https://www.opennet.dev/openforum/vsluhforumID3/117072.html Группа исследователей из университета Ка' Фоскари (Италия) проанализировала (https://secgroup.github.io/tlswebscan/) 90 тысяч хостов, связанных с 10 тысячами крупнейших сайтов по рейтингу Alexa, и пришла к выводу, что в 5.5% из них имеются серьёзные проблемы с безопасностью в применяемых реализациях TLS. В ходе исследования были рассмотрены проблемы с применением уязвимых методов шифрования: 4818 из проблемных хостов оказались подвержены MITM-атакам, 733 содержали уязвимости, позволяющие полностью расшифровать трафик, а 912 позволяли выполнить частичную расшифровку (например, извлечь сессионные Cookie).<br><br><br><br>На 898 сайтах выявлены серьёзные уязвимости, позволяющие полностью скомпрометировать их, например, через организацию подстановки скриптов на страницы. 660 (73.5%) из этих сайтов использовали на своих страницах внешние скрипты, загружаемые со сторонних хостов, подверженных уязвимостям, что демонстрирует актуальность косвенных атак и возможность их каскадного распространения (в качестве примера можно упо https://www.opennet.dev/openforum/vsluhforumID3/117072.html#31 Fri, 12 Apr 2019 09:33:00 GMT Не хватает ссылки на инструмент, позволяющий проверить свой сайт.<br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#30 Thu, 11 Apr 2019 13:21:51 GMT &gt; тебя устроит http://www.netsurf-browser.org/ ?<br><br>newerssl правильней (спасибо за наводку) - и запомнить, и набирать, и гарантирован от ssl'я, а эти рано или поздно будут забанены гуглем и прогнутся ;-)<br><br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#29 Thu, 11 Apr 2019 13:20:24 GMT &gt; Засылать в чужое государство шпионов и ломать пальцы админам дороже, чем вмешаться <br><br>шпионы, чужое государство... <br><br>я ошибался, у вас шапочка из фольги не то что сползла, вам вместо фольги крашенную металликом бумагу подсунули. Бегите. Она волны не отражает а усиливает!<br><br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#28 Thu, 11 Apr 2019 13:15:56 GMT &gt; Так в ИТ вообще все так: если не бежишь все время - <br>&gt; значит, уже отстал.<br><br>или наоборот - улетел с обрыва вместе с остальными 3000000000 lemmings - they can't go wrong!<br><br>&gt; Это хоть про версии http (апач умеет http/2, <br><br>умеет. А я умею выключить. И еще пачку сомнительных фич следом. Или вообще не использовать ТОТ апач.<br><br>&gt; а openssl tls 1.3, но нужно обновлять же, т.е. не стоять <br><br>а можно не обновлять. Но это сложнее, да, авторы дистрибутивов тоже любят иногда свеженькое, а иногда их к этому вынуждают "новые стандарты" и отказ разрабочтиков исправлять ошибки в версии, выпущенной час назад - вот же две прекрасные поддерживаемые, выпущенные две и пять минут тому!<br><br>&gt; на месте), хоть про версии php (видел людей, которые до сих <br>&gt; пор на 5.3 сайты гоняют, мол, куда мне больше; плевать им, <br><br>ну у меня к примеру был сайт на 5.5 - не вижу проблемы, поскольку это мой сайт, и уязвимостей _изнутри_ я не боюсь вот совсем.<br><br>зато теперь у меня есть сайт на прекрасном 7.3.3 - так вот, поздравляю шариков-балбе https://www.opennet.dev/openforum/vsluhforumID3/117072.html#27 Thu, 11 Apr 2019 07:03:35 GMT тебя устроит http://www.netsurf-browser.org/ ?<br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#26 Thu, 11 Apr 2019 02:00:36 GMT Так в ИТ вообще все так: если не бежишь все время - значит, уже отстал. Это хоть про версии http (апач умеет http/2, а openssl tls 1.3, но нужно обновлять же, т.е. не стоять на месте), хоть про версии php (видел людей, которые до сих пор на 5.3 сайты гоняют, мол, куда мне больше; плевать им, что не поддерживается он уже годы), хоть к версии ОС (причем, на Windows 2000 сегодня можно неплохо работать, если поддержка свежего железа не волнует, в тч работа стоит USB).<br><br>Но если делать ты не динозавр, приходится бежать. Ставить новое. Обновлять старое. И без проверок не обойтись.<br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#25 Wed, 10 Apr 2019 20:54:47 GMT &gt;Даже ломать ничего не надо, кроме пары пальцев его админу. <br><br>Засылать в чужое государство шпионов и ломать пальцы админам дороже, чем вмешаться в траффик. Если дошло до ломки пальцев админам в чужом государстве, значит вся группа провалила операцию, потому что они по-крупному наследили, ими уже плотно занимается контрразведка, и возможно что они даже ноги унести не успеют. А когда контрразведка дело раскрутит, будет дипломатический скандал.<br><br><br>&gt;Более того, именно этот сценарий абсолютно вероятен и регулярно случается<br><br>Сразу видно эксперта. Это не вас, случаем, Шотландское Подворье разыскивает?<br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#24 Wed, 10 Apr 2019 18:17:58 GMT &gt; А как свой сайт на такое проверить?<br><br>Я не занимался этими вещами, поэтому не могу дать конкретного ответа, но лет десять-пятнадцать назад этих вещей было много в моём информационном бабле, и память оттуда подсказывает мне ключевые слова для гугла, с которых я бы начал на твоём месте. Это, во-первых, "penetration testing" или "pentest" сокращённо. Во-вторых, это "metasploit framework", который можно рассматривать как пример инструмента для пентеста.<br><br>Тебе надо найти актуальный инструмент, который постоянно обновляется, куда вносят всё новые и новые тесты, с учётом всех распоследних уязвимостей, и чья область интересов покрывает те технологии, которые тебе надо тестировать.<br> https://www.opennet.dev/openforum/vsluhforumID3/117072.html#23 Wed, 10 Apr 2019 13:42:04 GMT &gt; Единственная причина, по которой его сейчас массово навязывают владельцам сайтов - желание гугла единолично сидеть на бигдате, отрезав от оной магистральных операторов.<br><br>Ну-да, ну-да. Давайте нагадим гуглу, и дадим доступ к бигдате магистральным провайдерам. Вот уж гуглу обидно будет. А ещё, давайте вообще все поотключаем все uMatrix'ы, и блокировки всяких трекеров, чтобы любой маленький игрок на рынке имел бы шансы хоть чего-нибудь собрать. А ещё лучше, давайте поставим себе руткиты и откроем свои системы наружу, испортим гуглу малину, сделаем его бигдату бесплатной и доступной любому. Ай-да пацаны, с завтрашнего дня открываем свои системы любому мимопроходилу, и пускай гугл разоряется.<br>