форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Разговоры, обсуждение новостей (Public)
Изначальное сообщение		[ Отслеживать ]

"Уязвимость браузеров при проверке SSL-сертификатов"		+/–
Сообщение от opennews on 01-Окт-09, 19:08
Специалист по безопасности Джекоб Аппелбаум (Jacob Appelbaum) опубликовал (https://www.noisebridge.net/pipermail/noisebridge-discuss/20...) SSL-сертификат и соответствующий секретный ключ, которые позволяют web-серверам избегать появления предупреждений о корректности сертификата в уязвимых браузерах - независимо от домена, для которого представлен сертификат. Фишеры, например, могут использовать сертификат, чтобы замаскировать их серверы под законные банковские сайты, которые будут обнаружены, только при более тщательном исследовании сертификата. Для реализации трюка, Аппелбаум изменил сертификат согласно методу, продемонстрированному Мокси Марлинспайком (Moxie Marlinspike ) на конференции Black Hat, введя нулевой символ (\0) в поле имени (CN, Common Name). Однако, в отличие от Марлинспайк, Аппелбаум показал, что при задействовании маски'*' удалось создать универсальный сертификат для произвольных имен домена:     CN= *\x00thoughtcrime.noisebridge.net... URL: http://www.h-online.com/open/SSL-trick-certificate-published... Новость: http://www.opennet.dev/opennews/art.shtml?num=23678
Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Уязвимость браузеров при проверке SSL-сертификатов"		+1 +/–
Сообщение от chemtech on 01-Окт-09, 19:08
Проверил так и есть. FireFox правда старый 3.0.14
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	2. "Уязвимость браузеров при проверке SSL-сертификатов"		+1 +/–
	Сообщение от chemtech on 01-Окт-09, 19:13
	Блин. ошибка вышла.... "К сертификату нет доверия, так как он является самоподписанным. Сертификат действителен только для *\\x00thoughtcrime.noisebridge.net "
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
Сообщение от Аноним (??) on 01-Окт-09, 19:53
Так этот сертификат еше нужно протащить под цепочку центров сертификации. В принципе адеркватные центры должны фильтровать содержимое CN веб-сертификатов. Но, возможно, что у каких-либо центров будет автоматизирована покупка сертификатов и получится такой нормально подписать.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	4. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
	Сообщение от dry (ok) on 01-Окт-09, 20:39
	вот вот. я бы даже сказал покажите мне тот уц, для которого это прокатит, тогда зачтем очко. в противном случае пионерская ересь. бо если речь идет о самоваренных сертификатах, то проблемы засунуть в cn нужный домен вообще не стоит. сделали из мухи слона, как это бывает в большинстве случаев.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	5. "Уязвимость браузеров при проверке SSL-сертификатов"		+1 +/–
	Сообщение от Vi on 01-Окт-09, 23:04
	А взять уже подписанный религия не позволяет?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	6. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
	Сообщение от Аноним (??) on 02-Окт-09, 07:55
	Ага, а потом его изменить, да?
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	7. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
	Сообщение от fi (ok) on 02-Окт-09, 14:00
	а зачем через уц??? достаточно сделать chain из двух.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

	8. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
	Сообщение от zazik (ok) on 02-Окт-09, 16:23
	>а зачем через уц??? > >достаточно сделать chain из двух. А в итоге? Я не совсем догоняю.
	Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "Уязвимость браузеров при проверке SSL-сертификатов"		+/–
Сообщение от Tav on 02-Окт-09, 22:58
> публичным опубликованием ?
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема