Книги: "Создание сайтов" - "Доменные войны". Защита информации: техническое описание TLS, тестовый сервер TLS 1.3. Ресурсы: LaTeX
Lenovo и подмен сертификатов в HTTPS
Очередная история, отлично иллюстрирующая положение дел с безопасностью пользователей Сети: Lenovo исталлировали на ноутбуки дополнительное ПО Superfish (какое говорящее название!), которое подменяло серверные сертификаты веб-сайтов. Для чего подменяло? Конечно же для того, чтобы подставлять рекламу. Вот так.
Addon: поясню технические моменты – к сожалению, со стороны веб-сервера сделать здесь практически ничего нельзя; ни привязка ключей (Certificate Key Pinning), ни какой-нибудь DANE, ни другие методы (за исключением особо экзотических) – не помогают в случае, если вредоносное ПО установлено непосредственно внутри браузера и операционной системы. TLS помогает от атак на пути между сервером и клиентским компьютером, но не более того. Сходная проблема, кстати, существует и для антивирусных программ, подменяющих сертификаты и перехватывающих TLS непосредственно на пользовательском компьютере.
()
Похожие записки:
- Вращение Солнца и соцопросы
- Смартфон-шпион: восемь лет спустя
- TLS-сертификаты dxdt.ru
- "Яндекс.Браузер" и российские сертификаты TLS в вебе
- Удостоверяющий центр TLS ТЦИ
- Доверенные программы для обмена сообщениями
- Браузеры и перехват TLS без участия УЦ
- "Пасхалки" в трафике
- Интернет-протокол "дымовой завесы"
- Про цепочки, RSA и ECDSA
- Обновление описания TLS
- "Авторизованный трафик" и будущее Интернета
- TLS для DevOps
- Аварии facebook.com
- Ретроспектива заметок: деанонимизация по географии
- Статья: DNS в качестве инструмента публикации вспомогательной информации
- Статья о технологии Encrypted Client Hello
Комментарии читателей блога: 3
1. 19th February 2015, 14:25 // Читатель Дмитрий Белявский написал:
Pinning и Certificate transparency таки должно заловить, если malware не встроено в сам браузер.
2. 19th February 2015, 18:34 // Александр Венедюхин ответил:
Собственно, там, вроде, и есть браузерный плагин – этот Superfish.
3. 20th February 2015, 17:32 // Читатель jno написал:
отсюда мораль: самопоставленный браузер + жестокая блокировка рекламы всеми способами…