42 ответов в этой теме

[Alexander Chinyakov]

 

Неужели MITM можно организовать абсолютно прозрачно?

А почему нет, если на уровне провайдера или крупного узла? 

 

Надо иметь свой корневой сертификат в хранилищах системы и независимых браузеров (у Mozilla своя база), а также в базах по типу той, с которой сверяется Яндекс.Браузер.

Сообщение было изменено Alexander Chinyakov: 26 Сентябрь 2016 - 12:43

[VVS]

 

 

Неужели MITM можно организовать абсолютно прозрачно?

А почему нет, если на уровне провайдера или крупного узла? 

 

Надо иметь свой корневой сертификат в хранилищах системы и независимых браузеров (у Mozilla своя база), а также в базах по типу той, с которой сверяется Яндекс.Браузер.

 

Т.е. надо

1. Либо уговорить меня установить этот сертификат?

2. Либо уговорить MS включить этот сертификат в свои обновы?

3. Либо уговорить Мозилу включить этот сертификат в своё хранилище?

[Victor71]

3. Либо уговорить Мозилу включить этот сертификат в своё хранилище?

Как Мозиллу не знаю, а Яндекс-браузер "уговорят" запросто)

 

P.S.

Хотя у ЯБ нет своего хранилища как у мозилы, забыл..

Сообщение было изменено Victor71: 26 Сентябрь 2016 - 13:15

[Victor71]

Есть такая фирма- Элкомсофт, продают своё ПО только организациям, и то которые имеют на это право. Софт дико дорогой- от 70 тыс руб. Так вот товарищ по работе рассказывал что у них есть ПО для декодирования шифротрафика. И по слухам у бывшего премьера посредством ПО от этой фирмы из айфона фотки и почту стащили.

[Alexander Chinyakov]

Так вот товарищ по работе рассказывал что у них есть ПО для декодирования шифротрафика

Вопрос же не в том, чтобы декодировать, а в том, чтобы сделать это незаметно для санитаров для пользователя.

 

Слухи слухами, но очевидно, что для адресной атаки доступен гораздо более широкий набор инструментов, чем для массовой обработки.

[Afalin]

И не только незаметно, но ещё и на лету для всех, то есть одними атаками на TLS здесь не обойтись. Так что ожидать можно атаку организационную, с установкой таки корневого сертификата.

[VVS]

И не только незаметно, но ещё и на лету для всех, то есть одними атаками на TLS здесь не обойтись. Так что ожидать можно атаку организационную, с установкой таки корневого сертификата.

Незаметно для меня установить корневой сертификат?

Моя не понимать...

И да - с правами пользователя не работаю.

И да_2 - у Мозилы своё хранилище...

[basid]

Проблема не в том, чтобы установить корневой сертификат, а в том, чтобы корректно генерировать поддельные ключевые пары для веб-сайтов.

[Afalin]

Незаметно для меня установить корневой сертификат?

Не незаметно.

Проблема не в том, чтобы установить корневой сертификат, а в том, чтобы корректно генерировать поддельные ключевые пары для веб-сайтов.

Проблема в том, чтоб сертификату человека посередине стали доверять. Вернее его подписи на сеансовых ключах и дайджесте хэндшейка, в частности.

[VVS]

 

Незаметно для меня установить корневой сертификат?

Не незаметно.

Согласен, можно придумать вариант, когда я сам буду вынужден его установить в СИСТЕМУ.

Но в Мозилу (и в другие браузеры) такого варианта что-то не придумывается.

[IlyaS]

Есть такая фирма- Элкомсофт, продают своё ПО только организациям, и то которые имеют на это право. Софт дико дорогой- от 70 тыс руб. Так вот товарищ по работе рассказывал что у них есть ПО для декодирования шифротрафика. И по слухам у бывшего премьера посредством ПО от этой фирмы из айфона фотки и почту стащили.

Это сотрудник которой давно оправдан по иску Adobe?
Самые веселые комментарии по данной инициативе на опеннете

Сообщение было изменено IlyaS: 26 Сентябрь 2016 - 18:40

[Victor71]

Не незаметно.

Да, думаю все будет более чем официально и заметно. А иначе при входе на любой сайт провайдер будет выкидывать флаг- заблокировано ввиду ФЗ №..... Установите сертификат.   Или что-то в этом ключе.  Имхо

[Victor71]

Это сотрудник которой давно оправдан по иску Adobe?

Честно говоря деталей не знаю.

[Afalin]

Да, думаю все будет более чем официально и заметно. А иначе при входе на любой сайт провайдер будет выкидывать флаг- заблокировано ввиду ФЗ №..... Установите сертификат.   Или что-то в этом ключе.  Имхо

Ага, будем тогда ждать TLS 1.4, с сокрытием факта установления TLS-соединения. =)

[Victor71]

Ну вот, началось

В России начали расшифровку трафика WhatsApp и Skype

https://news.rambler.ru/politics/34891974-v-rossii-nachali-perehvat-trafika-whatsapp-i-skype/?plista

 

[VVS]

Дебилы.

[IlyaS]

Не хотят хранить много шифрованного трафика? %)

[VVS]

Ау, Мартьянов!

Володя, ты не хочешь за 160 000 рублей (вроде такова цена аукциона) поучаствовать в расшифровке трафика скайпа и воцапа?  

[Konstantin Yudin]

160к ₽ смешные. За такую сумму даже с кровати эксперт не встанет.

[Alexander Chinyakov]

А что тот скайп расшифровывать? Помнится, при определенных обстоятельствах там простой текстовый протокол, завернутый в SSL.