forum.opennet.ru - "Уязвимость в сервисе StartSSL позволяла автоматически получи..." (49)

форумы

помощь

поиск

регистрация

вход/выход

слежка

"Уязвимость в сервисе StartSSL позволяла автоматически получи..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+/–
Сообщение от opennews (ok) on 01-Июл-16, 00:18
В пытающемся конкурировать с Lets'Encrypt сервисе автоматической выдачи SSL-сертификатов StartEncrypt (https://www.opennet.ru/opennews/art.shtml?num=44603), развиваемом удостоверяющим центром StartCom (торговая марка StartSSL), выявлена (https://www.computest.nl/blog/startencrypt-considered-harmfu.../) критическая проблема с безопасностью, позволяющая получить заверенный удостоверяющим центром сертификат для не принадлежащего пользователю домена. Например, можно получить SSL-сертификаты для google.com и facebook.com, которые будут восприняты в браузерах как заслуживающие доверия. Проблема присутствует в реализации механизма проверки принадлежности домена заявителю. Как упоминалось в опубликованном две недели назад анонсе (https://www.opennet.ru/opennews/art.shtml?num=44603), проверка выполняется закрытым приложением, представляющим собой "черный ящик", отправляющий сетевые запросы к внешнему API. Энтузиасты заинтересовались подобной сетевой активностью и в процессе анализа приложения, нашли в нём серию уязвимостей, позволяющих запросить сертификат, обманув стадию проверки принадлежности домена. Первая уязвимость связана с тем, что для проверки контроля за доменом запрашивается файл "/signfile", но путь к этому файлу также указывается при запросе к API, что позволяет указать в запросе к API любой другой путь и получить сертификат для любого сайта, на который могут быть загружены сторонние данные. Например, файл можно загрузить на dropbox.com и указать путь к этому файлу при обращении к API, после чего StartEncrypt посчитает, что домен dropbox.com принадлежит данному пользователю. Вторая уязвимость расширяет возможности атаки сайтами, на которых допускаются перенаправления URL. При загрузке проверочного файла StartEncrypt обрабатывает редиректы, поэтому для получения сертификата чужого сайта не обязательно загружать на него данные, достаточно организовать пернаправление на свой хост. Функция перенаправления на URL при завершении сеанса определена в спецификации OAuth 2.0, что позволяет получить сертификат для любого сайта, поддерживающего OAuth 2.0. Например, сертификат можно получить для google.com, facebook.com, paypal.com, linkedin.com, login.live.com и т.п. Кроме того, несколько уязвимостей выявлены в коде клиентского приложения: клиент не проверяет сертификат сервера при обработке ответов API, при загрузке проверочного файла не выполняется проверка типа контента (проверочный файл можно загрузить под видом изображения), приватный ключ (/usr/local/StartEncrypt/conf/cert/tokenpri.key) сохраняется с правами 0666, что позволяет любому локальному пользователю прочитать и изменить его. URL: https://www.computest.nl/blog/startencrypt-considered-harmfu.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=44708
Ответить \| Правка \| Cообщить модератору

Оглавление

Уязвимость в сервисе StartSSL позволяла автоматически получи..., Crazy Alex, 00:18 , 01-Июл-16, (1) +17

Уязвимость в сервисе StartSSL позволяла автоматически получи..., azure, 14:36 , 05-Июл-16, (52)

Уязвимость в сервисе StartSSL позволяла автоматически получи..., Andrey Mitrofanov, 15:29 , 05-Июл-16, (53)

Уязвимость в сервисе StartSSL позволяла автоматически получи..., Аноним, 00:24 , 01-Июл-16, (2) +30

Уязвимость в сервисе StartSSL позволяла автоматически..., arisu, 11:53 , 01-Июл-16, (26) +4
Уязвимость в сервисе StartSSL позволяла автоматически получи..., Ilya Indigo, 14:36 , 01-Июл-16, (40)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 00:31 , 01-Июл-16, (3) +4

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 07:17 , 01-Июл-16, (12) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 08:58 , 01-Июл-16, (19) +2

Уязвимость удостоверяющего центра StartSSL позволяла получит..., A.Stahl, 09:23 , 01-Июл-16, (20) +5

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 00:32 , 01-Июл-16, (4) +3

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Crazy Alex, 01:42 , 01-Июл-16, (8) +4

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 20:28 , 01-Июл-16, (42)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., XoRe, 14:46 , 02-Июл-16, (48) +1

Уязвимость в сервисе StartSSL позволяла автоматически получи..., izyk, 01:03 , 01-Июл-16, (5) +5

Уязвимость в сервисе StartSSL позволяла автоматически получи..., Fyjybvec, 20:33 , 01-Июл-16, (46) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., dlazerka, 01:14 , 01-Июл-16, (6) –10

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 05:43 , 01-Июл-16, (10) +8
Уязвимость удостоверяющего центра StartSSL позволяла получит..., Наркоман, 08:20 , 01-Июл-16, (13) +17
Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 08:34 , 01-Июл-16, (14)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Пингвино, 08:58 , 01-Июл-16, (18)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 10:49 , 01-Июл-16, (24)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Клыкастый, 12:14 , 01-Июл-16, (27) +1
Уязвимость удостоверяющего центра StartSSL позволяла получит..., scorry, 12:46 , 01-Июл-16, (31) +1
Уязвимость удостоверяющего центра StartSSL позволяла получит..., XoRe, 14:48 , 02-Июл-16, (49) +1

Уязвимость в сервисе StartSSL позволяла автоматически получи..., Нуб, 01:24 , 01-Июл-16, (7)
Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 03:29 , 01-Июл-16, (9) +2
Уязвимость удостоверяющего центра StartSSL позволяла получит..., Какаянахренразница, 06:14 , 01-Июл-16, (11) +4
Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 08:38 , 01-Июл-16, (15) +3
Уязвимость удостоверяющего центра StartSSL позволяла получит..., хрю, 08:51 , 01-Июл-16, (16) +2

Уязвимость удостоверяющего центра StartSSL позволяла получит..., тоже Аноним, 09:30 , 01-Июл-16, (21) +2

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 11:24 , 01-Июл-16, (25)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., тоже Аноним, 13:12 , 01-Июл-16, (33) –1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., scorry, 13:35 , 01-Июл-16, (38) –1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., тоже Аноним, 13:42 , 01-Июл-16, (39) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 12:27 , 01-Июл-16, (28)
Уязвимость удостоверяющего центра StartSSL позволяла получит..., ., 13:15 , 01-Июл-16, (34) +2

Уязвимость удостоверяющего центра StartSSL позволяла получит..., тоже Аноним, 13:26 , 01-Июл-16, (37)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Crazy Alex, 12:49 , 01-Июл-16, (32) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 20:31 , 01-Июл-16, (43) +2

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 21:46 , 01-Июл-16, (47) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 08:53 , 01-Июл-16, (17) +1
Уязвимость удостоверяющего центра StartSSL позволяла получит..., YetAnotherOnanym, 09:42 , 01-Июл-16, (22) +4

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 20:32 , 01-Июл-16, (44) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 10:13 , 01-Июл-16, (23)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., ., 13:19 , 01-Июл-16, (35)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., мегааноним_, 12:35 , 01-Июл-16, (29)

Уязвимость удостоверяющего центра StartSSL позволяла получит..., Аноним, 20:33 , 01-Июл-16, (45) +1

Уязвимость удостоверяющего центра StartSSL позволяла получит..., xm, 13:23 , 01-Июл-16, (36) –1

Сообщения по теме [Сортировка по времени | RSS]

1. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +17 +/–

Сообщение от Crazy Alex (ok) on 01-Июл-16, 00:18

Чудесно и ожидаемо

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

52. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +/–

Сообщение от azure (ok) on 05-Июл-16, 14:36

Пост-фактум всегда все "ожидаемо". А пруф в виде ссылочки на такие ожидания месячной и более давности не найдется ли?

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

53. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +/–

Сообщение от Andrey Mitrofanov on 05-Июл-16, 15:29

> Пост-фактум всегда все "ожидаемо". А пруф в виде ссылочки на такие ожидания
> месячной и более давности не найдется ли?
Да, вот https://www.opennet.ru/openforum/vsluhforumID3/101910.html#63 же. Прямо _ждёт_.
И всем того же советует
https://www.opennet.ru/openforum/vsluhforumID3/105773.html#59
https://www.opennet.ru/openforum/vsluhforumID3/105125.html#32
https://www.opennet.ru/openforum/vsluhforumID3/102930.html#32
Крэзи - Голова! Почти Шнайер. Как сертифицировать, ка кбанки организоать -- всё знает. </>

Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

2. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +30 +/–

Сообщение от Аноним (??) on 01-Июл-16, 00:24

Кто там в каждой новости про  Let's Encrypt плевался и советовал использовать StartSSL? :-) Теперь настоящие профессионалы показали своё истинное лицо. Даже не верится, что в CA может быть такая некомпетентность.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

26. "Уязвимость в сервисе StartSSL позволяла автоматически..." +4 +/–

Сообщение от arisu (ok) on 01-Июл-16, 11:53

> Даже не верится, что в CA может быть такая некомпетентность.
это после дигинотара‐то?

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

40. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +/–

Сообщение от Ilya Indigo (ok) on 01-Июл-16, 14:36

Я в прошлых новостях агитировал за китайцев.

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +4 +/–

Сообщение от Аноним (??) on 01-Июл-16, 00:31

Ждём аналогичную историю про Comodo. Их хоть не жалко растерзать будет.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Аноним (??) on 01-Июл-16, 07:17

комодо выдаёт серты кому надо, а не первому встречному

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

19. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от Аноним (??) on 01-Июл-16, 08:58

Ну да. А кому - надо?

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

20. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +5 +/–

Сообщение от A.Stahl (ok) on 01-Июл-16, 09:23

Кто платит -- тому и надо.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

4. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +3 +/–

Сообщение от Аноним (??) on 01-Июл-16, 00:32

В Let's Encrypt, кстати, проблема с редиректом всплывала на ранней стадии бета-тестирования.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +4 +/–

Сообщение от Crazy Alex (ok) on 01-Июл-16, 01:42

Ну вот разница в том числе в  том, что там было огромное долгое бета-тестирование

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

42. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 20:28

> Ну вот разница в том числе в  том, что там было
> огромное долгое бета-тестирование
Которое ничего не вылавливает, на самом деле. Что неоднократно практика и показывала с другими софтами и продуктами. Британская Энциклопудия.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

48. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от XoRe (ok) on 02-Июл-16, 14:46

>> Ну вот разница в том числе в  том, что там было
>> огромное долгое бета-тестирование
> Которое ничего не вылавливает, на самом деле. Что неоднократно практика и показывала
> с другими софтами и продуктами. Британская Энциклопудия.
Практика показала на ситуацию с другими софтами и продуктами, а не с Let's Encrypt.

Ответить | Правка | ^ к родителю #42 | Наверх | Cообщить модератору

5. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +5 +/–

Сообщение от izyk (ok) on 01-Июл-16, 01:03

Да, было дело получал у них бесплатный сертификат, но столько проблем было. Получить смог только авторизовавшись под IE и т.д. Сложилось впечатление что это недоделанная чья та курсовая, но никак не серьезный проект. Номер кредитки я бы им не доверил. Как они поднялись не ясно. Не иначе как связи.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

46. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +1 +/–

Сообщение от Fyjybvec on 01-Июл-16, 20:33

Через постель

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

6. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." –10 +/–

Сообщение от dlazerka (ok) on 01-Июл-16, 01:14

Я, как вебмастер, вообще не хочу иметь доступ к приватным ключам своих сертификатов. Пускай мой хостер или name server их у себя хранит/обновляет, как AWS Certificate Manager делает.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +8 +/–

Сообщение от Аноним (??) on 01-Июл-16, 05:43

Какая прелесть. Сегодня вроде первое июля, а не первое апреля.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

13. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +17 +/–

Сообщение от Наркоман on 01-Июл-16, 08:20

Типичный вебмастер.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

14. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 08:34

На aws закрытые ключи лежат в днс, чтобы вебмастер не мог их достать?

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

18. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Пингвино (ok) on 01-Июл-16, 08:58

На ELB же

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

24. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 10:49

Ну читай потс на который я отвечаю

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

27. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Клыкастый (ok) on 01-Июл-16, 12:14

и ftp! обязательно доступ по ftp!!!
блин....
раз http://lugasoft.ru/ok/etks/3501
два http://lugasoft.ru/ok/etks/4001
три http://lugasoft.ru/ok/etks/5104
...
что же вас в вебмастера-то несёт...

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

31. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от scorry (ok) on 01-Июл-16, 12:46

> Я, как вебмастер,
Ты не вебмастер.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

49. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от XoRe (ok) on 02-Июл-16, 14:48

> Я, как вебмастер, вообще не хочу иметь доступ к приватным ключам своих
> сертификатов. Пускай мой хостер или name server их у себя хранит/обновляет
Чего мелочиться, сразу в роскомнадзор шли.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

7. "Уязвимость в сервисе StartSSL позволяла автоматически получи..." +/–

Сообщение от Нуб on 01-Июл-16, 01:24

БРАВО!!!!
рукоплескаем!
впрочем это было предсказуемо, еще в прошлой новости.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от Аноним (??) on 01-Июл-16, 03:29

балбесы спалили дырку

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +4 +/–

Сообщение от Какаянахренразница (ok) on 01-Июл-16, 06:14

> позволяла получить сертификат для чужого домена
Чего же они сразу не сказали-то? Полезная фича. Надо попробовать.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +3 +/–

Сообщение от Аноним (??) on 01-Июл-16, 08:38

Вот это провал! По идеи надо у них отзывать доверие после такого.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от хрю on 01-Июл-16, 08:51

>Проблема присутствует в реализации механизма проверки принадлежности домена заявителю.
проблема присутствует в самой концепции ssl-сертификатов в том виде в котором они есть сейчас. защита https - это по большому счету мираж.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

21. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от тоже Аноним (ok) on 01-Июл-16, 09:30

Вообще-то защита https - это как минимум два фактора:
1. Удостовериться, что имеешь дело именно с тем сайтом, на который зашел. Это работает, прямо скажем, неидеально.
2. Шифрование общения между пользователем и сайтом. А вот это нормально работает, причем с любым - хоть самоподписанным - сертификатом. Если, конечно, какие-нибудь защитнички не влезли в процесс со своими интересами.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

25. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 11:24

Можно подробнее про первый пункт? (Вебмастер-мимокрокодил, не особо разбирающийся в тонкостях)

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

33. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." –1 +/–

Сообщение от тоже Аноним (ok) on 01-Июл-16, 13:12

Загляните нормальным браузером на https-сайт уважающей себя конторы (vtb, например) - увидите рядом с замком сертификата "подтвержденье, что в пакете - не ослиная моча, а прекрасный вкусный сок".

Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

38. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." –1 +/–

Сообщение от scorry (ok) on 01-Июл-16, 13:35

> Загляните нормальным браузером на https-сайт уважающей себя конторы (vtb, например) - увидите
> рядом с замком сертификата "подтвержденье, что в пакете - не ослиная
> моча, а прекрасный вкусный сок".
Вообще-то это подтверждение не сайта, а конкретного лица либо корпорации, стоящих за сайтом.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

39. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от тоже Аноним (ok) on 01-Июл-16, 13:42

Если вам нужна точность - то это подтверждение принадлежности сервера, с которым вы установили соединение, тому самому лицу. Правда, не вижу, в чем тут практическая разница.

Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

28. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 12:27

Бывают еще EV/OV сертификаты которые кроме домена подтверждают личность/организацию.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

34. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от . on 01-Июл-16, 13:15

> Вообще-то защита https - это как минимум два фактора:
к сожалению, они работают только в комплексе (точнее, никогда не работали и не будут, ибо комплекс гораздо сложнее и принципиально непроверяем)
> Удостовериться, что имеешь дело именно с тем сайтом, на который зашел. Это работает,
> прямо скажем, неидеально.
это вообще не работает. Можно лишь с некоторой степенью достоверности это предположить.
> Шифрование общения между пользователем и сайтом. А вот это нормально работает, причем с
> любым - хоть самоподписанным - сертификатом.
шарик, ты балбес. Кто тебе сказал, что сертификат, который видит твой браузер - тот, с которым ему отвечал сервер, если предыдущий пункт - пропущен? И чего после этого стоит твое "шифрование"?
А если у тебя нет никакого man in the middle - то зачем тебе шифрование вообще?
То есть это нормально работает только с _тобой_ лично самоподписанным сертификатом, вручную проверенным, прежде чем установить его в браузер. Когда ты абсолютно уверен что флэшку из рук по дороге не выпускал.
К сожалению, браузеров, которым можно отключить нахрен идиотские "доверенные центры" и при этом сохранить возможность пользоваться современным интернетом (где в любой момент может оказаться шифрованный css или js из какой-нибудь совершенно неведомой cdn помойки даже на сайте без всякого шифрования) - не существует.
Во всяком случае, мне таковые неведомы.
Вместо этого имеет место только стройная система костылей и подпорок, вроде cert pinning - опять не на той стороне, на которой ему нужно быть. Он должен быть на моей стороне - чтобы я, прочитав сертификат, подумав, сделал вывод - этому сертификату можно доверять, если (и только!) его предъявляет такой вот сайт (возможно - все сайты указанные в расширении, но это опять же должен вручную подтвердить я) и нет причин (revocation list или negative ocsp) считать его утратившим достоверность. Как только с той стороны предъявят что-то другое (или попытаются этим подтвердить валидность другого сайта) - надо все остановить, вывести красное окошко и снова ждать моего решения.
Так - оно было бы безопасно. Но, повторяю, этого не умеет ни один браузер на свете. Удали все trusted ca - у тебя вообще ничего работать не будет, кроме примитивных наколенных страничек (браузеры не умеют спросить про валидность сертификата для чего-либо кроме "страницы". Ни для картинок, ни для css/js). Подтверди постоянное разрешение использовать невалидный сертификат - у тебя им сможет подписаться кто угодно и когда угодно.
Отчасти из-за ориентации всей системы на тупого пользователя, которому проще передоверить свою безопасность дядям, чем самому хоть что-то сделать. Отчасти явно потому, что кто-то кому-то очень даже неплохо платит.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

37. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от тоже Аноним (ok) on 01-Июл-16, 13:26

Cистемой, выполняющей ваши требования безопасности, для серфинга настолько же невозможно будет пользоваться, как браузером, работающим только с HTTPS и дропающим запросы к HTTP.
Разве что для пульта, работающего с одним конкретным сервером, желательно вам же и подконтрольным.

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

32. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Crazy Alex (ok) on 01-Июл-16, 12:49

Скажем так - SSL (именно в "стандартном" виде, и иерархией CA) сильно ограничивает круг тех, кто может влезть в ваш трафик. Настолько сильно, что, к примеру, для абсолютного большинства бизнеса этого абсолютно достаточно. Точно так же, как достаточно для защиты от всяких мелких хакеров, любителей снифить общественный вайфай и т.д. Для дефолта, достающегося задарма - более чем.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

43. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +2 +/–

Сообщение от Аноним (??) on 01-Июл-16, 20:31

> Скажем так - SSL (именно в "стандартном" виде, и иерархией CA) сильно
> ограничивает круг тех, кто может влезть в ваш трафик. Настолько сильно,
> что, к примеру, для абсолютного большинства бизнеса этого абсолютно достаточно. Точно
> так же, как достаточно для защиты от всяких мелких хакеров, любителей
> снифить общественный вайфай и т.д. Для дефолта, достающегося задарма - более
> чем.
Туфта. Себя успокаиваешь?

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

47. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Аноним (??) on 01-Июл-16, 21:46

Ну я же как-то онлайн-банкингом пользуюсь и деньги не украли. На счет сильно ограничивает - автор предыдущего комментария перегнул. Я бы сказал сильно увеличивает стоимость атаки (относительно, а не абсолютно). Вот и выходит так, что от того, кто может себе это позволить нет смысла защищать ибо он и так может влезть в дела большинства (мелкий, средний) бизнеса. Так и живем - чем дальше тем страшнее.

Ответить | Правка | ^ к родителю #43 | Наверх | Cообщить модератору

17. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Аноним (??) on 01-Июл-16, 08:53

Это не бага, это фича! Эх, что ж вы, спалили контору!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

22. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +4 +/–

Сообщение от YetAnotherOnanym (ok) on 01-Июл-16, 09:42

Сама идея публичных УЦ и вся отрасль сертификатов - одна сплошная уязвимость.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Аноним (??) on 01-Июл-16, 20:32

> Сама идея публичных УЦ и вся отрасль сертификатов - одна сплошная уязвимость.
Абсолютно с тобой согласен, Анон.
Это тот самый случай, когда иллюзия безопасности много хуже полной небезопасности.

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

23. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от Аноним (??) on 01-Июл-16, 10:13

И что, теперь CA, который использовали под это дело заблэклистят во всех дистрибутивах? С другими УЦ, которые были скомпрометированы поступали ведь именно так

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

35. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от . on 01-Июл-16, 13:19

> И что, теперь CA, который использовали под это дело заблэклистят во всех
> дистрибутивах? С другими УЦ, которые были скомпрометированы поступали ведь именно так
там, скорее всего, достаточно самому startssl отозвать скомпроментированный intermediate (который был отдельный для этой автоматической херни)
Но что-то мне подсказывает - не дождемся даже этого.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

29. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +/–

Сообщение от мегааноним_ on 01-Июл-16, 12:35

Теперь все сертификаты StartSSL отзовут?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

45. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." +1 +/–

Сообщение от Аноним (??) on 01-Июл-16, 20:33

> Теперь все сертификаты StartSSL отзовут?
Надо бы. Но это вряд ли.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

36. "Уязвимость удостоверяющего центра StartSSL позволяла получит..." –1 +/–

Сообщение от xm (ok) on 01-Июл-16, 13:23

Epic fail

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+17 +/–
Сообщение от Crazy Alex (ok) on 01-Июл-16, 00:18
Чудесно и ожидаемо
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	52. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+/–
	Сообщение от azure (ok) on 05-Июл-16, 14:36
	Пост-фактум всегда все "ожидаемо". А пруф в виде ссылочки на такие ожидания месячной и более давности не найдется ли?
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	53. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+/–
	Сообщение от Andrey Mitrofanov on 05-Июл-16, 15:29
	> Пост-фактум всегда все "ожидаемо". А пруф в виде ссылочки на такие ожидания > месячной и более давности не найдется ли? Да, вот https://www.opennet.ru/openforum/vsluhforumID3/101910.html#63 же. Прямо _ждёт_. И всем того же советует https://www.opennet.ru/openforum/vsluhforumID3/105773.html#59 https://www.opennet.ru/openforum/vsluhforumID3/105125.html#32 https://www.opennet.ru/openforum/vsluhforumID3/102930.html#32 Крэзи - Голова! Почти Шнайер. Как сертифицировать, ка кбанки организоать -- всё знает. </>
	Ответить \| Правка \| ^ к родителю #52 \| Наверх \| Cообщить модератору

2. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+30 +/–
Сообщение от Аноним (??) on 01-Июл-16, 00:24
Кто там в каждой новости про Let's Encrypt плевался и советовал использовать StartSSL? :-) Теперь настоящие профессионалы показали своё истинное лицо. Даже не верится, что в CA может быть такая некомпетентность.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	26. "Уязвимость в сервисе StartSSL позволяла автоматически..."	+4 +/–
	Сообщение от arisu (ok) on 01-Июл-16, 11:53
	> Даже не верится, что в CA может быть такая некомпетентность. это после дигинотара‐то?
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	40. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+/–
	Сообщение от Ilya Indigo (ok) on 01-Июл-16, 14:36
	Я в прошлых новостях агитировал за китайцев.
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору

3. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+4 +/–
Сообщение от Аноним (??) on 01-Июл-16, 00:31
Ждём аналогичную историю про Comodo. Их хоть не жалко растерзать будет.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	12. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+1 +/–
	Сообщение от Аноним (??) on 01-Июл-16, 07:17
	комодо выдаёт серты кому надо, а не первому встречному
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	19. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+2 +/–
	Сообщение от Аноним (??) on 01-Июл-16, 08:58
	Ну да. А кому - надо?
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	20. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+5 +/–
	Сообщение от A.Stahl (ok) on 01-Июл-16, 09:23
	Кто платит -- тому и надо.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору

4. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+3 +/–
Сообщение от Аноним (??) on 01-Июл-16, 00:32
В Let's Encrypt, кстати, проблема с редиректом всплывала на ранней стадии бета-тестирования.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+4 +/–
	Сообщение от Crazy Alex (ok) on 01-Июл-16, 01:42
	Ну вот разница в том числе в том, что там было огромное долгое бета-тестирование
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	42. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+/–
	Сообщение от Аноним (??) on 01-Июл-16, 20:28
	> Ну вот разница в том числе в том, что там было > огромное долгое бета-тестирование Которое ничего не вылавливает, на самом деле. Что неоднократно практика и показывала с другими софтами и продуктами. Британская Энциклопудия.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	48. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+1 +/–
	Сообщение от XoRe (ok) on 02-Июл-16, 14:46
	>> Ну вот разница в том числе в том, что там было >> огромное долгое бета-тестирование > Которое ничего не вылавливает, на самом деле. Что неоднократно практика и показывала > с другими софтами и продуктами. Британская Энциклопудия. Практика показала на ситуацию с другими софтами и продуктами, а не с Let's Encrypt.
	Ответить \| Правка \| ^ к родителю #42 \| Наверх \| Cообщить модератору

5. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+5 +/–
Сообщение от izyk (ok) on 01-Июл-16, 01:03
Да, было дело получал у них бесплатный сертификат, но столько проблем было. Получить смог только авторизовавшись под IE и т.д. Сложилось впечатление что это недоделанная чья та курсовая, но никак не серьезный проект. Номер кредитки я бы им не доверил. Как они поднялись не ясно. Не иначе как связи.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	46. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+1 +/–
	Сообщение от Fyjybvec on 01-Июл-16, 20:33
	Через постель
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору

6. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	–10 +/–
Сообщение от dlazerka (ok) on 01-Июл-16, 01:14
Я, как вебмастер, вообще не хочу иметь доступ к приватным ключам своих сертификатов. Пускай мой хостер или name server их у себя хранит/обновляет, как AWS Certificate Manager делает.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	10. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+8 +/–
	Сообщение от Аноним (??) on 01-Июл-16, 05:43
	Какая прелесть. Сегодня вроде первое июля, а не первое апреля.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	13. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+17 +/–
	Сообщение от Наркоман on 01-Июл-16, 08:20
	Типичный вебмастер.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	14. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+/–
	Сообщение от Аноним (??) on 01-Июл-16, 08:34
	На aws закрытые ключи лежат в днс, чтобы вебмастер не мог их достать?
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	18. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+/–
	Сообщение от Пингвино (ok) on 01-Июл-16, 08:58
	На ELB же
	Ответить \| Правка \| ^ к родителю #14 \| Наверх \| Cообщить модератору


	24. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+/–
	Сообщение от Аноним (??) on 01-Июл-16, 10:49
	Ну читай потс на который я отвечаю
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	27. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+1 +/–
	Сообщение от Клыкастый (ok) on 01-Июл-16, 12:14
	и ftp! обязательно доступ по ftp!!! блин.... раз http://lugasoft.ru/ok/etks/3501 два http://lugasoft.ru/ok/etks/4001 три http://lugasoft.ru/ok/etks/5104 ... что же вас в вебмастера-то несёт...
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	31. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+1 +/–
	Сообщение от scorry (ok) on 01-Июл-16, 12:46
	> Я, как вебмастер, Ты не вебмастер.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	49. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+1 +/–
	Сообщение от XoRe (ok) on 02-Июл-16, 14:48
	> Я, как вебмастер, вообще не хочу иметь доступ к приватным ключам своих > сертификатов. Пускай мой хостер или name server их у себя хранит/обновляет Чего мелочиться, сразу в роскомнадзор шли.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору

7. "Уязвимость в сервисе StartSSL позволяла автоматически получи..."	+/–
Сообщение от Нуб on 01-Июл-16, 01:24
БРАВО!!!! рукоплескаем! впрочем это было предсказуемо, еще в прошлой новости.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

9. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+2 +/–
Сообщение от Аноним (??) on 01-Июл-16, 03:29
балбесы спалили дырку
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

11. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+4 +/–
Сообщение от Какаянахренразница (ok) on 01-Июл-16, 06:14
> позволяла получить сертификат для чужого домена Чего же они сразу не сказали-то? Полезная фича. Надо попробовать.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

15. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+3 +/–
Сообщение от Аноним (??) on 01-Июл-16, 08:38
Вот это провал! По идеи надо у них отзывать доверие после такого.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

16. "Уязвимость удостоверяющего центра StartSSL позволяла получит..."	+2 +/–
Сообщение от хрю on 01-Июл-16, 08:51
>Проблема присутствует в реализации механизма проверки принадлежности домена заявителю. проблема присутствует в самой концепции ssl-сертификатов в том виде в котором они есть сейчас. защита https - это по большому счету мираж.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору