nie do pomyslenia jak ludzie zyli bez certyfikatow...

Bo przyjdzie mityczny "hakier" i nas wszystkich zhakieruje. I będziemy musieli się przesiąść na C64.

Hakier ukradnie ciastko i Ci go zje. Co ta miesiącami?! Latami, żeby nie powiedzieć od dekad ponad już dwóch.

Ssl jest po to, żeby dać ludziom fałszywe poczucie bezkarności i prowokować ich do wywnętrzniania się. Gdyby to było skuteczne, to by było zabronione (vide Telegram).

Hasła można przesyłać bezpiecznie - przecież jest javascript czy inne rozwiązania - można tego użyć do zamiany hasła na cokolwiek, zanim się to prześle internetami.

Ostatnio edytowany przez qbahusak (2024-09-25 21:56:34)

Temu dokładnie służy - ochronie transmisji przed wścibskimi, w tym danych niejawnych, jak: hasła, numery kart płatniczych, ciasteczka itp.

Jest bardzo prawdopodobne, że duża część ludzi uznaje SSL, jako ochronę prywatności, bo często jest to tak przedstawiane. U mnie trzy z czterech stron, będącymi pierwszymi wynikami wyszukiwania hasła "ssl prywatność", przedstawia SSL jako:

Powyżej ewidentnie pomylono prywatność z możliwością przechwycenia transmitowanych danych.

Jeżeli masz na myśli zamianę po stronie klienta hasła w coś innego (np. hash) i przesłanie w takiej formie, to nie jest to żadne zabezpieczenie. Żaden szanujący się system nie trzyma hasłem w otwartej postaci - zawsze są to hashe. I to właśnie one, a nie hasła, są porównywane podczas uwierzytelniania.

A co to za dziwne stwierdzenie? Czyżby algorytm liczb pierwszych został właśnie odkryty?

Obecnie używa się TLS, ale to po prostu rozszerzenie SSL.

Boszsz.... Jak komuś przeszkadza - nie musi korzystać z atariarea. Nie widzę tu milionów nowych "nicków" dziennie, jest to małe, raczej prawie zamknięte środowisko...

Nie rozumiem haszowania hasła po stronie klienta (JS), szczególnie, że jedno hasło może wygenerować różne hasze (+ jakaś sól) a samo hasło może pasować do różnych haszy (kolizja). Jedyną właściwą drogą jest na serwerze sprawdzenie zgodności hasła do hasza. Porównanie hasza do hasza jest nieprawidłową i skrajnie niebezpieczną praktyką. Tak się nie robi. I nie trzeba do tego JS. Chyba, że chodzi o JS na backendzie, ale to jest już node.

Dane, przed wysłaniem i po odebraniu, są w postaci niezaszyfrowanej, więc nie ma za bardzo sensu ich podsłuchiwania - wystarczy po nie sięgnąć. Przed tym procederem powinien chronić antywirus, którego skuteczność nie jest przedmiotem tej dyskusji.

Tak, osłabiono algorytm A5/1 stosowany w sieciach GSM na potrzeby eksportowe USA do krajów z ograniczeniami importowania produktów z funkcjami szyfrowania. Najpopularniejsze algorytmy szyfrowania symetrycznego używają kluczy: 56-bitowych (DES), 112 (3DES), 128/256 (AES), więc długość klucza jest wydłużana. W przypadku szyfrowania asymetrycznego początkowo stosowano klucze 768-bitowe, ale od wielu lat zaleca się stosowanie 2048-bitowych i dłuższych.

Może i nazywa się Man In The Middle, z tym że próba podsłuchiwania wymaga podmiany certyfikatów wykorzystywanych do ustalenia klucza symetrycznego, co kończy się informacją o błędnym certyfikacie serwera. Zebranie danych zaszyfrowanych, aby rozszyfrować je off-line mija się z celem, ze względu na czas potrzebny do tej czynności.

Musisz mieć możliwość zweryfikowania, czy otrzymany "kod szyfrujący" pochodzi z właściwego źródła. Do tego służą certyfikaty. Inaczej zły człowiek przechwyci transmisję, w miejsce "kodu szyfrującego" serwera wstawi własny i prześle do klienta. Dalej mamy klasyczne MITM.

Odwrotnie, to samo hasło zawsze da ten sam hash. Dopiero dodawanie losowej soli do hasła daje różne hashe. Kolizja jest wtedy, gdy dwie różne dane dają ten sam skrót.

Jak chcesz "hasło" porównać z "610881de40fac65b12445aef6c603234" (MD5 tylko dla przykładu)? :-) Trzymanie haseł w postaci jawnej jest skrajnie nieodpowiedzialne. Przechowuje się hashe i ew. sól. Podczas uwierzytelniania do przesłanego hasła dodawana jest sól, z tego obliczany jest skrót i dopiero to jest sprawdzane.

Certyfikaty Let's Encrypt ważne są trzy miesiące i dobrze jest mieć narzędzie do automatycznego odnawiania. Poza tym na hoscie trzeba mieć możliwość włączenia szyfrowania spełniającego współczesne wymogi. :-p

@Lizard - korzystam z różnych hostingów dla siebie i klientów i jeszcze się nie spotkałem, by Let's Encrypt się autmatycznie nie przedłużał. No i zdradź termin "szyfrowanie spełniające współczesne wymogi"? Raczej wszystkie firmy hostingowe korzystają z najnowszych wersji oprogramowania z racji oczywistych :)

Ostatnio edytowany przez alex (2024-09-27 12:31:44)