1

Temat: Dlaczego nie ma certyfikatu ssl na stronie ?

Jest to niebezpieczne używanie www bez certyfikatu ssl.

2

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Wszyscy to wiemy, kierownik też wie i nie trzeba mu przypominać co pół roku ;-)

3

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

nie do pomyslenia jak ludzie zyli bez certyfikatow...

http://atari.pl/hsc/ad.php?i=1.

4

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Zastanawiam się co to za zagrożenia czyhają na użytkownika forum kiedy serwer nie ma certyfikatu i jak można w ogóle używać forum bez certyfikatu długimi miesiącami?

hex, code and ror'n'rol
niewiedza buduje, wiedza rujnuje

5

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Bo przyjdzie mityczny "hakier" i nas wszystkich zhakieruje. I będziemy musieli się przesiąść na C64.

Pamięć studenta ma charakter kwantowy - student wie wszystko, ale jednocześnie nic nie pamięta.
- Kilka(naście?) pudełek z klawiszami i światełkami. I jeden Vectrex, żeby nimi wszystkimi rządzić.

6

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

xxl napisał/a:

nie do pomyslenia jak ludzie zyli bez certyfikatow...

Certy sa darmowe Let’s Encrypt

7

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

mono napisał/a:

Zastanawiam się co to za zagrożenia czyhają na użytkownika forum kiedy serwer nie ma certyfikatu i jak można w ogóle używać forum bez certyfikatu długimi miesiącami?

Hakier ukradnie ciastko i Ci go zje. Co ta miesiącami?! Latami, żeby nie powiedzieć od dekad ponad już dwóch.

Zawsze mam rację, tylko nikt mnie nie słucha.

8

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Lizard napisał/a:
mono napisał/a:

Zastanawiam się co to za zagrożenia czyhają na użytkownika forum kiedy serwer nie ma certyfikatu i jak można w ogóle używać forum bez certyfikatu długimi miesiącami?

Hakier ukradnie ciastko i Ci go zje. Co ta miesiącami?! Latami, żeby nie powiedzieć od dekad ponad już dwóch.


Pacman lubi cookies :P

9

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Ssl jest po to, żeby dać ludziom fałszywe poczucie bezkarności i prowokować ich do wywnętrzniania się. Gdyby to było skuteczne, to by było zabronione (vide Telegram).

Hasła można przesyłać bezpiecznie - przecież jest javascript czy inne rozwiązania - można tego użyć do zamiany hasła na cokolwiek, zanim się to prześle internetami.

Ostatnio edytowany przez qbahusak (2024-09-25 21:56:34)

10

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

@qbahusak

A nie po to żeby uniemożliwić łatwe przechwytywanie haseł podczas logowania? :]

Edit: skoro już edytowałeś... Co ma JS do tego co napisałeś? Po co w ogóle używać JS do opisanego przypadku? Chodzi tylko i wyłącznie o jawność/niejawność danych pomiędzy klientem a serwerem.

Ostatnio edytowany przez ccwrc (2024-09-25 22:02:01)

11

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

ccwrc napisał/a:

A nie po to żeby uniemożliwić łatwe przechwytywanie haseł podczas logowania? :]

Temu dokładnie służy - ochronie transmisji przed wścibskimi, w tym danych niejawnych, jak: hasła, numery kart płatniczych, ciasteczka itp.

Jest bardzo prawdopodobne, że duża część ludzi uznaje SSL, jako ochronę prywatności, bo często jest to tak przedstawiane. U mnie trzy z czterech stron, będącymi pierwszymi wynikami wyszukiwania hasła "ssl prywatność", przedstawia SSL jako:

Certyfikat SSL potwierdza, że strona, którą odwiedzamy korzysta z bezpiecznego połączenia. Bezpieczne – szyfrowane – połączenie zapewnia autentyczność, prywatność i integralność przesyłanych danych.

Powyżej ewidentnie pomylono prywatność z możliwością przechwycenia transmitowanych danych.

qbahusak napisał/a:

Hasła można przesyłać bezpiecznie - przecież jest javascript czy inne rozwiązania - można tego użyć do zamiany hasła na cokolwiek, zanim się to prześle internetami.

Jeżeli masz na myśli zamianę po stronie klienta hasła w coś innego (np. hash) i przesłanie w takiej formie, to nie jest to żadne zabezpieczenie. Żaden szanujący się system nie trzyma hasłem w otwartej postaci - zawsze są to hashe. I to właśnie one, a nie hasła, są porównywane podczas uwierzytelniania.

Zawsze mam rację, tylko nikt mnie nie słucha.

12

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

SSL to szyfrowanie komunikacji między przeglądarką a hostingiem strony w celu uniemożliwienia odczytania tego co jest przesyłane.
W przypadku strony/forum jak nasze głównie chodzi o ochronę haseł (hashowanie haseł czy dowolne zabezpieczenie w JS nie daje żadnej ochrony, wydłużają tylko proces obchodzenia zabezpieczeń) przed wyciekiem, ale w przypadku np. sklepów można by wykraść numery kart kredytowych, numery dowodów osobistych, itp.
Trzeba też używać SSL w najnowszej wersji, bo starsze zostały złamane i nie dają żadnej ochrony.

Pytanie czy ktoś się boi, że ukradną jego hasło i będą pisać pod jego nickiem np. kiełbasę wyborczą :)
Ale za to powinien się poważnie bać ten, kto używa tego samego hasła na forum i np. w banku. Bo prędzej czy później botnety zaczną tym hasłem się posługiwać.

13

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

paroos napisał/a:

Trzeba też używać SSL w najnowszej wersji, bo starsze zostały złamane i nie dają żadnej ochrony.

A co to za dziwne stwierdzenie? Czyżby algorytm liczb pierwszych został właśnie odkryty?

Obecnie używa się TLS, ale to po prostu rozszerzenie SSL.

14

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

To tylko skrót myślowy, chodziło mi oczywiście o szereg podatności w TLS 1.2 i wcześniejszych

15

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Boszsz.... Jak komuś przeszkadza - nie musi korzystać z atariarea. Nie widzę tu milionów nowych "nicków" dziennie, jest to małe, raczej prawie zamknięte środowisko...

Sikor umarł...

16

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Niniejszym piszę, że wiem jak działa SSL, wiem po co jest, wiem co zapewnia i wiem, że jest do podsłuchania/obejścia po jednej ze stron łącza (właściwie po obu, ale łatwiej po stronie użytkownika). Ponadto klucze były upraszczane swego czasu, niektóre metody szyfrowania zostały zaklasyfikowane jako niebezpieczne, i zalecono używać krótszych, "bezpieczniejszych" kluczy. Więc _domyślam się_ że podsłuch może się odbywać również na pośredniczących routerach; a na pewno logowanie i później ew. deszyfracja offline wybranych pakietów.

A co ma JS? ano to, że serwer wysyła określony kod szyfrujący JS z określonymi kluczami publicznymi, haszuje i szyfruje hasło, wysyła na serwer, a serwer kluczem prywatnym (i publicznym) sobie to odszyfrowuje i porównuje hasz. Nie wiem, czy takie rozwiązania są stosowane pewnie tak. Ale jest to jak najbardziej możliwe i bezpieczne, jeśli nie będzie luk.

Ostatnio edytowany przez qbahusak (2024-09-26 16:56:21)

17

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Nie rozumiem haszowania hasła po stronie klienta (JS), szczególnie, że jedno hasło może wygenerować różne hasze (+ jakaś sól) a samo hasło może pasować do różnych haszy (kolizja). Jedyną właściwą drogą jest na serwerze sprawdzenie zgodności hasła do hasza. Porównanie hasza do hasza jest nieprawidłową i skrajnie niebezpieczną praktyką. Tak się nie robi. I nie trzeba do tego JS. Chyba, że chodzi o JS na backendzie, ale to jest już node.

18

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Ja już o to kkiedyś pytałem i nie rozumiem w czym problem. Wystarczy na koncie hostingowym kliknąć "włącz SSL" i wygenerować sobie darmowy certyfikat Let's Encrypt. Całość nie powinna przekroczyć 3 minut.

19

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

qbahusak napisał/a:

Niniejszym piszę, że wiem jak działa SSL, wiem po co jest, wiem co zapewnia i wiem, że jest do podsłuchania/obejścia po jednej ze stron łącza (właściwie po obu, ale łatwiej po stronie użytkownika).

Dane, przed wysłaniem i po odebraniu, są w postaci niezaszyfrowanej, więc nie ma za bardzo sensu ich podsłuchiwania - wystarczy po nie sięgnąć. Przed tym procederem powinien chronić antywirus, którego skuteczność nie jest przedmiotem tej dyskusji.

qbahusak napisał/a:

Ponadto klucze były upraszczane swego czasu, niektóre metody szyfrowania zostały zaklasyfikowane jako niebezpieczne, i zalecono używać krótszych, "bezpieczniejszych" kluczy.

Tak, osłabiono algorytm A5/1 stosowany w sieciach GSM na potrzeby eksportowe USA do krajów z ograniczeniami importowania produktów z funkcjami szyfrowania. Najpopularniejsze algorytmy szyfrowania symetrycznego używają kluczy: 56-bitowych (DES), 112 (3DES), 128/256 (AES), więc długość klucza jest wydłużana. W przypadku szyfrowania asymetrycznego początkowo stosowano klucze 768-bitowe, ale od wielu lat zaleca się stosowanie 2048-bitowych i dłuższych.

qbahusak napisał/a:

Więc _domyślam się_ że podsłuch może się odbywać również na pośredniczących routerach; a na pewno logowanie i później ew. deszyfracja offline wybranych pakietów.

Może i nazywa się Man In The Middle, z tym że próba podsłuchiwania wymaga podmiany certyfikatów wykorzystywanych do ustalenia klucza symetrycznego, co kończy się informacją o błędnym certyfikacie serwera. Zebranie danych zaszyfrowanych, aby rozszyfrować je off-line mija się z celem, ze względu na czas potrzebny do tej czynności.

qbahusak napisał/a:

A co ma JS? ano to, że serwer wysyła określony kod szyfrujący

Musisz mieć możliwość zweryfikowania, czy otrzymany "kod szyfrujący" pochodzi z właściwego źródła. Do tego służą certyfikaty. Inaczej zły człowiek przechwyci transmisję, w miejsce "kodu szyfrującego" serwera wstawi własny i prześle do klienta. Dalej mamy klasyczne MITM.

ccwrc napisał/a:

jedno hasło może wygenerować różne hasze (+ jakaś sól) a samo hasło może pasować do różnych haszy (kolizja).

Odwrotnie, to samo hasło zawsze da ten sam hash. Dopiero dodawanie losowej soli do hasła daje różne hashe. Kolizja jest wtedy, gdy dwie różne dane dają ten sam skrót.

ccwrc napisał/a:

Jedyną właściwą drogą jest na serwerze sprawdzenie zgodności hasła do hasza. Porównanie hasza do hasza jest nieprawidłową i skrajnie niebezpieczną praktyką. Tak się nie robi.

Jak chcesz "hasło" porównać z "610881de40fac65b12445aef6c603234" (MD5 tylko dla przykładu)? :-) Trzymanie haseł w postaci jawnej jest skrajnie nieodpowiedzialne. Przechowuje się hashe i ew. sól. Podczas uwierzytelniania do przesłanego hasła dodawana jest sól, z tego obliczany jest skrót i dopiero to jest sprawdzane.

alex napisał/a:

Wystarczy na koncie hostingowym kliknąć "włącz SSL" i wygenerować sobie darmowy certyfikat Let's Encrypt. Całość nie powinna przekroczyć 3 minut.

Certyfikaty Let's Encrypt ważne są trzy miesiące i dobrze jest mieć narzędzie do automatycznego odnawiania. Poza tym na hoscie trzeba mieć możliwość włączenia szyfrowania spełniającego współczesne wymogi. :-p

Zawsze mam rację, tylko nikt mnie nie słucha.

20

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

@Lizard

Nigdzie nie pisałem o trzymaniu hasła w postaci jawnej, po to właśnie są hashe :)

Już na spokojnie, bo pisanie jednym ciągiem wprowadza trochę bałaganu. W bazie trzymany jest hash (np. Argon2id). Porównanie odbywa się na serwerze, który ma od klienta hasło i hash z bazy.

I jak najbardziej algo generuje różne hashe dla tego samego ciągu, tu przykład Bcrypt:
https://bcrypt-generator.com/
ciąg: ccwrc
wygenerowane hashe:
$2a$12$oigG3gG7jlroHTTzTL/beeCRVxi7FNj1rkGw3dseHv3K8gbksxbIC
$2a$12$5boL5FfyLKNSlyNHKFTLCO6vumXUVJ04afwfXJnvTU9ICEmVyn6K2
$2a$12$DrL6oFP9qz98Mbss1VRh5OtnrDvIL8ite1TDvet2km8brYa84qiWK

Jak chcesz, możesz dodatkowo sprawdzić zgodność hasha z hasłem (ccwrc) na innej stronie:
https://bcrypt.online/

Może pewne zamieszanie wynikać z tego, że checksum (np. MD5) jest mylone z hashem a to zupełnie inne rzeczy. Checksum zawsze da taki sam ciąg wyjściowy dla określonego ciągu wejściowego.

21

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

@Lizard - korzystam z różnych hostingów dla siebie i klientów i jeszcze się nie spotkałem, by Let's Encrypt się autmatycznie nie przedłużał. No i zdradź termin "szyfrowanie spełniające współczesne wymogi"? Raczej wszystkie firmy hostingowe korzystają z najnowszych wersji oprogramowania z racji oczywistych :)

Ostatnio edytowany przez alex (2024-09-27 12:31:44)

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

Lizard napisał/a:

Jeżeli masz na myśli zamianę po stronie klienta hasła w coś innego (np. hash) i przesłanie w takiej formie, to nie jest to żadne zabezpieczenie. Żaden szanujący się system nie trzyma hasłem w otwartej postaci - zawsze są to hashe. I to właśnie one, a nie hasła, są porównywane podczas uwierzytelniania.

Żaden szanujący się system (sieciowy) nie porównuje ani haseł ani ich hashy podczas uwierzytelniania.

Atari: FireBee, (Falcon030 CT60e SuperVidel SvEthlana CTPCI), TT, (520ST Pak030 Frak PuPla Panther), (520ST 4MB ST RAM 8MB TT RAM CosmosEx SC1435), (1040STFM UltraSatan SM124), (1040STE 4MB ST RAM 8MB TT RAM CosmosEx NetUSBee SM144 SC1224), 260ST, 520 ST+, (MEGA ST SM125), (65XE Rapidus U1MB VBXE SIDE2 SIO2PC), (Jaguar SkunkBoard), Lynx II, 2x Portfolio

23

Odp: Dlaczego nie ma certyfikatu ssl na stronie ?

alex napisał/a:

@Lizard - korzystam z różnych hostingów dla siebie i klientów i jeszcze się nie spotkałem, by Let's Encrypt się autmatycznie nie przedłużał.

Wszystko zalezy co hostingowa firma zaproponowala. Jesli ma w ofercie SSL certy z np Let's Encrypt'a to zazwyczaj jest tez dzialajaca funkacja automatycznego odnawiania, a i  tez to wszsytko zalezy od roznych czynnikow jak czy SSL cert jest dla jednego url'a, czy jest SAN czy jest wildcard.
Od tego jaki typ to jest certa, zalezy metoda uwiezytelnienia podacz generowania certa - np. wildcard mozna tylko uwiezytlnic po przez rekod(y) w DNS'ie a DNS mozna trzymac w firmie hostingowej tam gdzie sie hostuje strone, albo tam gdzie sie kupilo domene, i w tym drugim przypadku juz tak latwo automatycznie donowic certa z  Let's Encrypt sie nie da.

Kolega Lizard piszac ze cert trzeba odnawiac co 3 miesiace podal poprostu ogolna zasade jaka sie taki cert zadzi (wygasa co 3 miesiace).

Ja np hostuje swoje zeczy sam na moim serwerze i calosc musze ogarniac po swojemu.

Ostatnio edytowany przez Monsoft (2024-10-01 16:14:37)