкапов по разным дропбоксам, домашним компам и флешкам - это
> хорошо?
минус не мой, но объясню: потому что если у тебя физически накрылся диск - нет никакого смысла в "перегенерации сертификата" (вообще-то у нормального CA можно скачать тот же самый столько раз, сколько захочется, но закрытый ключ надо, разумеется, уберечь), надо поднять его с того же бэкапа, что всю остальную систему с минимумом лишних телодвижений. Если что - никакого секрета в нем нет, у любого заглянувшего к тебе юзера остается полная копия (можно даже извлечь ее из его браузера), без твоего закрытого ключа она бесполезна.
ломаешь ты при этом, помимо key pin'а, еще и банальное доверие тебе тех немногих умных юзеров, которые используют cert patrol или другой способ сверять сертификаты с ранее полученными их копиями, без всякого навязываемого гуглем или владельцем сайта сервиса. Поскольку они увидят, что ты менял сертификат без явных причин, и все о тебе поймут.
а бэкап без шифрования на левые дропбоксы и теряемую в автобусе флэшку не лучше и не хуже бэкапа того, что, собственно, защищает твой сертификат - юзеру в общем-то похрен, ломанули его mitm'ом из-за того, что ты упустил ключ, или просто стырили его пароль вместе со всей твоей базой.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

24. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 16:45

> Не понял, а почему ты сертификат не бекапил?
потому же, почему у него "ценный проект" (суперсекьюрный при том) на единственном жестком диске (а у меня пернатый друг и то на 3ware raid).
Чтоб сразу и волки сыты, и кобыле легче.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

23. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +2 +/–

Сообщение от пох on 29-Окт-17, 16:43

> Я один из тех, кто проср*л проект из-за этой технологии.
проект ты прос*л потому что ни бэкапы делать не умел, ни в технологии ничерта не разбирался, ни хотя бы хауту не прочел - на всех углах блин написано, что сигнатура должна и обязана быть не одна. Про дать денег нормальному админу, (не Илье-синюку, который не знал для чего нужны CA,но их таких есть) я уж не заикаюсь.
Но виновата, конечно же, технология, ага. Ну вот гугль о тебе и позаботился. К сожалению, и о нас тоже.

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

25. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от Аноним (??) on 29-Окт-17, 16:56

Так я и не претендую. Я просто говорю, что если бы этой технологии не было, этот проект был бы жив. Ну, или я прокололся бы на чем-то другом :-)

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

26. "В Chrome планируют удалить поддержку технологии PKP (Public ..." +/–

Сообщение от пох on 29-Окт-17, 17:24

> Я просто говорю, что если бы этой технологии не было, этот проект был бы жив
да не было б ssl - тоже был бы жив ;-)
причем и по сей день. Вони по поводу "сайт несекьюрен, ой, не ходите сюда" в хромом почти нет - в десктопном так вообще надо стараться, чтобы что-то там заметить. (пока, конечно, ты пароли clear-text'овой вебформой не отправляешь, но за это и в ssl-обертке убивать уже пора)
в отличии от истории с pkp, когда высовывается страшное окно с непонятными надписями и двумя кнопкам - "еще больше неведомой х..ни" и "загрузить котиков". Кнопки "продолжить" нет в принципе, пользователю незачем решать, что для него опасно, а что нет, гугль лучше знает. (мазила, если что, тоже - редкий юзер осилит удалить пин, даже если ему по буквам диктовать)

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
Сообщение от AntonAlekseevich (ok) on 28-Окт-17, 23:51
Стоит Google отдать должное. Убрали ещё 1 механизм из Web'а который игнорируется всеми кроме тех 375 сайтов и их пользователей.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

2. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+4 +/–
Сообщение от Аноним (??) on 28-Окт-17, 23:59
TL;DR: нехрен админам заботиться о безопасности, CA позаботятся за них.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	3. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+12 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 00:29
	А потом CA такие: "упс, мы прое*али ключи от 100500 сертификатов, но вы нас простите, ладно?.."
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	5. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–4 +/–
	Сообщение от пох on 29-Окт-17, 00:39
	> А потом CA такие: "упс, мы прое*али ключи от 100500 сертификатов, но да нет, зачем же? Мы просто выдали кому надо (а не владельцу сервера) очередной летсдекриптовый сертификат - их мильярды, они каждый день обновляются, никто ничего и не заметил даже, чего вы волнуетесь? Ключи просpала один-единственный раз одна-единственная контора, которая не должна была пройти аудит - если бы его проводили как надо, а не ради вымогательства денег. Там просто вообще не было, похоже, ни нормальных админов, ни у тех админов реальных прав остановить бардак. Все остальные intermediate roots были выданы _сознательно_.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	4. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от пох on 29-Окт-17, 00:36
	гугль позаботится за них. Поскольку весь этот тяжелый бред (с прозрачным упоминанием еще одной возможности собирания бабла за воздух) с логсерверами, аудиторами и прочей неведомой хренью будет принадлежать известно кому. Соответственно, не владельцы сайта будут решать, каким именно сертификатам доверяет браузер их посетителя. И не посетитель - см. полезный и нужный пункт об удалении ручной привязки сертификатов - хотя она явно не может быть использована ни для чего, кроме...ну да, 100% уверенности, что сертификат не подменен, если первоначально он был получен из доверенного источника. Без всяких гуглосервисов и гуглошпионов, заметьте. гугль продолжает старательно выполнять условия своего кредита под 0%
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	34. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от Аноним (??) on 30-Окт-17, 00:03
	> гугль позаботится за них. Ну, вот здесь: https://www.certificate-transparency.org/what-is-ct много говорится о прозрачном, криптографически заверенном журналировании всех процессов сертификации, об открытой системе аудита и мониторинга, поддерживающей публичное наблюдение и проверку выпущенных сертификатов, распределенной системе независимых серверов журналов и т.п. > Без всяких гуглосервисов и гуглошпионов, заметьте. Если все будет реализовано по уму и так, как описано, и без навязчивой привязки к серверам Большого Брата, то должно быть хорошо всем.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	35. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
	Сообщение от пох on 30-Окт-17, 01:22
	> много говорится да-да, говорится много. Табличку "bullshit" можно поднимать после первых десятка строк. > Если все будет реализовано по уму и так, как описано то pkp это не заменит практически никак, ручную привязку сертификата к конкретному хосту - совсем никак. Ваши возможности на что-то повлиять и вовсе сводятся к нулю, по обе стороны от мушки. 1. вы не можете держать свой лог-сервер - то есть, хоть обдержитесь, но CA вам никаких логов слать не будут. Доверяйте гуглю. 2. вы вряд ли сможете держать свой монитор, анализирующий логи по мере добавления - во-первых, это довольно дорогое удовольствие, во-вторых, наверняка логовладельцы захотят сделать на этом бакшиш (или просто зарейтлимитят - ну можно будет раз в день проверить, что твоему сайту еще не выдали десять сертификатов неизвестно кому, пользы от этого - ноль) Доверяйте гуглю. 3. из набора функций аудитора вы сможете самостоятельно разьве что проверить, что сертификат есть в логе. А он конечно ж есть, чего ж нам не есть. Вот нет ли там еще парочки - непонятно ни как проверить, ни что делать с этим знанием (они может валидны). "In most cases, the Certificate Transparency system can detect suspect certificates or CAs in a few hours instead of" immediately, as pkp did. Поправил, не благодарите. Ну и вишенка на тортике: Others will be run as subscription services that domain owners and certificate authorities can buy into. платите за воздух еще разок.
	Ответить \| Правка \| ^ к родителю #34 \| Наверх \| Cообщить модератору


	36. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–1 +/–
	Сообщение от Аноним (??) on 30-Окт-17, 03:12
	Да, эта система пока не выглядит совершенной. С одной стороны (https://www.certificate-transparency.org/what-is-ct): Make it impossible (or at least very difficult) for a CA to issue a SSL certificate for a domain without the certificate being visible to the owner of that domain. Protect users (as much as possible) from being duped by certificates that were mistakenly or maliciously issued. И это выглядит хорошо: кому попало не выдаем и юзера как-то защитить пытаемся. С другой стороны (https://datatracker.ietf.org/doc/rfc6962/?include_text=1): 7.2. Detection of Misissue The logs do not themselves detect misissued certificates; they rely instead on interested parties, such as domain owners, to monitor them and take corrective action when a misissue is detected. Что не выглядит хорошо, ибо это есть попытка возложить функцию контроля на владельца домена.
	Ответить \| Правка \| ^ к родителю #35 \| Наверх \| Cообщить модератору

7. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
Сообщение от Аноним (??) on 29-Окт-17, 02:39
Всё правильно делают. Подробнее о проблемах: https://scotthelme.co.uk/im-giving-up-on-hpkp/
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	11. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–3 +/–
	Сообщение от пох on 29-Окт-17, 10:29
	> Всё правильно делают. Подробнее о проблемах: "если у меня взломали сервер и, возможно, сперли все _ваши_ шифрованные данные - c pkp у меня не получается быстренько перевыпустить сертификат и сделать вид что ничего не было". перевел, не благодари.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	13. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от Аноним (??) on 29-Окт-17, 14:51
	твоя позиция понятна, но оглянись вокруг, разве людям в массе работоспособность сервиса не важнее его безопасности? тот же Линукс значительно ближе к народу, когда называет кое-кого обезъянами дрочащими на безопасность?
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	28. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от пох on 29-Окт-17, 21:28
	> твоя позиция понятна, но оглянись вокруг, разве людям в массе работоспособность сервиса > не важнее его безопасности ну так, казалось бы, не пользуйся pkp - доверяй CA, как все...э...заставь своих юзеров доверять CA или позаботиться о себе самим, вот, теперь правильно ;-) но есть один ньюанс - pkp был еще одним (доступным немногим, с учетом необходимости подкладывать очень небесплатную соломку) препятствием к поголовному переходу на letsencrypt - поскольку, очевидно, бесмысленнен и опасен с короткоживущими сертификатами. P.S. делайте ставки, господа - уберет гугль pkp из _телеметрии_ хромого, или нет.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	33. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 23:30
	> разве людям в массе работоспособность сервиса не важнее его безопасности? Лукавое, манипулятивное и, в ряде конкретных случаев, глупое противопоставление.
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	19. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
	Сообщение от xm (ok) on 29-Окт-17, 15:49
	> перевел, не благодари. Если бы только это. К примеру, недавняя история с регистрацией на стороннего человека одного из доменов NS серверов TLD .io доставила не по-деццки.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	29. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от пох on 29-Окт-17, 21:31
	>> перевел, не благодари. > Если бы только это. К примеру, недавняя история с регистрацией на стороннего > человека одного из доменов NS серверов TLD .io доставила не по-деццки. ну а чего тебе не нравится? ns был зарегистрирован на несуществующий в природе хост несуществующего в природе домена. Чувак, мимокрокодил, видит, непорядок, дай, думает - зарегистрирую. Денег, между прочим, заплатил, кому следует (тем самым, кто должен бы по идее следить за бардаком) Теперь видимо чувствует себя медведем в сгоревшем автомобиле.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	18. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
	Сообщение от xm (ok) on 29-Окт-17, 15:46
	Скотт, конечно, красаучег. Но проблему со злоупотреблениями (ошибками) HPKP можно решить через внедрение механизма отзыва отпечатков. Он, собственно об этом и написал на днях.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору

8. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+4 +/–
Сообщение от Аноним (??) on 29-Окт-17, 03:44
> механизм Certificate Transparency, > Google's Certificate Transparency project ... А, ну понятно...
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

9. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–3 +/–
Сообщение от Ilya Indigo (ok) on 29-Окт-17, 07:40
Мне это механизм с самого начала не понравился. При mitm-атаке заголовок легко подделывается.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	10. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от Аноним (??) on 29-Окт-17, 09:40
	А какой механизм защищает от mitm-атак и в каких браузерах он правильно реализован?
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	12. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от пох on 29-Окт-17, 10:37
	> А какой механизм защищает от mitm-атак и в каких браузерах он правильно > реализован? механизм trusted ca, удивительное рядом? Но наше индиго-детишко недавно очаровательно описялось, обнаружив что вообще не понимает основополагающих вещей в том, как работает ssl. pkp защищает не от обычного mitm, а от того, что сам ca неожиданно оказался не очень-то trusted - например, получил кредитец под 0% от кого надо. как, собственно, и ручное сохранение сертификата сайта. в обоих случаях требуется хотя бы один раз получить настоящий сертификат - например, банально до того, как 0% кредит заставят отрабатывать. Что в любом случае не может быть всеобъемлющим и продолжаться долго - ибо палевно, поэтому в общем можно доверять CA. Вероятно, если ты создал повод предполагать, что ОНИ за тобой следят, коллекцию сертификатов надо было начинать собирать не вчера.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	15. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–1 +/–
	Сообщение от Ilya Indigo (ok) on 29-Окт-17, 15:29
	> А какой механизм защищает от mitm-атак и в каких браузерах он правильно > реализован? Из публичных методов, в которых каждому клиенту не придётся заранее устанавливать себе сертификат сервера перед обращением к нему, а потом и переустанавливать. если сервер его изменит, ни один из них. Но использование KPK это лишний геморрой на пустом месте.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	20. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+1 +/–
	Сообщение от xm (ok) on 29-Окт-17, 15:51
	> А какой механизм защищает от mitm-атак и в каких браузерах он правильно > реализован? 1. DNSSEC + DANE (доверие переносится на уровень регистратора домена). 2. Ни в каких.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору

14. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+5 +/–
Сообщение от Аноним (??) on 29-Окт-17, 15:15
Я один из тех, кто проср*л проект из-за этой технологии. Зарегал домен, поднял все, раскрутил, а потом решил добавить эту фигню. Шобы, значить, было еще более лучше с безопасностью. Потом полетел жесткий диск. Сайт восстановил из бэкапов, сертификат получил новый, поднял и ... никто не может зайти. Все коту под хвост.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	16. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+4 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 15:30
	Не понял, а почему ты сертификат не бекапил?
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	22. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–3 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 16:27
	Вначале не бэкапил, ибо не было надобности. Если что-то случится, логичнее всего перевыпустить certificate signing request и получить новый сертификат. Более того, в случае взлома старый сертификат нужно инвалидировать и заменить. А потом ... потом было поздно.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	30. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–1 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 21:36
	Минусующие могут внятно объяснить, почему перегенерация сертификата - это плохо, а его бэкап и раскладывание бэкапов по разным дропбоксам, домашним компам и флешкам - это хорошо?
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	31. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–1 +/–
	Сообщение от Аноним (??) on 29-Окт-17, 21:37
	ЗЫ. Я - другой аноним.
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору


	32. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	–1 +/–
	Сообщение от пох on 29-Окт-17, 23:07
	> Минусующие могут внятно объяснить, почему перегенерация сертификата - это плохо, а его > бэкап и раскладывание бэкапов по разным дропбоксам, домашним компам и флешкам - это > хорошо? минус не мой, но объясню: потому что если у тебя физически накрылся диск - нет никакого смысла в "перегенерации сертификата" (вообще-то у нормального CA можно скачать тот же самый столько раз, сколько захочется, но закрытый ключ надо, разумеется, уберечь), надо поднять его с того же бэкапа, что всю остальную систему с минимумом лишних телодвижений. Если что - никакого секрета в нем нет, у любого заглянувшего к тебе юзера остается полная копия (можно даже извлечь ее из его браузера), без твоего закрытого ключа она бесполезна. ломаешь ты при этом, помимо key pin'а, еще и банальное доверие тебе тех немногих умных юзеров, которые используют cert patrol или другой способ сверять сертификаты с ранее полученными их копиями, без всякого навязываемого гуглем или владельцем сайта сервиса. Поскольку они увидят, что ты менял сертификат без явных причин, и все о тебе поймут. а бэкап без шифрования на левые дропбоксы и теряемую в автобусе флэшку не лучше и не хуже бэкапа того, что, собственно, защищает твой сертификат - юзеру в общем-то похрен, ломанули его mitm'ом из-за того, что ты упустил ключ, или просто стырили его пароль вместе со всей твоей базой.
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору


	24. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+/–
	Сообщение от пох on 29-Окт-17, 16:45
	> Не понял, а почему ты сертификат не бекапил? потому же, почему у него "ценный проект" (суперсекьюрный при том) на единственном жестком диске (а у меня пернатый друг и то на 3ware raid). Чтоб сразу и волки сыты, и кобыле легче.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	23. "В Chrome планируют удалить поддержку технологии PKP (Public ..."	+2 +/–
	Сообщение от пох on 29-Окт-17, 16:43
	> Я один из тех, кто просрл проект из-за этой технологии. проект ты просл потому что ни бэкапы делать не умел, ни в технологии ничерта не разбирался, ни хотя бы хауту не прочел - на всех углах блин написано, что сигнатура должна и обязана быть не одна. Про дать денег нормальному админу, (не Илье-синюку, который не знал для чего нужны CA,но их таких есть) я уж не заикаюсь. Но виновата, конечно же, технология, ага. Ну вот гугль о тебе и позаботился. К сожалению, и о нас тоже.
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору