Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от opennews (?), 23-Фев-20, 11:05
Некоммерческий удостоверяющий центр Let’s Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, объявил о внедрении новой схемы подтверждение полномочий на получение сертификата для домена. Обращение к серверу, на котором размещён используемый в проверки каталог "/.well-known/acme-challenge/", теперь будет осуществляться с использованием нескольких HTTP-запросов, отправляемых с 4 разных IP-адресов, размещённых в разных датацентрах и  принадлежащих к разным автономным системам. Проверка признаётся успешной только, если как минимум 3 из 4 запросов с разных IP оказались успешными... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=52419
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Let's Encrypt перешёл к проверке с использованием разных под..."	–12 +/–
Сообщение от Омноним (?), 23-Фев-20, 11:05
Вот только выложил свой хук для dehydrated - и тут новость про LE, моё почтение
Ответить | Правка | Наверх | Cообщить модератору

	9. "Let's Encrypt перешёл к проверке с использованием разных под..."	+4 +/–
	Сообщение от OpenEcho (?), 23-Фев-20, 12:04
	И каким образом новость влияет на dehydrated ? Он по протоколу либо получает "успех", либо "облом" вне зависимости от методов проверяющего... Или вы в хуках контролируете логи веб сервера как часто и с каких ИП вас проверяют ?
	Ответить | Правка | Наверх | Cообщить модератору

2. "Let's Encrypt перешёл к проверке с использованием разных под..."	–5 +/–
Сообщение от LeNiN (ok), 23-Фев-20, 11:11
А что за «учётная запись в ACME»?
Ответить | Правка | Наверх | Cообщить модератору

	25. "Let's Encrypt перешёл к проверке с использованием разных под..."	+6 +/–
	Сообщение от Аноним (25), 23-Фев-20, 13:54
	Работает так же, как и остальная продукция ACME.
	Ответить | Правка | Наверх | Cообщить модератору

3. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
Сообщение от Аноним (3), 23-Фев-20, 11:31
красавцы!
Ответить | Правка | Наверх | Cообщить модератору

4. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
Сообщение от Аноним (4), 23-Фев-20, 11:38
Первое: баг опеннета, что у меня в заголовке окна новость отображается как:"Let’s Encrypt..." -- HTML Entity вместо нормального апострофа. Было бы неплохо это поправить. Второе: Safari, как ни парадоксально, повлияет на рынок сертификатов. То есть, производители браузеров обладают рычагом воздействия. Лично мне это как-то неожиданно.
Ответить | Правка | Наверх | Cообщить модератору

	5. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Долбоним (?), 23-Фев-20, 11:46
	Safari? Закопай!
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Let's Encrypt перешёл к проверке с использованием разных под..."	+11 +/–
	Сообщение от Ilya Indigo (ok), 23-Фев-20, 12:45
	Ага, закопаешь его, когда каждый 1-ый директор считает своим долгом использовать исключительно гейское оборудование, и проверяет работу сайта на нём.
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Let's Encrypt перешёл к проверке с использованием разных под..."	–2 +/–
	Сообщение от анон (?), 23-Фев-20, 13:51
	перестаньте их "кормить" оптимизациями под сафари и прогибатся, и они перестанут юзаєть єто покусаное говно.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Let's Encrypt перешёл к проверке с использованием разных под..."	+8 +/–
	Сообщение от Аноним (25), 23-Фев-20, 14:04
	Нет, они просто уволят гомофобов, наймут нового админа, толерантного к эппл. Каминг-оут можно при этом не совершать.
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 23-Фев-20, 14:59
	> Каминг-оут можно при этом не совершать. если у них нет divercity квот.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (66), 23-Фев-20, 20:32
	Квот ... чего?! Городов для пловцов?!
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Ilya Indigo (ok), 23-Фев-20, 14:46
	> перестаньте их "кормить" оптимизациями под сафари и прогибатся, и они перестанут юзаєть > єто покусаное говно. Это они меня кормят, в прямом смысле!
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	61. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от FSA (??), 23-Фев-20, 19:22
	> Это они меня кормят, в прямом смысле! Ты сам себя кормишь, а они у тебя основную часть заработка забирают.
	Ответить | Правка | Наверх | Cообщить модератору

	89. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от пох. (?), 24-Фев-20, 09:11
	одна проблема - если они вдруг перехотят "забирать" (а на самом деле платить) - то они - перетопчутся (судя по его васян-коментам, это не смузи-it конторы, и вебня которую он для них делает - для них вовсе не центр вселенной), ну может немного упадут продажи, а может и не упадут вовсе. А такой васян как ты, внезапно, обнаружит что ни разу себя не кормит - сам. Потому что труд таки на самом деле ничего не стоит, а выращивать рис на кухне у тебя не получится. Вот жил бы ты где-нибудь в Непале, или там в северной Индии (не надейся, легальный способ только один - выплысть в лодке на середину озера в нужный момент, и утопиться, произнося особую мантру - тогда есть шанс переродиться индусом) - тогда мог бы шлепать губой, что сам себя кормишь. Рис можно есть, и, если повезет - продать излишек соседу, и купить у него курицу. Одну на год. А всякой ИТ заниматься для души те вечерние пол-часа, которые у тебя иногда еще будут свободны (только непонятно, где деньги на электричество и компьютеры). До первого землятрясения или еще какого глобального катаклизма (они там регулярны), когда выяснится что твое просто выживание зависит от доброты чужого дяди. Ну или до первой болячки посерьезней гриппа. Когда просто помрешь. Местные маоисты так и делают. И не парятся - они-то переродятся, если правильно похоронить.
	Ответить | Правка | Наверх | Cообщить модератору

	136. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (136), 24-Фев-20, 23:12
	> платить) - то они - перетопчутся (судя по его васян-коментам, Знаешь, ты в принципе и без труда сталевара перетопчешься! Набедренную повязку можно и без сталеваров соорудить. Палку-копалку в общем то тоже. Получается, сталевары - мерзавцы, которые всех эксплуатируют, полюбому. Disclaimer: сталевары взяты как пример. Можно заменить на любую другую профессию :)
	Ответить | Правка | Наверх | Cообщить модератору

	151. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 25-Фев-20, 10:38
	>> платить) - то они - перетопчутся (судя по его васян-коментам, > Знаешь, ты в принципе и без труда сталевара перетопчешься! Набедренную повязку можно главное, верить, что ты такой же ценный трактор, как и сталевар, и если не выйдешь на смену - случится что-то ужасное, мир откатится к палкам-копалкам и набедренным повязкам. (на самом деле - нет) Отдельно интересно, они еще вообще-то в природе остались, хотя бы в китае? Или там выучили урок "доменной печи в каждой деревне", и тоже - одни операторы? > Disclaimer: сталевары взяты как пример. Можно заменить на любую другую профессию :) леваки, видишь ли, считают что руководить бизнесом - это не профессия. При том что на деле пользы от них значительно меньше, чем от хороших руководителей.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 23-Фев-20, 20:36
	> Это они меня кормят, в прямом смысле! А сами они, типа, альтруисты или даже может быть, деньги печатают? :) Ну и лично я бы уволился нафиг из конторы с такими пи... :)
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	72. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 23-Фев-20, 21:52
	Эксплуата́ция — присвоение результатов труда другого человека [...] с предоставлением взамен товаров (услуг, денег), стоимость которых *меньше*, чем стоимость, созданная трудом этого человека за рабочее время. -- https://ru.wikipedia.org/wiki/Эксплуатация_труда
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	91. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 24-Фев-20, 09:18
	именно так он и эксплуатирует своих начальников. Присваивает результат их тяжкого организационного труда, взамен предоставляя васянскую ит. Которая вряд ли стоит своих денег, просто так принято. Я, если что, примерно то же самое делаю, бизнес без меня совершенно точно обойдется. Просто у него лишних денег много, часть из них можно тратить на то, что не приносит никакого дохода. И только больные у6людки, перечитавшие религиозной сектантской литературы, думают что их труд чего-то стоит. Почему-то обижаются, если им предлагают стандартный метод перевоспитания таких сектантов позапрошлого века - повозить песочек на тачке из одного угла двора в другой. А потом попробовать его есть, что-ли - ведь "труд кормит!" - и вроде трудился-то побольше чем сидя на жопке за столом.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от patients (?), 24-Фев-20, 21:59
	>>именно так он и эксплуатирует своих начальников Ыыыы, матерые в-ва
	Ответить | Правка | Наверх | Cообщить модератору

	135. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 24-Фев-20, 23:06
	> И только больные у6людки, перечитавшие религиозной сектантской литературы, думают что > их труд чего-то стоит. Не, вот пардон, если кастомер мне бабки дает - наверное, по его мнению, труд чего-то стоит? :)
	Ответить | Правка | К родителю #91 | Наверх | Cообщить модератору

	152. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 25-Фев-20, 10:44
	>> И только больные у6людки, перечитавшие религиозной сектантской литературы, думают что >> их труд чего-то стоит. > Не, вот пардон, если кастомер мне бабки дает - наверное, по его мнению, труд чего-то стоит? :) если ты лично этого ло..кастомера развел на бабло - наверное, стоит, но всегда остается осадочек - какой именно труд. Потому что возможно основных твоих усилий стоил как раз труд по разводу, а не два раза кликнуть верную мышь. А мне вот кастомер ни копейки не заплатит, он вообще о моем существовании вряд ли догадывается. Насчет догадываются ли менеджеры, выжимающие с кастомера те копейки в поте лица своего - тоже не уверен. Иначе я бы давно собачек на поводочке водил, а не глаза добивал о монитор. Тем более что явно умею это делать лучше, чем нанятые сервисами по выгулу. Проблема что с собачки оплату только какашкой можно получить, а чтобы получить деньги лоха - нужен сервис. Где собачки вообще не главное.
	Ответить | Правка | Наверх | Cообщить модератору

	11. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (11), 23-Фев-20, 12:07
	firefox - windows
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	17. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от N (?), 23-Фев-20, 12:35
	Firefox, Ubuntu. Подтверждаю.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	20. "Let's Encrypt перешёл к проверке с использованием разных под..."	–3 +/–
	Сообщение от пох. (?), 23-Фев-20, 13:37
	похоже и яблу занесли нормально денег за повлияние. Никаким другим разумным образом это не объяснить. Кому-то стоящему за letshitcrypt очень, очень хочется полностью ликвидировать возможность проверки сертификата, а не слепого доверия непонятным м-кам. Чем больше подобных странных решений под видом "безопастносте", тем меньше сомнений что это именно м-ки.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	41. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от None (??), 23-Фев-20, 16:01
	Кстати, кто-нибудь может толково объяснить, почему LE взлетел, а DANE - нет?
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Тфьу (?), 23-Фев-20, 16:34
	Потому что LE просто работает везде, а dane это не пойми что?
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от suffix (ok), 23-Фев-20, 17:01
	Разумеется всем было хорошо если бы в браузерах была бы поддержка tlsa dane под dnssec (и она была в хроме - но выпилили гады !) - тогда все бы обходились бы самоподписанными сертификатами и с надёжностью был бы полный порядок. Но ! 1. Не спешат (это мягко сказано) внедрять владельцы сайтов / доменов вндрять у себя dnssec 2.  Без поддержки в браузерах валидация tlsa dane под dnssec не проста для домохозяйки:                а)                         dig . DNSKEY | grep -Ev '^($|;)' > root.keys                 б)                  dig +sigchase +trusted-key=./root.keys _443._tcp.www.babai.ru TLSA | cat -n                 Должны получить если всё хорошо:                 Ok this DNSKEY is a Trusted Key, DNSSEC validation is ok: SUCCESS                 в)                  dig +sigchase +topdown +trusted-key=./root.keys _443._tcp.www.babai.ru TLSA | cat -n                 Должны получить если всё хорошо:                 FINISH : we have validate the DNSSEC chain of trust: SUCCES                 г)                  На сайте https://www.huque.com/bin/danecheck проверяем валидность уже самой tlsa dane записи. Никто в здравом уме так не будет постоянно проверять разумеется :)   Так что есть и способ и проверенное временем надёжное решение но без повсеместного внедрения dnssec и поддержки браузерами tlsa dane - всё это лишь мечты. Так что пользуемся https и не жужим :)
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	53. "Let's Encrypt перешёл к проверке с использованием разных под..."	+3 +/–
	Сообщение от OpenEcho (?), 23-Фев-20, 17:07
	DANE: - TLS клиент и сервер работают без центра сертификации, - потеря контроля над sheeple - Не подерживается популярными браузерами, что практически убивает идею на корню Let's Encrypt: - ничего нового изобретать не надо, можно дергать ниточки LE т.к. они зависят от спонсоров,   заинтересованных в сливе в certificate transparency - Централизованный контроль - люди любят халяву и в конечном итоге большинство слетятся как мухи, как это есть с   халявным емаилом и прочим "бесплатным сыром"
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	73. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от пох. (?), 23-Фев-20, 22:18
	потеря контроля над sheeple Потому и: - Не подерживается популярными браузерами поправил, не благодари. > люди любят халяву и в конечном итоге большинство слетятся как мухи а кто не слетится - тому ябл заблокирует сертификат (дайте угадаю - без кнопки "продолжить" и возможности самому решать за себя)
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от xm (ok), 23-Фев-20, 23:29
	Собственно, из-за потенциальной потери контроля и доходов CA от продажи TLS сертификатов и есть главный фактор, почему DNSSEC/DANE последовательно и целенаправленно не поддерживают разработчики браузеров.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	92. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от пох. (?), 24-Фев-20, 09:32
	> Собственно, из-за потенциальной потери контроля и доходов CA какие еще доходы у летсшиткрипты? От торговли логами? Вряд ли за это много платят, там, скорее, бартер. > последовательно и целенаправленно не поддерживают разработчики браузеров разработчики браузеров последовательно и целенаправленно уничтожают CA, отличные от единственноверного с сертификатами действительными три дня. dane - феерическое бесполезное гиперусложненное ненужно (и только это и спасает их от любителей потыкать пальчиком и найти десяток RCE во всем гуанософте). Инфраструктура CA была вполне нормальным решением, если бы не одно "но": их единственным назначением должно было быть - предоставление простого пути подтверждения, что васянсайт действительно принадлежит васяну. С этой задачей они до 2010го года вполне успешно справлялись за сравнительно невеликие деньги. Проверяли документы и соответствие их тому что заявлено. Об остальном заботился certpatrol. Кому-то очень, очень захотелось все это разрушить, и подсунуть фуфло. И они в этом преуспели настолько, что неокученными не остались даже совершенно васянские никому неведомые форки форков. Начали с введения SNI. Сводящему ценность сертификата к х..ю, а заодно светящим кому попало, куда ты пришел. Продолжили сдвигом окна Овертона, когда mitm от кого надо не является mitm и вообще никто не видит в нем ни малейшей проблемы. Закончили уничтожением возможности контролировать хотя бы те сертификаты, владельцы которых не поддались на "уговоры". Все для вашей безопастносте!
	Ответить | Правка | Наверх | Cообщить модератору

	172. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (172), 27-Фев-20, 23:19
	> Начали с введения SNI. Сводящему ценность сертификата к х..ю, а заодно светящим кому попало, куда ты пришел. Что за бред? Как SNI влияет на ценность сертификата? И почему ты винишь SNI (внедренный в браузерах в 2006) в палеве, когда сертификаты вплоть до TLS 1.3 (который стандартизирован только в 2018) как раз прекрасно выполняли эту функцию палева прямо со времен SSL (1995), т.к. передавались без шифрования. Или эксперт не в курсе элементарных вещей? > Продолжили сдвигом окна Овертона, когда mitm от кого надо не является mitm и вообще никто не видит в нем ни малейшей проблемы. Во-первых, окно Овертона пропагандистский миф. Во-вторых, кто должен запрещать владельцу сайта вставлять между собой и юзерами mitm Cloudflare? CF не сам влез, его пригласила одна из сторон, между которыми идет трафик. Точно так же как юзеру никто не мешает поставить в систему антивирус, который будет митмить весь https трафик юзера и потенциально сливать создателю и спецслужбам, восприниматься как mitm это не будет, хотя согласие владельца сайта никто не спрашивал.
	Ответить | Правка | Наверх | Cообщить модератору

	173. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 28-Фев-20, 10:15
	> Что за бред? Как SNI влияет на ценность сертификата? банально - сертификат теперь не подтверждает что сервер принадлежит или хотя бы частично находится под контролем того, кому он выдан. Он всего лишь подтверждает то, что тот, кому он выдан, подарил свой закрытый ключ еще и этим васянам, помимо широкого круга неизвестных тебе лиц. Ну а попутно светит всем желающим, куда ты пришел. Я вот даже не знаю - это и правда "хуже чем преступление", и васяны дорвавшиеся до права коммитить свои правки, реально были такие т-пые (могу поверить, поскольку их нашествие именно с этими событиями и совпало), или все же кто-то кому-то хорошо занес. Причем механизм определения хоста в протоколе http прекрасно без этого мусора обходится, а дальше можно было бы, при большом желании, переустановить сессию с правильным сертификатом - уже закрытую тем, который предъявлен по умолчанию. Но так бы ты мог узнать кое-что лишнее о том, кому на самом деле доверил свой траффик, и даже, о ужас, самостоятельно решить, стоит ли ему верить - а на это мы пойтить никак не могем. Поэтому, наоборот, renegotiation из https выпилен начисто.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от xm (ok), 23-Фев-20, 23:31
	Потому что это куда как меньшая угроза бизнесу CA в частности, и контролю над всей системой TLS сертификатов в целом, чем DNSSEC / DANE.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	109. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (109), 24-Фев-20, 14:11
	Потому что LE решил проблему с сохранением обратной совместимости: помимо процесса выпуска сертификата (который все равно не стандартизирован никак) ничего менять не надо. Кстати, не вижу, как DANE позволит решить проблему, адресуемую обсуждаемым изменением в LE. А проблема серьезная.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	156. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от evkogan (?), 25-Фев-20, 11:31
	Вы о какой проблеме? Я для себя увидел только одну, пока еще потенциальную, но уже похоже скоро придет. Что сертификаты для всех внутренних сервисов придется выписывать на 1 год. Вот мне больше делать нечего чем каждый год перевыписывать сертификаты на все системы и по новому их дружить между собой. А эти "хорошие" люди давно положили на внутренние сервисы и ломают все с требованием соответствовать самым новомодным тенденциям в интернете. Без права выбора у конечных пользователей. И да, я уже вспоминаю с ностальгией времена IE6. Когда в нем все просто работало. И было плевать на безопасность, потому что внутри сети все и так безопасно. Но если вначале это закручивание гаек и правда было осмыслено, то давно осмысленность ушла. А навязываемые решения все меньше мне нравятся. И в те времена я мог ВЫБРАТЬ из приличных браузеров: опера, фаерфокс или что-то более редкое. А сейчас фаерфокс скатился в ... и продолжает катиться, хромоподелия все одинаковые и еще хуже (пока). Но хороших нет. А они продолжат безкомпромисную борьбу за наше "светлое" будущее...
	Ответить | Правка | Наверх | Cообщить модератору

	174. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 28-Фев-20, 10:19
	> Что сертификаты для всех внутренних сервисов придется выписывать на 1 год. чего это на год? Это просто временное решение, на переходный период. Сертификат надо выписывать на час! Иначе это нисесюрно-нисисюрно и его кто-то уже мог перехватить! > Вот мне больше делать нечего чем каждый год перевыписывать сертификаты на все > системы и по новому их дружить между собой. поэтому тебя заставят отказаться от доверия сертификатам вообще - даже самовыписанным. Поставишь чудесный самоапдейтящийся сервис в докере под докером в докере (по другому этот набор палок и костылей, обмазанных дерьмом, запустить будет все равно нельзя), и он тебе будет автоматически раз в час все перегенерять. Доверять ты должен исключительно гуглезиле, они лучше тебя знают, что безопастно.
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним84701 (ok), 23-Фев-20, 15:17
	> Второе: Safari, как ни парадоксально, повлияет на рынок сертификатов. То есть, производители браузеров обладают рычагом воздействия. Лично мне это как-то неожиданно. С удачной разморозкой! Парадоксально и неожиданно тут разве что "производитель браузера" в этом случае оказался не гуглом: https://www.opennet.dev/opennews/art.shtml?num=51271 > В Chrome 77 и Другом Браузере Гугля 70 будет прекращена маркировка сертификатов с расширенной верификацией https://www.opennet.dev/opennews/art.shtml?num=46941 > В Chrome и Другом Браузере Гугля будет прекращено доверие к удостоверяющему центру Symantec (В заголовках ошибочно именовали "другой, финансируемый почти исключительно гуглом браузер" каким-то "firefox" - поправил)
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	43. "Let's Encrypt перешёл к проверке с использованием разных под..."	–3 +/–
	Сообщение от пох. (?), 23-Фев-20, 16:06
	> Парадоксально и неожиданно тут разве что "производитель браузера" в этом случае оказался не > гуглом: уже не парадоксально: palemoon: https://www.opennet.dev/opennews/art.shtml?num=52004 HPKP will eventually be removed (overall Internet concensus). Казалось бы, интернет-консенсунс пришел к выводу, что все технологии, ради которых только и держат PM - вредные нисисюрные нибизапастные и should be removed. Но почему-то зачесалось в этом случае - последовать за стадом. То ли пастух махнул кнутом. То ли ящерики овладевают напрямую через мозг. То ли мозгов ни у кого и не осталось, купируют на первом курсе любой техничекой специальности. Я еще готов поверить, что яблу кто-то занес - учитывая апетиты, туда завозить пришлось, но это окупает ценность клиентуры - на одного придурка Безноса, не желающего быть некаквсе, и за это жестко иметого даже простыми арабскими парнями, еще десять все же пользуются огрызком потому что это подчеркивает их статус. Но на этого-то кто стал тратиться - хотя бы чтоб просто его вообще заметить? P.S. хммм. а ведь выстраивается стройная картина. waterfox куплен ребятами, которые _якобы_ зарабатывают рекламой. А по факту - баннер 1x1 ничего не рекламирует. Никто не отслеживает происходящее вокруг ungoogled chromium?
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (-), 23-Фев-20, 22:36
	Походу мозг поха был зохаван ящерками...
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Let's Encrypt перешёл к проверке с использованием разных под..."	–2 +/–
	Сообщение от пох. (?), 24-Фев-20, 09:34
	походу у вас мозгов нет вообще, ящерики сдохнут с голоду.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (109), 23-Фев-20, 18:51
	В заголовке все нормально. Это баш вашего браузера.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	60. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (109), 23-Фев-20, 18:52
	Баг*
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (63), 23-Фев-20, 20:04
	"Баш вашего браузера" тоже норм звучит.
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (109), 23-Фев-20, 21:42
	ну а что, гит на баше вон написали уже, можно и браузер
	Ответить | Правка | Наверх | Cообщить модератору

6. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от AlexBO (?), 23-Фев-20, 11:59
Вроде и полезное пытаются сделать - а всё печальнее станет. При переносе домена между хостингами, теперь ещё дольше ждать придется, чтобы получить этот сертификат, ибо нужно было, чтобы один ДНС сервер ответилЮ что сайт уже на новом хостинге, а теперь 3 разных должны- а это увеличивает время, пока 3-и из 4-х в разных местах обновят нс-записи.
Ответить | Правка | Наверх | Cообщить модератору

	10. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (10), 23-Фев-20, 12:06
	Это какбэ намек: "Хватит прыгать туда сюда".
	Ответить | Правка | Наверх | Cообщить модератору

	13. "Let's Encrypt перешёл к проверке с использованием разных под..."	+4 +/–
	Сообщение от Аноним (13), 23-Фев-20, 12:18
	Со своей персоналки, с которой админишь оба сервера, получи вручную сертификат через DNS Challenge и залей его на новый сервер ДО ПЕРЕЕЗДА. После этого переезжай. А уже после этого - настраивай автоматическое получение сертификатов на новом сервере. Если по какой-то причине нет возможности использовать DNS Challenge, просто скопируй сертификат со старого сервера на новый.
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	116. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от AlexBO (?), 24-Фев-20, 15:42
	Гемор переноса уведичится - так из ISP в ISP автоматом архивы переносятся, а тут нужно лезть и ковырять, легче подождать заливки нс-записей на 3 сервера. Тут конечно не фатальная задержка - лишний час-два, в принципе не так серьезно. А защита все-таки с 3-х серваков запрос, это уже что-то, поэтому, будем ждать, не переломимся. А уже если у кого-то нагруженный сайт, то он явно один, а не 1200 как у меня, он может и руками там поковырять сертификат, чтобы переехать, это мне нужно сотни сразу переносить, если ехать на другой хостинг, там руками не проканает.
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от OpenEcho (?), 23-Фев-20, 12:34
	1. А зачем менять сертификат, если домен тот же самый ??? 2. Я понимаю что без DNS challenge не обойтись, когда нужен сертификат для интранет ресурсов, недоступных извне, но для публичных ресурсов ИМХО верификация через веб быстрее и менее геморойная
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	74. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 23-Фев-20, 22:19
	> А зачем менять сертификат, если домен тот же самый а затем что срок годности три дня, уже истек, пока ты возился с переносом.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от AlexBO (?), 24-Фев-20, 15:48
	Только сейчас почитал что это такое DNS Challenge - :) Нет, это не для меня. У меня более полутора тысяч доменов на более чем 300 аккаунтах у 89 хостеров. Никаких челенджев быть не может для меня в принцип, и никаких ручных переносов сертификатов тоже - только новое авто-получение на новом месте.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	144. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от rvs2016 (ok), 25-Фев-20, 02:49
	> 1. А зачем менять сертификат, если домен тот же самый ??? А у меня "зачем" по другой теме: > 2. Я понимаю что без DNS challenge не обойтись, > когда нужен сертификат для интранет ресурсов, > недоступных извне Зачем делать https на внутренних ресурсах, недоступных извне, если в недоступные извне сайты никакой вредитель типа Ростелекома и ему подобных хакерских группировок и при голом http не вставит паразитов со своей спамерской рекламой, ведущей на t mail ru ?
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	154. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от пох. (?), 25-Фев-20, 10:58
	> Зачем делать https на внутренних ресурсах, недоступных извне, если в недоступные извне затем, что они иначе - не работают, если устроены чуть посложнее одной странички в html 3.2 Благодари за это мурзилу и гугля - они позаботились о твоей безопастносте.
	Ответить | Правка | Наверх | Cообщить модератору

	164. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от OpenEcho (?), 25-Фев-20, 20:42
	>Зачем делать https на внутренних ресурсах, недоступных извне... Затем чтобы шибко умные работники и инсайдеры не просматривали трафик с паролями и чтобы не бегать по 400 рабочим станциям раположенных на 2-х этажах и устанавливать self-signed сертификат на который лаются браузеры
	Ответить | Правка | К родителю #144 | Наверх | Cообщить модератору

	22. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (22), 23-Фев-20, 13:43
	Подтвердите через днс
	Ответить | Правка | К родителю #6 | Наверх | Cообщить модератору

	115. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от AlexBO (?), 24-Фев-20, 15:36
	В ISP 5 Lite еще ни разу не удалось подтвердить оп DNS на пачке разных хостеров.
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (109), 25-Фев-20, 02:06
	И виноват в этом, конечно, letsencrypt, а не кривые панели для неосиливших шелл-скриптинг.
	Ответить | Правка | Наверх | Cообщить модератору

	169. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от AlexBO (?), 25-Фев-20, 22:33
	Дело не в этом - у меня овер 1500 сайтов, я что, буду разбираться в чем-то,что не массово используется на хостингах? Есть хостинг, есть ISP 5 Lite в быстрым API, есть 100-200 доменов на аккаунт (на 40-70 IP), есть код (в php, или cgi) который все эти домены может быстро спаковать и перенести и развернуть на другом хостинге с ISP 5 Lite - расскажите плиз мне про инструменты, чтобы я мог по DNS 200 доменов этих подтвердить и перенести к другому хостеру с сертификатами?
	Ответить | Правка | Наверх | Cообщить модератору

	171. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (109), 26-Фев-20, 17:43
	Судя по описанию, это какая-то сеота. Вот уж точно пофиг на проблемы сеошников.
	Ответить | Правка | Наверх | Cообщить модератору

7. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от Аноним (7), 23-Фев-20, 11:59
> контролируемый сообществом > с 4 разных IP-адресов, размещённых в разных датацентрах То есть в "сообществе" не нашлось больше 4 мало-мальски крупных и заслуживающих доверия субъектов, которые могли бы предоставить проекту мощности для выполнения таких запросов, чтобы проверить сайт не с 4, а с сотен адресов. Показательно.
Ответить | Правка | Наверх | Cообщить модератору

	12. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (10), 23-Фев-20, 12:10
	Какое еще сообщество? Летс энкриптом управляет вполне себе корпорация. Сообщества хакеров я бы и не подпустил выдавать сертификаты или что-то проверять они все будут проверят каждый в свою пользу.
	Ответить | Правка | Наверх | Cообщить модератору

	161. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от mommy (?), 25-Фев-20, 18:18
	Да хакерам веры нет, пойду ядро линукса закапаю, зато вот компании летсов прям можно и ключи от дома доверить, они честные
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от OpenEcho (?), 23-Фев-20, 12:22
	А вы знаете таких крутых пацанов, которые не зная из какого IP пула прийдет проверяющий запрос могут напакастить в более чем 4 BGP, в реальном маштабе времени ?
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	19. "Let's Encrypt перешёл к проверке с использованием разных под..."	–4 +/–
	Сообщение от Аноним (7), 23-Фев-20, 13:12
	А Вы можете дать гарантию, что их нет? Я вот подозреваю, что если Агентство Национальной безопасности США мягко намекнёт владельцу какой-либо АС что неплохо бы на часик-другой внести вот такие изменения в свои анонсы и таблицы маршрутизации, то маршрутизация для целевых АС таки поменяется с оптимальной на "правильную".
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (37), 23-Фев-20, 15:33
	Чувак, специально для тебя существует даркнет с луковыми адресами или вообще локальной адресной книжкой в i2p. Если тебе нужно залезть на официально зарегистрированный сайт какой-то фирмы, то не удивляйся, что он подчиняется законам, насколько незаконными бы эти законы не были. Ты правда думаешь, что твои котики и гиги пурна - важная стратегическая статистика? Люди, которым правда это важно, не используют подобные сервисы, а если таки пришло время этого самого, то они скачают это торрентом или ещё как-нибудь, причём там материал даже понинтереснее найти можно.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (7), 23-Фев-20, 16:25
	Какой даркнет? Какие луковые адреса? Здесь вообще речь идёт о другом - о том, что никогда нельзя быть уверенным в том, что где-то за пределами твоего контроля всё происходит так, как тебя пытаются убедить.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Crazy Alex (ok), 23-Фев-20, 17:37
	А ещё нельзя быть уверенным, что мир существует, когда ты его не воспринимаешь. И что? Это бессмысленная позиция, не имеющая никаких продуктивных практических последствий.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 23-Фев-20, 22:35
	Фокус в том что луковый адрес таки достаточно однозначно подтверждает владение вон того типа вон тем ключом, и вот этому факту более-менее можно доверять :)
	Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

	33. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (25), 23-Фев-20, 15:01
	Любой путь в результате пройдёт через AS, через которые ДЦ подключены к инету. Их и будут атаковать.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	57. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от OpenEcho (?), 23-Фев-20, 17:58
	"We’ll make multiple validation requests from different network perspectives." != DC На сколько я понял, проверять будут из рандомных, бросовых ИП разнесенных географически, а не с ИП выделенных на датацентры, также как shodan прячется
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 24-Фев-20, 09:17
	А речь и де об их ASах, а об ASах рядом по маршруту с ASами дейтацентра, где сайт хостится.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (108), 24-Фев-20, 14:07
	Интернет рип. Вон недавно выяснил, что инфинитичан закрыли без суда и следствия по надуманной причине. Про запрещённый контент это ложь, любой незаконный контент там удаляли в течении минуты, а нарушителю выдавали пермабан. Сомнительные обсуждения тоже через пару минут удалялись. А всё от того, что какие-то шизофреники выбрали его в качестве своей площадки для привлечения внимания (к себе). О каком интернете при таких раскладах можно говорить? Человечество совершенно растеряло остатки разума.
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

15. "Let's Encrypt перешёл к проверке с использованием разных под..."	+8 +/–
Сообщение от Аноним (15), 23-Фев-20, 12:32
One ring to rule them all...
Ответить | Правка | Наверх | Cообщить модератору

	158. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от InuYasha (?), 25-Фев-20, 11:56
	throw it in the fire!
	Ответить | Правка | Наверх | Cообщить модератору

21. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
Сообщение от Аноним (25), 23-Фев-20, 13:41
>теперь будет осуществляться с использованием нескольких HTTP-запросов, отправляемых с 4 разных IP-адресов, размещённых в разных датацентрах и принадлежащих к разным автономным системам. Генералиссимус Очевидность подсказывает, что достаточно атаковать какую-либо из общих AS в пути. Напр. AS ЦОД. Но я не спец в BGP, не исключаю что  вообще достаточно атаковать AS, через которую маршрут не проходил, чтобы образовался новый маршрут через неё и AS атакующего.
Ответить | Правка | Наверх | Cообщить модератору

	44. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от пох. (?), 23-Фев-20, 16:10
	генераллисимус спит. А его адьютант подсказывает, что надо просто зайти в гости к админу сайта - и никаких сложных ходов, оставляющих массу следов в неподконтрольных логах. Необязательно при этом с мигалкой и взводом зомби в скафандрах, можно просто найти дырочку в модном-современном http2 сервере. И слегка пропатчить ему certbot.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (25), 23-Фев-20, 16:51
	>найти дырочку в модном-современном http2 сервере А есть быстрые серверы типа энджинкса, но на ржавчине/goвне?
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (7), 24-Фев-20, 01:06
	Назвал бы воду, но не помню на чём она, а гуглить лень.
	Ответить | Правка | Наверх | Cообщить модератору

	146. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 25-Фев-20, 05:43
	> Назвал бы воду, но не помню на чём она, а гуглить лень. На сях, естественно. А из гопников с растишкой разве что caddy припоминается.
	Ответить | Правка | Наверх | Cообщить модератору

	139. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 25-Фев-20, 01:47
	> генераллисимус спит. Мозг у вас спит, Капитан в том случае - имя, а не звание.
	Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

24. "Let's Encrypt перешёл к проверке с использованием разных под..."	–4 +/–
Сообщение от Аноним (25), 23-Фев-20, 13:51
>По статистике сервиса Firefox Telemetry общемировая доля запросов страниц по HTTPS составляет 81% (год назад 77%, два года назад 69%), а в США - 91%. Зато многим сайтам вообще нaсрaть на TLS и на пользователей. Им просто ОК, что у них фактически нет TLS (работает только plain http), они монополисты, куда пользователь денется с подводной лодки. Примеры: гoвнoбунту, гoвнoбиан (для большинства можно юзать  mirrors.kernel.org, но вот security. вообще не зеркалируются и доступны только без TLS, уязвимость в APT их так ничему и не научила), СTAN (привет малварь от NSA), sks-keyservers (приходится юзать keyserver.ubuntu.com), а также значительная часть ***сайтов госучреждений, включая сайты институтов и конференций (превед, закон о персональных данных). Более того, даже некоторые сайты самой Могиллы имеют плохую настройку TLS, напр. OCSP Stapling вообще нет. Зачем тратить ресурсы сервера на безопасность и приватность пользователей, если на них можно просто нaсpaть?
Ответить | Правка | Наверх | Cообщить модератору

	27. "Let's Encrypt перешёл к проверке с использованием разных под..."	+7 +/–
	Сообщение от Школьный админ (?), 23-Фев-20, 14:08
	> Зачем тратить ресурсы сервера на безопасность и приватность пользователей, Угу. До сих пор, в 2020 после титанических усилилий Гугла и прихлеваев, можно скачать картинку с котиками по открытому (о ужас) каналу.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 24-Фев-20, 09:38
	мне кажется, этой вакханалии несесьюрности уже явно приходит конец? В ближайшее время небезопастные котики будут доступны уже только разьве что в локалке. И то недолго, получите и распишитесь "страницу" с надписью "нисисюрнанисисюрна", без объяснений что там не понравилось (с идиотским внутренним кодом ошибки, который нахер никому не нужен) и без кнопки "продолжить", разумеется. Заметьте - эта глупость тоже давным-давно во всех браузерах, включая васянские.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (29), 23-Фев-20, 14:42
	Лень разбирать все примеры, отвечу про несколько из того что знаю: Сайты debian и ubuntu доступны по https, OCSP сломан и никто на него давно не смотрит. Зеркала репозиториев делают сторонние команды, это их дело делать ли доступным свое зеркало по https или нет, для того чтобы было пофиг - существуют цифровые подписи, а уязвимости точно так же будут находить и при использовании https. Кроме того, использование https сломает тот простейший в эксплуатации и настройке cdn который делают для зеркал, т.к. всем придется раздавать сертификаты этого cdn.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	31. "Let's Encrypt перешёл к проверке с использованием разных под..."	–3 +/–
	Сообщение от Аноним (25), 23-Фев-20, 14:56
	>Сайты debian и ubuntu доступны по https Да ну: https://archive.ubuntu.com/ubuntu/pool/universe/n/ninja-buil... >это их дело делать ли доступным свое зеркало по https или нет Это дело разработчиков пакетного менеджера, запретить протокол http, или нет. >для того чтобы было пофиг - существуют цифровые подписи, Как подпись защитила от уязвимости видно. Правило криптографии - сначала проверить integrity, потом уже делать вообще что либо. Только для такой схемы есть доказательство безопасности в общем случае. В случае plain http, даже если сам файл подписан, она нарушена. >Кроме того, использование https сломает тот простейший в эксплуатации и настройке cdn который делают для зеркал, т.к. всем придется раздавать сертификаты этого cdn. В ж*** пусть себе засунут свой простейший CDN. Они дело делать собрались или ныть, что им сложно и денег нет? Если у них денег на это нет или сложно, то пусть лавочку закрывают, какое можно дело сделать, если ресурсов банально нет?
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (104), 24-Фев-20, 11:17
	В винде обновления также по http передаются. У старых версий дисирибутивов не все пакетные менеджеры умели в https.У вас похоже https головного мозга
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (34), 23-Фев-20, 15:11
	Зачем шифровать соединение говноtls-ом, когда передаваемые по нему файлы имеют криптографические подписи?
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	36. "Let's Encrypt перешёл к проверке с использованием разных под..."	–2 +/–
	Сообщение от Аноним (25), 23-Фев-20, 15:20
	гoвноtlsсом вообще не надо ничего ни аутентифицировать, ни шифровать. Нужно нормальным TLSом. Нормальный - это имеющий A+ на ssllabs + дополнительное упрочнение в виде HPKP и орг и техн мер, вроде HSM и блог-поста с оправданием на каждую смену сертификата.
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Let's Encrypt перешёл к проверке с использованием разных под..."	+4 +/–
	Сообщение от Аноним (7), 23-Фев-20, 15:50
	> Нормальный - это имеющий A+ на говноssllabs + дополнительное говноупрочнение в виде говноHPKP и орг и техн говномер, вроде говноHSM и говноблог-поста с оправданием на каждую смену говносертификата. Пофиксил за тебя. Можешь не благодарить.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от OpenEcho (?), 23-Фев-20, 17:43
	> передаваемые по нему файлы имеют криптографические подписи? Подписанные неизвестно кем ? Или верить что их веб сервера не взломаны и верификационные хэши не подмененны? А может верить публичным ключам опубликованным на еле дышащих кей-серверах? Ну так поройте здесь мою хистори, я уже расказывал как лет 10 назад стал "секюрити офицером" от фряхи не являсь таковым. А еще оказывается криптографические подписи "надежно спрячут ваш пароль к банку" ...
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	106. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 24-Фев-20, 11:58
	ко=ко=ко=кой ужос! Вот от обертки в https - сразу все верификационные хэши станут настоящими, и вебсервера невзломанными, и в сам пакет кто-то с ключом майнтейнера ничего лишнего не добавит. > Ну так поройте здесь мою хистори, я уже расказывал "бабка - врет!"(c) > А еще оказывается криптографические подписи "надежно спрячут ваш пароль к банку" ... пока не проимеешь подпись - надежно. А если ты ее проимел и вместе с паролем - то это https головного мозга в чистом виде.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 23-Фев-20, 22:34
	> когда передаваемые по нему файлы имеют криптографические подписи? Ну например чтобы не информировать потенциальных атакующих о версиях софта в системе. А то может им сразу еще и список вулнов скомпоновать для их удобства и повышения шансов на успех?
	Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

	107. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 24-Фев-20, 12:00
	и какое же отношение список скачанных пакетов имеет к "версиям софта в системе"? И конечно же если они о нем не знают, их эксплойты волшебным образом нельзя будет просто попробовать. Эксперты опеннета... вот гугель - гугель все правильно делает, да?
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 25-Фев-20, 05:49
	> и какое же отношение список скачанных пакетов имеет к "версиям софта в системе"? Это же элементарно, Ватсон! Если софт скачали, скорее всего и установили. Так можно более-менее реконструировать что за софт у адресата стоит. > И конечно же если они о нем не знают, их эксплойты волшебным > образом нельзя будет просто попробовать. Одно дело гасить сплойтами на деревню дедушке (так можно долго лупить с нулевым результатом вникуда) и совсем другое - зная версию и тип софта пойти, зазырить список CVE и уже прицельно и информированно укатать уже вот этим, зная что это должно работать.
	Ответить | Правка | Наверх | Cообщить модератору

	150. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 25-Фев-20, 10:31
	> Это же элементарно, Ватсон! Если софт скачали, скорее всего и установили. так он в репо лежит - можешь для простоты считать что все версии на васян сервере именно такие. Вот если бы ты успел до обновления и знал бы точно какие версии там протухли - это бы чему-то еще и помогло. > Так можно более-менее реконструировать что за софт у адресата стоит. или что за софт он собрался обновить. В любом случае ценность этой информации изрядно преувеличена, а получать ее - далеко не общедоступное развлечение. Если у тебя есть доступ к операторскому оборудованию, настолько крутой что ты можешь перехватывать траффик (и, что интереснее - если не настолько крутой, а обычный васянский) - ты наверняка можешь просто просканировать васян-хост, причем с адреса 1.1.1.1 - пользы будет в сто раз больше. Поскольку ты тут же узнаешь не что там теоретическим могло быть, а что там на самом деле есть и забыли прикрыть, причем, совершенно беспалевно.
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (37), 23-Фев-20, 15:38
	Вы боитесь того, что кто-то может отследить то, что вы тыкаете на общедоступном сервисе? Ну такое. Больше бесит другой факт, что когда вы уже <b> авторизуетесь </b>, шифрование не появляется, и абсолютно вся реально важная инфа (если вы не по приколу регистрируетесь где попало) идёт открытым каналом. А так хз, без захода в свой аккаунт впринципе на той же википедии шифрование нафиг не нужно, разве что чтобы ркн не брызгало слюнями и не банило отдельные странички эта технология полезна.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	42. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (42), 23-Фев-20, 16:02
	>когда вы уже <b> авторизуетесь </b>, шифрование не появляется Так везде? Или где-то появляется?
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (7), 23-Фев-20, 15:48
	> нaсрaть на TLS Мне тоже. Шифроваться можно с тем, с кем ты предварительно встретился в офлайне и обменялся ключами, и только при использовании проверенного ПО. Сертификат сайта заверен УЦ, сертификат УЦ включён в поставку броузера или ОС, пользователь установил или согласился на использование ПО - никого из этих людей пользователь не знает, он доверяет всем этим людям, фактически, по слухам. Поэтому TLS на сайте - это иллюзия защищённости.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

	45. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Crazy Alex (ok), 23-Фев-20, 16:11
	Эта "иллюзия" прекрасно защищает хоть от невменяемого провайдера, хоть от пионера-хакера Васи, в общем и целои делая атаки дороже, а значит - сильно уменьшая число случаев, когда они вообще имеют смысл. Заодно - сильно усложняет слежку за трафиком. Добавь распространённость вайфая, который поднимает вообще кто угодно - и в сравнении с ними поставщики браузера и ОС и владельцы УЦ - явно меньшая угроза. При этом со стороны пользователя эта штука идеальна ИМЕННО потому что ему не надо ни с кем "встречаться в офлайне и обменитваться ключая", или предпринимать что-то другое. Ему вообще ничего не надо делать, а безопаснее ему стало. Кому надо что-то большее - вперёд, но там уже без геморроя не обойтись, а значит - массовым решение не будет. Но даже им есть профит от повсеместного HTTPS - можно замаскировать свой шифрованный трафик в куче другого шифрованного трафика.
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 23-Фев-20, 22:24
	> Эта "иллюзия" прекрасно защищает хоть от невменяемого провайдера, хоть от пионера-хакера Васи и от атак рептилоидов. конечно же. Что твой г-носайт хостится у невменяемого провайдера, траффик проходит через mitm "заботливой" клаудфлари, и уже взломан пионером Петей, если, конечно, пионер Сережа, его админ-вебдизайнер-и-владелец не разместил этого трояна сам - и что это в сто раз вероятнее - больной мозг воспринимать не в состоянии. Как и то, что все механизмы, хоть как-то способные помочь в этих случаях - уничтожены. Старательно, с мельчайшей точностью, всеми поголовно, включая каких-то совсем уж васянов, о которых и не знал толком никто.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Let's Encrypt перешёл к проверке с использованием разных под..."	+2 +/–
	Сообщение от Аноним (25), 23-Фев-20, 16:21
	>Поэтому TLS на сайте - это иллюзия защищённости. Нет. Это защищённость от говнопровайдера. Сколько провайдеров в мире? Сколько захотят шпионскую малварь в траффик вставлять? Очень многие захотят - это дополнительный источник дохода. Уже были случаи среди мобильных и "бесплатного wifi" провайдеров. Как этому противодействовать? А никак. Противодействовать этому может только уважающее себя население. А оно себя не уважает вообще никак. Если бы можно было вместо жёлтого и красного экрана выводить сообщение от провайдера, то все провайдеры бы делали MiTM, а в сообщении было бы написано "ставьте наш сертификат". Меньшинство ничего бы не решало и пришлось бы ему отказаться от интернета вообще. Нужно понимать население. Оно себя не уважает, но и перенастраивать браузер ещё больше не желает. Если ты им скажешь "перенастрой браузер", оно скажет "я не умею, уметь не хочу, я вам плачу в том числе за то, чтобы не знать и не уметь и not to give a f**k, ждать специально обученных людей не хочу, уйду к конкуренту". Это если конкурент без этого будет. Если всех законом обязать так сделать, а не сделавших уничтожат (напр. проверяя каждый час и выписывая по штрафу каждую проверку), то конкурента не будет и население проглотит. Если ты им скажешь "мы вас взломаем, затрояним, отбэкдорим, вышпионим", они скажут "нам пофиг". Позиция разрабов Safari и Chrome (на позицию мозиллы всем пофиг) - это единственное, что удерживает рынок от перехода в устойчивое состояние, описанное выше, чисто рыночными методами.
	Ответить | Правка | К родителю #39 | Наверх | Cообщить модератору

	145. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (145), 25-Фев-20, 04:18
	> Позиция разрабов Safari и Chrome (на позицию мозиллы всем пофиг) - это единственное, что удерживает рынок Ничего она не удерживает. "Позиция" и "влияние" сами по себе это пустые слова. Удерживать может только отсутствие технической возможности (или наличие возможностей у кого-то другого). Пока встраивать рекламу и трояны в сайты сложно, а обнаружить и блокировать их просто, пока есть хотя-бы номинальная конкуренция на рынку интернет-услуг, заниматься этим будут только провайдеры-идиоты. А закручивание гаек это всегда дорога в один конец. Сегодня команда разрабов хромого мнит себя черт знает кем, а завтра им тихо уменьшат штат до 2-х с половиной человек, как это случилось в Microsoft во времена IE 6. А урон уже нанесён: привилегия работы по plaintext-протоколу успешно передана в руки CDN, хостить контент без регистрации доменов становится нереально (посмотрите, сколько $$$ нужно платить в месяц за _владение_ блоком IP чтобы получить на него серт а-ля 1.1.1.1), для создания сайтов нужна регистрация по паспор^W в Let's Encrypt с ежемесячным мониторингом активности через certbot... Всё это добро контролируется горсткой людей - даже не госслужащих, а корпораций, который ни за что не отвечают.
	Ответить | Правка | Наверх | Cообщить модератору

	168. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (25), 25-Фев-20, 21:30
	Let's Encrypt основана не корпорацией, а правозащитной организацией EFF.
	Ответить | Правка | Наверх | Cообщить модератору

28. "Let's Encrypt перешёл к проверке с использованием разных под..."	+3 +/–
Сообщение от Аноним (25), 23-Фев-20, 14:29
>По мнению Apple генерация подобных сертификатов создаёт дополнительные угрозы безопасности Угрозы безопасности - это когда сертификат поменялся, но никто, кроме поменявшего, не знает почему: то ли сам сервер скомпрометировали вместе с сертификатом, то ли учётка админа сервера на CA, то ли скомпрометирован CA, то ли рутинное обновление для обновления криптостандартов. >мешает оперативному внедрению новых криптостандартов Просто запретите не-TLS в своих браузерах и захардкодьте в исходниках. >позволяет злоумышленникам длительное время контролировать трафик жертвы Вот как раз постоянное обновление и позволяет: client-side TOFU пиннинг не сделать. >использовать для фишинга в случае незаметной утечки сертификата в результате взлома. В случае взлома можно просто иметь присутствие на сервере и получать всё напрямую с сервера. Никто не заметит. А если и заметит - исправить очень дорого. Большинство компов заражено малварью, потому что домохозяйки и дети открывают .jpg.exe .pdf.exe, .doc.exe, .doc, .docx (поддерживают дофига устаревших никому не нужных форматов, в которых периодически находят уязвимости) из инета, да и просто имеют Flash, который никак не умрёт благодаря Хрому, который его бандлует (firefox же его просто дропнул вместе со всеми остальными npapi, но всяким бухгалтерам приходится юзать устаревшие версии или вообще IE, потому что всякие банки и госсайты это требуют, а раз Господин приказал - значит надо выполнять. Не стоит и говорить, что в остальной инет многие из них ходят через те же браузеры, где у них банки). Если предложить им весь этот софт (лицензионный 1С с кастомными доработками от "программистов 1с" на русифицированном говнобейсике, в которые было вложена куча бабок и которые на другой комп не перенести без наёма специалиста по 1С) снести и переустановить систему, то будешь послан на ***. Но даже если софт переустановить не проблема, проблемма с аппаратным обеспечением. В прошивки можно занести очень дорого удаляемый бэкдор. Это не принимая во внимание бэкдоры в аппаратном обеспечении зашитые в кремний и неизвестные зеродей дыры, которые можно использовать для забэкдоривания всего софта. Достаточно забэкдорить девтулзы, которыми собрано всё, после чего пользователь встаёт перед дилеммой: * раскрутить весь софт (включая ОС и биос) с нуля, используя себя как компилятор и аппаратный программатор на своей логике. Очень дорого. * Расслабить булки и получать удовольствие.
Ответить | Правка | Наверх | Cообщить модератору

	46. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Crazy Alex (ok), 23-Фев-20, 16:19
	Ну вот поэтому делают то, что возможно, а не "расслабляют булки", раз уж идеала достичь нельзя. Усложнили атаки, сделали их  дороже - вот и отлично. А перфекционизм - это к академическим случаям, которые на практике не только невозможны, но и никому не интересны. Я абсолютно уверен, что фирмварь в моём железе не будет пытаться утянуть реквизиты моей банковский карты или аккаунт в социалке, и рекламу впихивать на загружаемые веб-страницы - тоже. И что это же не будет делать софт из репозитириев Дебиана - тоже. А от левых личностей в вебе как раз https меня и прикроет.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 23-Фев-20, 16:43
	> Я абсолютно уверен, что фирмварь в моём железе не будет пытаться утянуть реквизиты моей банковский карты или аккаунт в социалке, и рекламу впихивать на загружаемые веб-страницы - тоже. Я тоже уверен в этом, если речь идёт о биосе. Это низкий уровень, системный. Для малвари на этом уровне важна возможность взять под контроль ОС и спрятать другое вредоносное ПО, которое уже и будет и инфу тырить, и компилируемые программы анализировать и инфицировать, и факт компрометации скомпилированных программ прятать. >И что это же не будет делать софт из репозитириев Дебиана - тоже. А вот в этом я совсем не уверен. Софт из репозиториев дебиана собран компилятором. И невозможно быть уверенным в его невредоносности, если он сам может быть собран вредоносными инструментами. Инфицировав тулчейн, собирающий дебиан, ты инфицируешь весь софт, собранный им, то есть дебиан. Инфицировав дебиан ты инфицируешь всех пользователей дебиана, включая всех разрабов, а также другие дистры, разрабы которых сидят на дебиане. Инфицировав всех разрабов ты предотвращаешь возможность обнаружения ими компрометации. Всё, цикл замкнулся, уробурос укусил свой хвост. Теперь чтобы обнаружить компрометацию придётся сканить HDD неинфицированным софтом. При этом можно заражать только большие и сложные бинари, в которых хрен вы обнаружите вредоносную модификацию и сделать их несобираемыми версиями компиляторов до заражения всего мира, тогда референсного чистого бинаря не будет в принципе, с которым можно bit-per-bit сравнить.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Crazy Alex (ok), 23-Фев-20, 17:34
	Теоретически да. А на практике - где-то да засветились бы уже. А теоретически игры ума как-то не интересны
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 23-Фев-20, 18:20
	>А на практике - где-то да засветились бы уже. А вы думаете есть желающие за такую цену искать чёрных лебедей? Вы всё ещё надеетесь вот что вот за вас лично кто-то это сделает?
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Ordu (ok), 24-Фев-20, 01:20
	> А вот в этом я совсем не уверен. Софт из репозиториев дебиана собран компилятором. И невозможно быть уверенным в его невредоносности, если он сам может быть собран вредоносными инструментами. Возможно. Если отказаться от бинарной логики -- а от неё надо отказаться, потому что иначе нам про всё вообще придётся сказать "невозможно быть уверенным" -- то "быть уверенным" превращается в вероятностную оценку истинности высказывания. > Инфицировав всех разрабов ты предотвращаешь возможность обнаружения ими компрометации. Не, чем больше разработчиков ты инфецировал, тем ближе провал. Тут ведь какая штука, разработчик иногда отлаживает программу, и в интернете попадаются истории о том, как такая рутинная операция как отладка привела к обнаружению бага в процессоре или компиляторе. Это бывает редко, но чем больше разработчиков пользуется пропатченным компилятором, тем больше у них шансов заметить что-нибудь странное в поведении компилятора. Чем чаще такие странности замечают, тем больше шансов напороться на целенаправленное исследование этой странности, на сравнение работы разных компиляторов, на сравнении работы разных компиляторов на разных платформах, на эксперименты над кодом, с целью изучить влияние кода на изучаемую странность. > Теперь чтобы обнаружить компрометацию придётся сканить HDD неинфицированным софтом. Это если у компилятора есть мозги, то может быть. Но у компилятора нет мозгов, в нём есть лишь алгоритмы, а алгоритмы тупые. А раз так, значит при определённых условиях они начнут творить пургу. Дальше дело лишь в частоте возникновения этих определённых условий, но эта частота будет неизбежно расти по мере роста распространённости данного компилятора. > При этом можно заражать только большие и сложные бинари, в которых хрен вы обнаружите вредоносную модификацию и сделать их несобираемыми версиями компиляторов до заражения всего мира, тогда референсного чистого бинаря не будет в принципе, с которым можно bit-per-bit сравнить. Какая разница какого размера бинарь? Ты когда-нибудь ковырял непонятные баги? Тебе не случалось в процессе вваливаться в такие глубины фрустрации, когда ты начинаешь делать дурацкие изменения в коде, чтобы посмотреть как они по-дурацки же изменят поведение программы? Это уже чистой воды метод тыка: ты знаешь как программа сфейлится, если поменять "int a" на "size_t a", но ты уже ни в чём не уверен, и даже в своём знании, и поэтому всё равно берёшь и пробуешь это изменение. Если такие рандомные изменения наложатся на изменения привносимые компилятором... Или прикинь, есть такая штука как профайлинг. Есть разные подходы к этому, но один из них -- это в рандомные моменты останавливать программу, и записывать IP (Instruction Pointer) точки останова. После этого, если мы посмотрим какие адреса попадались чаще, а какие реже, мы сможем судить о том, где и сколько времени программа потратила в процессе выполнения. Если твой компилятор не пофиксил профайлер, чтобы тот не учитывал бы адреса, по которым располагается вредоносный код, то этот вредоносный код начнёт светиться. Но профайлеры бывают разные, и бывают очень дорогие профайлеры, и люди реально платят за них. Как ты пофиксишь все? А фаззеры? Ну вот прикинь, фаззер играется с тем, что он запихивает в программу, пытаясь найти условия, которые позволят прогонять программу по любому возможному пути выполнения. Если в программе есть вредоносная нагрузка, то фаззер (ничего не зная о вредоносности) попытается подобрать условия для активации её. Если ему не удастся, он об этом сообщит, предположив что это недостижимый код. Если ему это удастся, он начнёт подбирать условия для того, чтобы эта вредоносная нагрузка сделала бы всё, на что она способна. Тут крайне сложно не спалиться, не привнести никаких странностей в отчёт фаззера. И фаззеры, опять же, бывают разные. Короче, чем удачнее проект по инфецированию компилятора, тем ближе этот проект к провалу.
	Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

	96. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 24-Фев-20, 09:50
	>Но профайлеры бывают разные, и бывают очень дорогие профайлеры, и люди реально платят за них. Как ты пофиксишь все? Для профайлеров фикс не такой большой нужен. Только распознать метку, внедрённую в код, и скрыть помеченный код. Разумеется, сам код, который в профайлере выполняет скрытие, тоже помечен. Фаззер тоже можно пропатчить. Единственный недостаток для атакующего - это требует фуллтайм работы некоторого коллектива, но это явно доступно любой небанановой (а возможно что и банановой тоже) республике. >Если такие рандомные изменения наложатся на изменения привносимые компилятором... Компилятор - не сильный ИИ. Все патчи реалистично проектировать исключительно человеком на определённые куски кодовой базы. А при изменении человеком кода, затрагивающего нужный кусок опасным образом достаточно вывалить ошибку пострашнее и понепонятнее. Очень трудно будет понять, в чём действительно дело, если твои инструменты тебя намеренно вводят в заблуждение. Пока он там возиться будет, пытаясь разобраться, откуда эта ошибка, команда из АНБ напишет новый патч и в новой версии компилятора или либ ошибка волшебным образом исчезнет. Разраб обрадуется, ему работать надо, а не чужой говнокод отлаживать.
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Ordu (ok), 24-Фев-20, 11:49
	>>Но профайлеры бывают разные, и бывают очень дорогие профайлеры, и люди реально платят за них. Как ты пофиксишь все? > Для профайлеров фикс не такой большой нужен. Только распознать метку, внедрённую в > код, и скрыть помеченный код. Про какую метку ты говоришь? Просто останавливаем процесс и смотрим где он остановился. Никаких изменений кода профайлер в таком режиме не делает. > Разумеется, сам код, который в профайлере > выполняет скрытие, тоже помечен. Фаззер тоже можно пропатчить. Как ты пропатчишь профайлер, если у тебя нет его сорцов, и даже за бинари тебе придётся отдать сотни тысяч нефти? Как ты пропатчишь пропатченный профайлер, который был пропатчен потому что разрабу очень специфичный вид профайлинга понадобился? Как ты пропатчишь наколенный профайлер, который разраб создал потому что ему заняться было нечем, или потому что он хотел понять, как пишут профайлеры? >>Если такие рандомные изменения наложатся на изменения привносимые компилятором... > Компилятор - не сильный ИИ. Все патчи реалистично проектировать исключительно человеком > на определённые куски кодовой базы. А при изменении человеком кода, затрагивающего > нужный кусок опасным образом достаточно вывалить ошибку пострашнее и понепонятнее. Очень > трудно будет понять, в чём действительно дело, если твои инструменты тебя > намеренно вводят в заблуждение. Если вывалится ошибка пострашнее и понепонятнее, то где-нибудь будет создан тред с заголовком "wtf", где вскоре соберутся люди, которые воспринимут "страшно и непонятно" как долгожданный вызов своему интеллекту, и начнут копать. Ты чего-то не понимаешь: если разработчику его программа вываливает страшную и непонятную ошибку, то для него это сигнал о том, что он не понимает что его программа делает. Понятно, что ситуации бывают разные, и иногда не до того, дедлайны горят и надо сделать лишь бы работало. Но вообще-то это тревожный сигнал, и он вызывает желание разобраться, желание понять что происходит. И чем шире применение твоего компилятора, тем чаще возникают такие ситуации, тем больше вероятность нарваться на разработчика, у которого дедлайны не настолько горят, у которого есть время посидеть и поковырять. > Пока он там возиться будет, пытаясь разобраться, откуда эта ошибка, команда из АНБ напишет новый патч и в новой версии компилятора или либ ошибка волшебным образом исчезнет. Разраб обрадуется, ему работать надо, а не чужой говнокод отлаживать. Эээ нет. Тут ты просто не понимаешь разрабов. Да, разраб в режиме "дедлайны горят" будет рассуждать именно так. Но всегда есть разрабы, для которых "волшебным образом ошибка исчезла" -- это отличная возможность сравнить "исчезла" с "не исчезла" и понять, что изменилось. Плюс, если ты начинаешь распространять патчи, то как ты это будешь делать? У сотен и тысяч разработчиков стоят пропатченные компиляторы, как их все исправить? Отметь, тебе ведь придётся править и, например, гентушные компиляторы, которые упорно собираются из сорцов. Если ты не пропатчишь их, то ты дашь отличную возможность сравнивать дебиановский компилятор с гентушным и искать различия -- это огромная дыра в твоей теории заговора.
	Ответить | Правка | Наверх | Cообщить модератору

	124. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 24-Фев-20, 20:43
	>Как ты пропатчишь профайлер, если у тебя нет его сорцов, и даже за бинари тебе придётся отдать сотни тысяч нефти? Если контроллировать машину, на которой этот профайлер собирается, и эта машина подключена к инету, то ни своровать код, ни пропатчить профайлер проблемы большой не будет. >Как ты пропатчишь пропатченный профайлер, который был пропатчен потому что разрабу очень специфичный вид профайлинга понадобился? Он же не весь профайлер патчить будет. Вполне вероятно, что скрывающий кусок не затронет. >Как ты пропатчишь наколенный профайлер, который разраб создал потому что ему заняться было нечем, или потому что он хотел понять, как пишут профайлеры? Разрабу наколенного профайлера делать больше нечего, кроме как им GCC профайлить. >Если вывалится ошибка пострашнее и понепонятнее, то где-нибудь будет создан тред с заголовком "wtf", где вскоре соберутся люди, которые воспринимут "страшно и непонятно" как долгожданный вызов своему интеллекту, и начнут копать. Если ошибка через день исчезнет после обновления версии компилятора, то никто даже не полезет выискивать, из-за чего в компиляторе такое было. >Понятно, что ситуации бывают разные, и иногда не до того, дедлайны горят и надо сделать лишь бы работало. В бизнесе всегда всё нужно уже вчера. Это гонка наперегонки, не впереди ты - деньги получают конкуренты и усиливаются ещё больше. Положительная обратная связь. > Отметь, тебе ведь придётся править и, например, гентушные компиляторы, которые упорно собираются из сорцов. Если у тебя весь мир инфицирован, в смысле все машины имеют агент, заражающий компилятор так, чтобы он заражал компиляторы и программы, то патчи можно наложить всем автоматически. Есть проблема с обновлениями патчей - некоторые машины могут быть без сети.
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Ordu (ok), 24-Фев-20, 21:56
	>>Как ты пропатчишь профайлер, если у тебя нет его сорцов, и даже за бинари тебе придётся отдать сотни тысяч нефти? > Если контроллировать машину, на которой этот профайлер собирается, и эта машина подключена > к инету, то ни своровать код, ни пропатчить профайлер проблемы большой > не будет. Не, это если контролировать _все_ машины, на которых этот профайлер собирается. Если ты контролируешь лишь часть, то ты можешь столкнуться с тем, что разработчики заметят, что разные сборки профайлера выдают разные результаты. >>Как ты пропатчишь пропатченный профайлер, который был пропатчен потому что разрабу очень специфичный вид профайлинга понадобился? > Он же не весь профайлер патчить будет. Вполне вероятно, что скрывающий кусок > не затронет. Вполне вероятно, да. Но если это повторится сто раз, то это будет менее вероятно. >>Как ты пропатчишь наколенный профайлер, который разраб создал потому что ему заняться было нечем, или потому что он хотел понять, как пишут профайлеры? > Разрабу наколенного профайлера делать больше нечего, кроме как им GCC профайлить. Это ещё почему? gcc -- это неплохая реалистичная тестовая нагрузка на процессор, которая всегда под рукой. >>Если вывалится ошибка пострашнее и понепонятнее, то где-нибудь будет создан тред с заголовком "wtf", где вскоре соберутся люди, которые воспринимут "страшно и непонятно" как долгожданный вызов своему интеллекту, и начнут копать. > Если ошибка через день исчезнет после обновления версии компилятора, то никто даже > не полезет выискивать, из-за чего в компиляторе такое было. Ещё раз говорю: ты не понимаешь менталитета исследователя. Если оно внезапно и необъяснимо пропадёт, то от этого ещё интереснее. >>Понятно, что ситуации бывают разные, и иногда не до того, дедлайны горят и надо сделать лишь бы работало. > В бизнесе всегда всё нужно уже вчера. Это гонка наперегонки, не впереди > ты - деньги получают конкуренты и усиливаются ещё больше. Положительная обратная > связь. Это ты к чему сейчас сказал? >> Отметь, тебе ведь придётся править и, например, гентушные компиляторы, которые упорно собираются из сорцов. > Если у тебя весь мир инфицирован, в смысле все машины имеют агент, > заражающий компилятор так, чтобы он заражал компиляторы и программы, то патчи > можно наложить всем автоматически. Есть проблема с обновлениями патчей - некоторые > машины могут быть без сети. Там очень много проблем с наложением патчей. Их надо разослать так, чтобы никто ни при каких настройках файрволов ничего бы не заметил. Чтобы никто бы не возмутился в зоопарке используемых версий компиляторов, ядер, библиотек, систем инициализаций, пакетных менеджеров. Нужно чтобы это произошло в весьма сжатые сроки, потому что если в мире будут существовать обновлённые компиляторы и необновлённые, то они будут генерить разные результаты, а это огромное палево: для исследователя безопасности изучать разницу гораздо переспективнее. Тут столько граблей на пути, что обязательно что-нибудь пойдёт не так. Вон поспрашивай у Шигорина, тот занят доставкой обновлений на машины, он тебе лучше меня расскажет, насколько сложно ничего не сломать. Но его рабочие проблемы -- это детский лепет по сравнению с тем, с чем столкнётся организация, которая попытается доставлять обновления незаметно, доставлять их на безумный зоопарк конфигураций, и доставлять их быстро.
	Ответить | Правка | Наверх | Cообщить модератору

	138. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 25-Фев-20, 00:07
	>>>Как ты пропатчишь профайлер, если у тебя нет его сорцов, и даже за бинари тебе придётся отдать сотни тысяч нефти? >> Если контроллировать машину, на которой этот профайлер собирается, и эта машина подключена >> к инету, то ни своровать код, ни пропатчить профайлер проблемы большой >> не будет. > Не, это если контролировать _все_ машины, на которых этот профайлер собирается. Именно. >Если ты контролируешь лишь часть, то ты можешь столкнуться с тем, что разработчики заметят, что разные сборки профайлера выдают разные результаты. Да. Но разработчики профайлеров, компиляторов, отладчиков, декомпиляторов, гипервизоров, биосов - это приоритетные цели. Атакующий первым делом бы составил список категорий софта, которые могут быть ему полезны. Потом бы составил список всех продуктов. Потом бы подготовил патчи. Потом бы атаковал всех разрабов этих продуктов. В первую очередь - разрабов компиляторов и детектирующего софта. Компиляторов - потому что через них заразит всех остальных, разрабов детектирующего софта - чтобы никто не обнаружил, ибо софт должен скрыть. План в принципе очень маловероятный, можно налажать и спалиться. С другой стороны, если никто выискивать не будет и всем пофиг, то даже фатально налажав можно долгое время не палиться. Долгое - это достаточное для фикса. > Вполне вероятно, да. Но если это повторится сто раз, то это будет менее вероятно. Я сильно сомневаюсь, что во всём мире есть хотя бы десяток разрабов, патчащих профайлеры под свои нужды регулярно. > Это ещё почему? gcc -- это неплохая реалистичная тестовая нагрузка на процессор, которая всегда под рукой. GCC - это сложная программа, аномалии в поведении которой могут иметь много причин. Для теста профайлера она не подходит. Для теста профайлера нужны маленькие программы с полностью предсказуемым поведением и производительностью. > Ещё раз говорю: ты не понимаешь менталитета исследователя. Если оно внезапно и необъяснимо пропадёт, то от этого ещё интереснее. Может и интереснее, но у людей свои проекты, исследовать что там налажали разрабы компилятора никому не упёрлось. > Это ты к чему сейчас сказал? К тому что даже если дедлайны не горят, заниматься непрофильными исследованиями "шо там у разрабов компилятора за ошибка появилась и исчезла" в рабочее время ни один босс не позволит. "Исчезла, бизнес-процессы не блокирует - просто отлично, возвращайтесь к работе!" - скажет любой босс. > Там очень много проблем с наложением патчей. Их надо разослать так, чтобы  никто ни при каких настройках файрволов ничего бы не заметил. Но и файрволы, и DLP тоже можно пропатчить. Это если предположить, что ресурсы, выделенные на этот проект, достаточны. Я оценить ресурсы, необходимые для его реализации, не могу. Но явно меньше тысячи человек на фуллтайм требуется. АНБ точно по карману: AAA игры сравнимое количество разрабов делает. >Чтобы никто бы не возмутился в зоопарке используемых версий компиляторов, ядер, библиотек Релевантно. >систем инициализаций, пакетных менеджеров. Нерелевантно. >Нужно чтобы это произошло в весьма сжатые сроки, потому что если в мире будут существовать обновлённые компиляторы и необновлённые, то они будут генерить разные результаты, а это огромное палево: для исследователя безопасности изучать разницу гораздо переспективнее. Да. Спалиться можно. Но исследователей безопасности в мире не так много, и все заняты работой над конкретной программой. И скорее всего не над той, которые атакующему надо забэкдорить. Эксплоиты обычно ищут в браузерах, частях ОС, доступных из браузеров, сетевых сервисах, сетевом стэке, офисных пакетах и прочем прикладном софте, которым открывают что попало скачанное из инета, гипервизорах и всяком DRM типа SGX. И опять же, к исследователям безопасности можно найти особый подход. > Тут столько граблей на пути, что обязательно что-нибудь пойдёт не так. Грабель действительно более чем дофига. Но я не уверен, что те организации, которым такое по карману, могут это зафейлить. Они и не такое проворачивали прямо под носом своих конкурентов. Чего только краденная документация по манхеттанскому проекту стоит, которую тппа должны были яро охранять, не то что какой-то компилятор, на который всем нaсрaть, но компрометация которого де-факто компрометирует всё.
	Ответить | Правка | Наверх | Cообщить модератору

	143. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Ordu (ok), 25-Фев-20, 02:09
	>>Если ты контролируешь лишь часть, то ты можешь столкнуться с тем, что разработчики заметят, что разные сборки профайлера выдают разные результаты. > Да. Но разработчики профайлеров, компиляторов, отладчиков, декомпиляторов, гипервизоров, > биосов - это приоритетные цели. Нет. Приоритетные цели -- это _потенциальные_ разработчики профайлеров, компиляторов... и далее по списку. В приоритете любой Васян, которому приспичит поковырять недра компилятора, или написать свой компилятор, или свой отладчик, или гипервизор. Любой такой Васян может напороться на странность, забить на свой проект компилятор-just-for-fun и заняться ковырянием непонятности, на которую он напоролся. > Атакующий первым делом бы составил список категорий софта, которые могут быть ему > полезны. Потом бы составил список всех продуктов. Потом бы подготовил патчи. > Потом бы атаковал всех разрабов этих продуктов. В первую очередь - > разрабов компиляторов и детектирующего софта. Компиляторов - потому что через них > заразит всех остальных, разрабов детектирующего софта - чтобы никто не обнаружил, > ибо софт должен скрыть. План в принципе очень маловероятный, можно налажать > и спалиться. С другой стороны, если никто выискивать не будет и > всем пофиг, то даже фатально налажав можно долгое время не палиться. > Долгое - это достаточное для фикса. Тут ты сильно всё упрощаешь. Невозможно составить список всех продуктов. Разработчики вовсе не сидят все на одинаковых компиляторах и тем более на одинаковых версиях компиляторов. Они не пользуются одинаковыми тулзами, типа дебаггеров, профайлеров, бла-бла-бла. Каждый пользуется тем, что ему удобнее. У них при этом могут быть самописные утилиты. Любые из этих утилит могут не перекомплироваться годами -- нафига мне нужен распоследний gcc, если я не пользуюсь новыми фичами C? Разработчики могут работать с нескольких машин -- ноут, домашний десктоп, десктоп на работе, сборочный сервер, и на всех этих машинах могут стоять разные версии софта. Уже здесь возникает такой зоопарк, что проблема возникнет не на этапе составления списка софта, а уже на этапе составления списка возможных режимов провала, которые надо учесть разрабатывая схему инфецирования. >> Вполне вероятно, да. Но если это повторится сто раз, то это будет менее вероятно. > Я сильно сомневаюсь, что во всём мире есть хотя бы десяток разрабов, > патчащих профайлеры под свои нужды регулярно. А не надо никакой регулярности. Достаточно чтобы в год писалась бы сотня наколенных профайлеров. И даже не важна дальнейшая судьба этих профайлеров, даже не важно чтобы из них получалось что-нибудь завершённое, даже неудачная попытка написать профайлер может вскрыть странное поведение компилятора. Так же как и неудачная попытка написать дебуггер или гипервизор. Такие неудачные попытки -- это отличный способ понять принципы работы профайлера, дебуггера или гипервизора. Сколько реально таких попыток в год происходит оценить сложно: неудачные проекты, которые не добрались до чего-то хотя бы похожего на правду, остаются гнить на жёстком диске разработчика -- мы про них не узнаем никогда, и посчитать их не можем. >> Это ещё почему? gcc -- это неплохая реалистичная тестовая нагрузка на процессор, которая всегда под рукой. > GCC - это сложная программа, аномалии в поведении которой могут иметь много > причин. Для теста профайлера она не подходит. Для теста профайлера нужны > маленькие программы с полностью предсказуемым поведением и производительностью. Маленькие тоже нужны, но gcc интересен как раз тем, что он выполняет много io, и вычислительно он нагружает процессор, и всякие заморочные структуры в памяти выстраивает. Тут тебе и парсинг, и всё что угодно. Плюс, ежели ты пишешь профайлер, то далеко не факт, что ты заглядывал в код файрфокса, а вот с кодом gcc скорее всего плюс-минус знаком, и поэтому он гораздо лучше подходит для тестов. На простых тестовых программах ты можешь проверить, что твой профайлер делает именно то, что нужно. Но ты замучаешься придумывать тестовые программы, чтобы покрыть все edge cases, а если ты прогонишь свой профайлер через реалистичную нагрузку, вот тут эти самые edge cases и полезут изо всех щелей. Что позволит тебе написать тестовые программы, демонстрирующие эти edge cases. >> Ещё раз говорю: ты не понимаешь менталитета исследователя. Если оно внезапно и необъяснимо пропадёт, то от этого ещё интереснее. > Может и интереснее, но у людей свои проекты, исследовать что там налажали > разрабы компилятора никому не упёрлось. Вот сейчас ты рассуждаешь о разрабах так, будто они все одинаковы. Разработчики люди, а это значит, что они разные. Среди них есть такие, которые работают за еду, и всё за что не платят им не упёрлось. Но среди них есть и такие, для кого исследовательская деятельность является терминальной ценностью, то есть для того, чтобы заняться исследованием не нужно причин, достаточно найти возможность. И среди таких есть у кого есть на это время. И, я заверяю тебя, таких людей предостаточно. >> Это ты к чему сейчас сказал? > К тому что даже если дедлайны не горят, заниматься непрофильными исследованиями "шо > там у разрабов компилятора за ошибка появилась и исчезла" в рабочее > время ни один босс не позволит. "Исчезла, бизнес-процессы не блокирует - > просто отлично, возвращайтесь к работе!" - скажет любой босс. Начхать на этого босса. Дома я могу заниматься тем, что мне больше нравится, а не только тем, что хочется боссу. >> Там очень много проблем с наложением патчей. Их надо разослать так, чтобы  никто ни при каких настройках файрволов ничего бы не заметил. > Но и файрволы, и DLP тоже можно пропатчить. Это если предположить, что > ресурсы, выделенные на этот проект, достаточны. Я оценить ресурсы, необходимые для > его реализации, не могу. Но явно меньше тысячи человек на фуллтайм > требуется. АНБ точно по карману: AAA игры сравнимое количество разрабов делает. Тебе придётся пропатчить все файрволлы. Для некоторых из них у тебя не будет сорцов. Тебе придётся пропатчить все антивирусы -- в венде они популярны, и они суют свой нос куда ни попадя. Они тоже подчастую без сорцов. Тебе придётся активно заниматься реверс-инжинирингом, и готовить бинарные патчи, и обновлять эти патчи при каждом минорном обновлении версии. Прежде чем пальцем в небо тыкать предполагать количество людей необходимых под такое, попробуй оценить количество пунктов в списке софта, который надо пропатчить, а потом посчитать суммарное количество обновлений версий софта из этого списка за год. >>Нужно чтобы это произошло в весьма сжатые сроки, потому что если в мире будут существовать обновлённые компиляторы и необновлённые, то они будут генерить разные результаты, а это огромное палево: для исследователя безопасности изучать разницу гораздо переспективнее. > Да. Спалиться можно. Но исследователей безопасности в мире не так много, и > все заняты работой над конкретной программой. Исследователем безопасности становится любой, кто напоролся на непонятность, заинтересовался, разобрался в причинах, и причина оказалась отличной от его ошибки. Я не являюсь исследователем безопасности, но со мной бывает, что я напарываюсь на что-то непонятное, и начинаю копать, просто для того, чтобы понять. Когда-то давным-давно я запускал снифер на сетевом интерфейсе и смотрел какие пакеты пролетают, и находя непонятный мне пакет начинал разбираться. Не потому, что я искал дыры, просто потому, что мне было интересно. Если бы в этот момент компилятор решил бы скачать обновлённый свой патч, я бы очень заинтересовался неожиданными пакетами. Если бы они не повторились бы, я бы нашёл способ отлавливать их и писать в лог информацию когда они возникают. Последний раз я компилировал в ассемблер код наверное полгода назад -- я не помню, что там было, но происходило что-то непонятное мне, и я не понимал как так: у меня программа не работала так, как я задумал, и я не понимал что не так. Поэтому я начал втыкать в ассемблерные дампы, и сопоставлять инструкции ассемблера и строки исходного кода. Когда я разобрался в чём мой косяк, я ещё немного поигрался с кодом, уже чисто по фану, разглядывая на какие оптимизации компилятор способен, а на какие нет. А, ещё тут как-то была моя попытка скомпилировать rust'овый код под дос -- там всё вообще было интересно, и пришлось разбираться с тем, что там rustc генерит, что там генерит llvm, как научить и тот и этот генерить 16-bit код, бла-бла-бла. Года два назад, я компилировал в ассемблер потому что мне было интересно, что получится если на rust'е писать под avr. Сейчас я планирую заняться компиляцией в ассемблер mips -- мне сам mips любопытен, и... ну и под mips некоторые rust'овые пакеты не собираются (особенно из криптографии), потому как там оптимизации на ассемблере, а mips недостаточно популярен, я хочу поспособствовать исправлению ситуации. Но ты ж понимаешь, что прежде чем писать на асме, я приложу все усилия к тому, чтобы написать на rust'е, получив ту же производительность. А это значит, многократные компиляции в ассемблер с повышенным уровнем оптимизации, эти компиляции будут непонятны и запутанны, поэтому я начну компилировать в бинарь, и потом отлаживать инструкция за инструкцией, ну и... и значит что ежели компилятор будет добавлять лишний код, то я начну искать зачем он добавляет, я начну искать причину добавления, чтобы устранить эту причину. Возможно этой причиной будет несовершенство оптимизатора, возможно что-то ещё. Может быть причина будет неустранима, может быть нет. Но если у меня возникнут сомнения, я пойду обсуждать это с другими. Я не исследую безопасность, но я нечаянно могу напороться на дыру в безопасности. >> Тут столько граблей на пути, что обязательно что-нибудь пойдёт не так. > Грабель действительно более чем дофига. Но я не уверен, что те организации, > которым такое по карману, могут это зафейлить. Они и не такое > проворачивали прямо под носом своих конкурентов. Чего только краденная документация по > манхеттанскому проекту стоит, которую тппа должны были яро охранять, не то > что какой-то компилятор, на который всем нaсрaть, но компрометация которого де-факто > компрометирует всё. Я по пунктам разберу написанное тобой: 1. Сложность проекта такого рода оценивается количеством грабель, на которые можно наступить, и я не уверен, что хоть одна из организаций, которое такое по карману, когда-нибудь сталкивалась с таким количеством граблей. 2. На манхеттенский проект ты смотришь, но видишь не то, что нужно. Манхеттенский проект было гораздо проще сокрыть, нежели инфекцию всех компиляторов, и тем не менее это не удалось. 3. На компилятор и возможность его компрометации не всем нacpaть. Тут иногда проскакивают новости о компиляторе C, написанном на схеме, которая написана на C. Мне лень искать ссылки, но там вся фишка в том, чтобы сделать bootstrappable компилятор C. Как ты думаешь, зачем люди этим заняты? А воспроизводимые сборки софта -- это зачем, как ты думаешь? Одна из причин заниматься и тем и этим -- избавиться от влияния существующего компилятора. И даже если это не даёт 100% защиты, это добавляет ещё больше граблей на пути у тех организаций во всемогущество которых ты веришь.
	Ответить | Правка | Наверх | Cообщить модератору

	153. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 25-Фев-20, 10:47
	> Нет. Приоритетные цели -- это _потенциальные_ разработчики профайлеров, компиляторов... > и далее по списку. В приоритете любой Васян, которому приспичит поковырять > недра компилятора, или написать свой компилятор, или свой отладчик, или гипервизор. Согласен. > Любой такой Васян может напороться на странность, забить на свой проект > компилятор-just-for-fun и заняться ковырянием непонятности, на которую он напоролся. А вот в это верится с большим трудом. > Тут ты сильно всё упрощаешь. Невозможно составить список всех продуктов. >У них при этом могут быть самописные утилиты. Любые из этих утилит могут не перекомплироваться годами Список всех самодельных и недодельных утилит действительно составить нельзя. Зато можно насоздавать заготовок таких утилит на гитхабе. Разумеется, это не гарантирует, что этими заготовками захотят пользоваться. И опять же, для работы никто не будет использовать самоделку, если есть готовая утилита и суть работы не есть в создании самоделки. Если чего-то не хватает, то скорее пропатчат готовую опенсорсную, и на неё опять же наложется патч. >Разработчики вовсе не сидят все на одинаковых компиляторах и тем более на одинаковых версиях компиляторов. Версий конечное число и друг от друга они мало отличаются. Большинство сидит на версиях из пакетов дистров, потому что пересобирать часами gcc/llvm самому мало кому упёрлось. >Разработчики могут работать с нескольких машин -- ноут, домашний десктоп, десктоп на работе, сборочный сервер, и на всех этих машинах могут стоять разные версии софта. Уже здесь возникает такой зоопарк, что проблема возникнет не на этапе составления списка софта, а уже на этапе составления списка возможных режимов провала, которые надо учесть разрабатывая схему инфецирования. Вполне возможно. Но это зависит от определения провала. > А не надо никакой регулярности. Достаточно чтобы в год писалась бы сотня наколенных профайлеров. И даже не важна дальнейшая судьба этих профайлеров, даже не важно чтобы из них получалось что-нибудь завершённое, даже неудачная попытка написать профайлер может вскрыть странное поведение компилятора. Согласен. Скрыть кампанию по массовому инфицированию скорее всего не получится даже при ресурсах АНБ. > На простых тестовых программах ты можешь проверить, что твой профайлер делает именно то, что нужно. Но ты замучаешься придумывать тестовые программы, чтобы покрыть все edge cases, а если ты прогонишь свой профайлер через реалистичную нагрузку, вот тут эти самые edge cases и полезут изо всех щелей. Что позволит тебе написать тестовые программы, демонстрирующие эти edge cases. Аргумент принят. > Тебе придётся пропатчить все файрволлы. Для некоторых из них у тебя не будет сорцов. Для файроволов можно патчить не сам файрвол, а механизм захвата. Для ОС можно пропатчить ядерные функции для работы с ФС: при вызове не из загрузчика вырезать маркированный код. Правда это открывает способ обхода: сделать кастомный загрузчик. Но если предположить, что это  этап "раскрутки" системы удастся, то получить исходники софта уже будет не проблема. А пропатчить их всех - это исключительно вопрос финансирования и количества специалистов достаточного уровня, готовых работать на такие организации. Обновления не должны быть большой проблемой - модифицировать придётся относительно редко изменяемые части. Вроде считывания с диска. > Я не исследую безопасность, но я нечаянно могу напороться на дыру в безопасности. Абсолютно верно. Далее всё зависит от вашей решимости ковырять конкретно эту дыру и от ресурсов, требуемых на это. > 1. Сложность проекта такого рода оценивается количеством грабель, на которые можно наступить, > и я не уверен, что хоть одна из организаций, которое такое > по карману, когда-нибудь сталкивалась с таким количеством граблей. Я тоже. Но я - пессимист. > 2. На манхеттенский проект ты смотришь, но видишь не то, что нужно. > Манхеттенский проект было гораздо проще сокрыть, нежели инфекцию всех компиляторов, и > тем не менее это не удалось. Манхэтаннский проект сам по себе и его цели было невозможно скрыть. Но было возможно скрыть результаты его работы. Но это тоже сфейлили благодаря советским шпионам. > 3. На компилятор и возможность его компрометации не всем нacpaть. Тут иногда > проскакивают новости о компиляторе C, написанном на схеме, которая написана на > C. Мне лень искать ссылки, но там вся фишка в том, > чтобы сделать bootstrappable компилятор C. Как ты думаешь, зачем люди этим > заняты? А воспроизводимые сборки софта -- это зачем, как ты думаешь? > Одна из причин заниматься и тем и этим -- избавиться от > влияния существующего компилятора. Вот это - очень хороший и правильный проект. Но реально заработает только если он будет self-hosted. То есть если есть доверенная железка, типа fpga, на которой софт-процессор, на котором крутится bare metal компилятор, получающий ввод с доверенных железок типа самодельного сканнера, подключённого к gpio, и выводящий на магнитную ленту. Одна проблема - дорого.
	Ответить | Правка | Наверх | Cообщить модератору

	148. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 25-Фев-20, 06:01
	> Если контроллировать машину, на которой этот профайлер собирается, ...то всегда есть шанс что *удак-системщик соберет его таки на соседнем компе, притащит, и... таки затроллирует экспертов по всему )))
	Ответить | Правка | К родителю #124 | Наверх | Cообщить модератору

62. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от Аноним (62), 23-Фев-20, 19:39
ну не будет у хомячков безопасной работы с такими сайтами. эпл нас#рать на своих юзеров, а всем остальным на эппл ;)
Ответить | Правка | Наверх | Cообщить модератору

64. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от Аноним (64), 23-Фев-20, 20:05
> РФ некоторые IP letsencrypt.org попадали под блокировку Роскомнадзор На каком основании? Точный юридический ответ.
Ответить | Правка | Наверх | Cообщить модератору

	67. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (66), 23-Фев-20, 20:33
	> На каком основании? Точный юридический ответ. Незачем технологическому гетто с орками всякие продвинутости.
	Ответить | Правка | Наверх | Cообщить модератору

	70. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (64), 23-Фев-20, 21:43
	Т.е. > нарушения синхронизации зон в DNS неизбежны?
	Ответить | Правка | Наверх | Cообщить модератору

65. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
Сообщение от Геймер (?), 23-Фев-20, 20:14
Единственным условным плюсом https является типо защита от "говнопровайдеров, которые захотят шпионскую малварь в траффик вставлять". Для защиты от "шпионской малвари" имеется uBlock и прочая. Тем более в основном  шпионскую малварь в траффик вставляют не провайдеры а хозяева сайтов. От сбора персональных данных https не защищает никак. Тем более https не спасает от атак хакера Васи, например, через банальную СКЛ-инъекцию, так как https принципиально не защищает от дыр в кривом php-коде крутого бэкендера Пети
Ответить | Правка | Наверх | Cообщить модератору

	71. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (64), 23-Фев-20, 21:46
	Не всегда декларация совпадает с целью. Вспомним secureboot (и прочие сейфбуты) UEFI. От чего они защищают?
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 23-Фев-20, 22:28
	внезапно - вот от твоего желания порыться в моем ноуте - защищают. 100% Кодить ты не умеешь, а если бы и умел - все равно это было бы весьма и весьма непросто использовать. От г-на майора - не защищают, ну так ему и не надо - "разблокируйте, пожалуйста, ваш ноутбук, добровольно и с искренним желанием мне помочь, или вон через ту дверь - добро пожаловать в федеральную тюрьму. Она находится на экстерриториальной площади, поэтому гринкарту вы в ней не получите, и по отбытии срока в двести лет за отказ в законном требовании - будете депортированы".
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 23-Фев-20, 22:32
	> внезапно - вот от твоего желания порыться в моем ноуте - защищают. 100% Это как? Порыться в твоем ноуте хватит даже блин винды, и ее ключи подписаны и доверяемы, и хрен ты их удалишь в половине случаев, чтоб не скучно было.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 23-Фев-20, 22:40
	secureboot в UEFI можно выключить. Что все и делают.
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	98. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 24-Фев-20, 09:56
	А в целом верно: цель и secureboot и https совсем не в декларируемой "безопасности"
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	77. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от пох. (?), 23-Фев-20, 22:31
	> Единственным условным плюсом https является типо защита от "говнопровайдеров, которые захотят > шпионскую малварь в траффик вставлять". но зачем васяны так жаждут поделиться с ними как минимум инфой о посещаемых сайтах - по прежнему совершенно неясно. Ну, вероятно, эти русские любят страдать. > Тем более https не спасает от атак хакера Васи, например, через банальную СКЛ-инъекцию, круче - он увеличивает поле для атак, и о дырках в прекрасном http2 сообщают раз в месяц. Так что крутой бэкэндер петя мог хоть static html использовать - вас все равно поимеют.
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	99. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (25), 24-Фев-20, 09:58
	>дырках в прекрасном http2 сообщают раз в месяц. Требую пруфы.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (85), 23-Фев-20, 23:31
	Стоит добавить, что в определённых странах сетям контент-провайдинга динамически выдаются прозрачные сертификаты для переподписывания трафика, да так, чтобы юзер не мог их отличить от натуральных сертификатов... Отличаются они только более коротким сроком.
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

97. "Let's Encrypt перешёл к проверке с использованием разных под..."	–2 +/–
Сообщение от Геймер (?), 24-Фев-20, 09:51
Показательный пост висит в топе на хабре "Вы не смотрите рекламу во время разработки? Непорядок". Делатель сайтиков, в которых как обычно  напихано куча рекламы и трекеров, жалуется что интернет-провайдер тоже впихивает конечному пользователю свою рекламу. В данном случае делатель сайтиков и конечный пользователь оказались в одном лице. В комментариях ад, трэш и Израиль, и такие же делатели сайтиков требуют полного запрета http и тотального внедрения https.
Ответить | Правка | Наверх | Cообщить модератору

	100. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (25), 24-Фев-20, 10:03
	>такие же делатели сайтиков требуют полного запрета http и тотального внедрения https. Всё правильно делают. А грузить скрипты с внешних ресурсов, особенно с ресурсов гугла, абсолютно неприемлимо. Я на мгновение поверил, что это гугл решил карты монетизировать: > When you have eliminated the JavaScript, whatever remains must be an empty page. > must Слово must говорит о том, что это осознанное политическое решение.
	Ответить | Правка | Наверх | Cообщить модератору

	103. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Геймер (?), 24-Фев-20, 10:15
	Реклама и трекеры, которую делатели сайтиков пихают в свои поделия, на 99,9% это  скрипты с внешних ресурсов.  И грузятся они отлично по https
	Ответить | Правка | Наверх | Cообщить модератору

	112. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от VEG (ok), 24-Фев-20, 14:53
	По крайней мере у владельца сайта есть возможность выбора. Вот сделали вы такой сайт, весь из себя скромный такой, никакой рекламы и трекеров. И вам какой-то Васян пихает свою рекламу, без вашего спроса. Не думаю, что вы будете рады.
	Ответить | Правка | Наверх | Cообщить модератору

	159. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 25-Фев-20, 12:02
	Выбор есть всегда. Хостинг-провайдеры за услугу бесплатного хостинга для скромных таких сайтов размещали собственные рекламные банеры на этих сайтах. Можно вспомнить такой народный хостинг narod.ru. Или же можно купить по отдельному тарифу полноценный хостинг без рекламы со стороны хостинга. Если владелец сайта не скромный и хочет монетизации, то он или пихает посетителям свою рекламу, нагло требуя посетителей отключать адблоки. Или как-нибудь собирает с посетителей деньги как опеннет.ру. Описанный на хабре случай рекламы со стороны интернет-провайдера последней мили - это тоже попытка монетизировать свои услуги. Особенно бесплатные и дешёвые тарифы всяких бесплатных вайфаев в метро, музеях и прочих богадельнях. Почему хостинг-провайдерам и делателям сайтов можно пихать рекламу пользователям, а провайдерам доступа в Сеть нельзя? И говорить о вмешательстве в работу сайта здесь как раз очень сложно - провайдер доступа не модифицирует файлы на сайтах. С таким же успехом можно утверждать, что телекомпания вмешивается в работу киностудии, перемежая рекламой трансляцию сериала. Вопросы могут быть разве что у потребителя "последней мили", но никак у делателей сайтов. И здесь тоже есть выбор. Или же менять провайдера, или менять на дорогой тариф где явно прописано отсутствие рекламы. Или же не разбираясь, кто пихеат рекламу, резать её адблоком к чёртовой матери.
	Ответить | Правка | Наверх | Cообщить модератору

	160. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от VEG (ok), 25-Фев-20, 13:01
	Как хорошо, что развивающие интернет люди так не думают, и планомерно ведут веб к полному отказу от HTTP без TLS. Достаточно успешно, хочу сказать. Вангую, что лет через 10 HTTP останется разрешён только для localhost, и любители вмешиваться в трафик чужих сайтов останутся у обочины.
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 25-Фев-20, 19:14
	Развивающие интернет люди - кто все эти господа?! И что ж, господа интернета, будете после http запрещать - html в пользу тотального вебассемблера? Ведь html - это так небезопасно! Как хорошо, что люди использующие с пользой для себя и других этот интернет так не думают. И будут использовать в интернете именно то, что им нужно, а не то что им укажут представители каких-то интернет-господ. У меня давным давно имеется свой собственный скромный такой сайт с документацией и результатами собственных исследований. Конкуренция на рынке хостинга позволяет давно купить себе недорогой тариф безо всякой рекламы от хостера. На моём сайте нет ни рекламы, ни трекинга персональных данных в том числе и через рекламу, ни регистрации, ни СМС. И поэтому посетители моего сайта в полной безопасности, хотя работает он на чистом http. А вот обслуживать веб-сервер я захожу через клиент ssh - потому как это реальная безопасность без покупки всяких доверенных сертификатов от людей монетизирующих безопасность в Сети. И да, ком мне регулярно на мыло приходят предложения купить сертификатик для https, иначе господа интернета забанят в Гугле. Кстати, будущее интернета это, например, ещё и устройства IoT. У меня самого имеется пару wifi-контроллеров, на которых крутятся простенькие http-серверочки, и я могу через браузер проверить датчик уровня воды в унитазе. Не подскажете как прикрутить к ним сертификаты "летсенкрипта" безопасности ради? А в браузере я использую Privacy Badger и uBlock, хотя многие креативные веб-дизайнеры считают это подменой трафика с их сайта.
	Ответить | Правка | Наверх | Cообщить модератору

	163. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 25-Фев-20, 19:21
	А когда вы установили адблок, вам не кажется что вы срезаете рекламу безо всякого спроса и владелец сайта очень рад этому?
	Ответить | Правка | К родителю #112 | Наверх | Cообщить модератору

	101. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Джафар (?), 24-Фев-20, 10:04
	Хабр помойка для рекламшиков и про двигателей курсов. Делать там нечего, впрочем как и во всем рунете в целом.
	Ответить | Правка | К родителю #97 | Наверх | Cообщить модератору

	120. "Let's Encrypt перешёл к проверке с использованием разных под..."	+1 +/–
	Сообщение от Аноним (85), 24-Фев-20, 17:42
	После цикла статей на хабре про штаб Навального... Заходить туда как-то стрёмно.
	Ответить | Правка | Наверх | Cообщить модератору

	137. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Джафар (?), 24-Фев-20, 23:26
	Так и не ходите, я вообще аккаунт оттуда удалил.
	Ответить | Правка | Наверх | Cообщить модератору

	167. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (25), 25-Фев-20, 21:23
	А я аккаунт не удалил, но после того как они повторно меня забанили (был забанен на хабре, разбанился на гиктаймсе, написав статью (на хабре не стал разбаниваться, ибо его внесли в Реестр, а ГТ - нет), после слияния хабра и ГТ разбаненный акк потерялся, а поддержка дала явно понять, что такие им не нужны) я на этот ресурс, относящийся к пользователям как к говну, не напишу ничего. На медиум, кстати, тоже ничего не напишу, там хоть кармадрочерства и нет, но отношение такое же сквозит сразу с формы логина. Да и логотип иногда включают цвета ЛГБТ флага, пришлось написать скрипт, убирающий это, чтобы знакомые не подумали, что я из "этих".
	Ответить | Правка | Наверх | Cообщить модератору

	140. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (109), 25-Фев-20, 02:02
	Боитесь, что товарищ майор за чтением застанет?
	Ответить | Правка | К родителю #120 | Наверх | Cообщить модератору

102. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от Аноним (102), 24-Фев-20, 10:13
Почему я противник всяких https, ssl и т.д. Потому-что мы все под колпаком этих всяких удостоверяющих центров и гуглов. А они под колпаком АНБ и ЦРУ. И геморроя от подписи этих сертификатов и их прикручивания полным-полно. И самое главное какой от них толк в большинстве случаев?
Ответить | Правка | Наверх | Cообщить модератору

	110. "Let's Encrypt перешёл к проверке с использованием разных под..."	–2 +/–
	Сообщение от VEG (ok), 24-Фев-20, 14:28
	Чтобы всякие васяны не вмешивались в работу сайтов, типа как тут: https://habr.com/en/post/489528/
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (85), 24-Фев-20, 17:15
	Т.е. вмешиваться будут только те васяны, которые контролируются всякими АНБ и ЦРУ...
	Ответить | Правка | Наверх | Cообщить модератору

	125. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от админ яндекса (?), 24-Фев-20, 20:52
	Да вроде меня пока анб не контролирует, я вообще в Нижнем Новгороде. А подсунуть тебе суперсикьюрным https'ом вместо файлика из репо твоего дермияна что-то поинтереснее (и транспорт поуязвимее - начиная со всеми любимого нами http2) мне совершенно без проблем. Но наивные васяны продолжают думать, что https спасет их от багов в apt, а не наоборот, сделает их еще более уязвимыми - из-за багов в самой https-реализации, хотя, конечно, и баги в apt никто тоже не отменял.
	Ответить | Правка | Наверх | Cообщить модератору

122. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
Сообщение от Аноним (122), 24-Фев-20, 20:20
> например, в РФ некоторые IP letsencrypt.org попадали под блокировку Роскомнадзора кому вообще в голову придёт размешать сервер в датацентре который выполняет фильтр РКН.
Ответить | Правка | Наверх | Cообщить модератору

	123. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от тов. майор (?), 24-Фев-20, 20:43
	Где-где, говорите, вы разместили сервер с персональными данными граждан Ресурсной Федерации? Не трудитесь никуда выходить - за вами уже выехали.
	Ответить | Правка | Наверх | Cообщить модератору

	141. "Let's Encrypt перешёл к проверке с использованием разных под..."	–1 +/–
	Сообщение от Аноним (109), 25-Фев-20, 02:02
	А где в протоколе ACME персональные данные? :-)
	Ответить | Правка | Наверх | Cообщить модератору

	149. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Аноним (-), 25-Фев-20, 06:06
	> Где-где, говорите, вы разместили сервер с персональными данными граждан Ресурсной Федерации? В Антарктиде, разумеется! > Не трудитесь никуда выходить - за вами уже выехали. Счастливого пути :)
	Ответить | Правка | К родителю #123 | Наверх | Cообщить модератору

	155. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от товарищ майор (?), 25-Фев-20, 11:06
	>> Где-где, говорите, вы разместили сервер с персональными данными граждан Ресурсной Федерации? > В Антарктиде, разумеется! ну вот сейчас тебя отведут в 302ю комнату - будешь там рассказывать про антарктиду. >> Не трудитесь никуда выходить - за вами уже выехали. > Счастливого пути :) э..грхм...гражданин, так ведь не за вашим сервером выезжали, он, поди, где-нибудь в васян-клауде, в whois - Сейшеллы, в traceroute - Румыния, добывать его оттуда долго и незачем, у нас хлама без него хватает. Выехали за вами - как злостным нарушителем законодательства. А вы, как нам совершенно точно известно, гораздо ближе.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от InuYasha (?), 25-Фев-20, 11:50
	А что там в тов. Юлием О'санжем сейчас, кстати?
	Ответить | Правка | Наверх | Cообщить модератору

	170. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от тов. майор (?), 25-Фев-20, 22:41
	Мы за него боремся. К сожалению, основные орудия борьбы конфисковали проклятые норвежцы, поэтому решение об экстрадикции все еще вполне возможно - у нас, конечно, поставки диверсифицированы, но пока происходит обмен товар-деньги-товар, суд уже может принять нежелательное решение, тем более что в эту игру может играть и вторая сторона.
	Ответить | Правка | Наверх | Cообщить модератору

165. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
Сообщение от Геймер (?), 25-Фев-20, 20:51
Изобретают велосипед. Кому оно действительно надо давно используют .onion.
Ответить | Правка | Наверх | Cообщить модератору

	166. "Let's Encrypt перешёл к проверке с использованием разных под..."	+/–
	Сообщение от Геймер (?), 25-Фев-20, 20:54
	Не туды запостил
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема