Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Нелегальное получение SSL-сертификатов и ЦРУ
А занятно читать шумиху о том, что хакеры, поломавшие очередной удостоверяющий центр, смогли выпустить даже “сертификаты сайта ЦРУ” или, скажем, “даже сертификаты для доменов com и org”. Ну раз уж есть доступ к соответствующему закрытому ключу, то какая разница, что подписывать? Можно любой домен подписать. И это не будет иметь отношения к HTTPS на сайте ЦРУ.
Да, тут есть проблема: успешное коммерческое развитие SSL привело к тому, что за ключами и центрами следить уже не успевают, поэтому уводить ключи и ломать центры будут и дальше, это понятно. Тем более, что правила хранения ключей нарушаются постоянно.
А из-за того, что в браузерах встроено много корней, автоматическое доверие “левому” сертификату гарантирует, что можно подписать любой домен. Отпечатки ключей пользователи не сверяют. Хуже того, есть некоторое заметное число других источников корневых сертификатов. Например, в корпоративных сетях могут устраивать свои собственные корни и предустанавливать соответствующие сертификаты в браузеры. То же самое относится к некоторым банковским системам и так далее.
При этом очевидно, что для ЦРУ собственный веб-сайт – это лишь веб-сайт, не более того. Странно полагать, что этот сайт как-то там особенно встроен в системы секретной связи и что HTTPS на нём используется для работы с секретными документами. Ну и не применяет никто ключи коммерческих удостоверяющих центров для действительно секретной связи. Для того, чтобы иметь возможность прослушать пользовательский трафик, ну это, да, ладно, ещё можно предположить. А для собственных задач спецслужб – нет, не годятся эти ключи. По той самой причине, что возможен перехват через внешнюю структуру – “общедоступный” удостоверяющий центр.
()
Похожие записки:
- Удостоверяющие центры TLS-сертификатов Рунета
- Капитолийские ноутбуки
- Симметрии и дискретное логарифмирование
- Полностью зашифрованные протоколы в Интернете
- DNS-over-TLS как инструмент трансляции доверия в DNSSEC
- TLS 1.3 в Рунете
- Обновление описания TLS
- Криптографическая библиотека для Arduino: дополнение для новых IDE
- Персоны и идентификаторы
- Статья Cloudflare про ECH/ESNI
- Взлом Twitter и влияние на офлайн
- DNS-over-TLS на авторитативных серверах DNS
- Сервис проверки настроек веб-узлов
- Мониторинг: фитнес-браслет и смартфон
Комментарии читателей блога: 2
1. 7th September 2011, 04:47 // Читатель Z.T. написал:
http://xkcd.com/932/
(не забудьте прочитать alt-text)
2. 7th September 2011, 14:08 // Читатель jno написал:
Архитектурно оно кривовато…
Безотносительно ЦРУ и прочих глупостей.