Komentarze do: Niezaufany certyfikat bezpieczeństwa w PWPW

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Tue, 19 Aug 2008 09:43:27 CET

Autor:

Warto chyba też dodać, iż pliku z certyfikatem szukać ze świecą na stronie sigillum - tak jak by to była usługa jedynie dla klientów płatnych usług...

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Thu, 17 Jul 2008 15:40:50 CET

Autor:

po prostu wczesniej instalujesz sobie certyfikat sigillum

nie ma znaczenia czy cert dostarczyl nam microsoft w ramach aktualzacji systemu czy tez instalujemy certa sobie sami

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Mon, 14 Jul 2008 22:12:54 CET

Autor:

Polska Wytwórnia Papierów Wartościowych na swych stronach szyfrowanych nadal korzysta z certyfikatu wystawionego przez Polskie Centrum Certyfikacji Elektronicznej Sigillum, które nie poświadcza własnej tożsamości przez zewnętrznego dostawcę certyfikatów znajdujego się na liście zweryfikowanych i zaufanych dostawców certyfikatów.

"Nie udało się nawiązać bezpiecznego połączenia
cpdpub.pwpw.pl używa nieprawidłowego certyfikatu bezpieczeństwa. Certyfikat nie jest zaufany, ponieważ certyfikat wystawcy jest nieznany.
(Kod błędu: sec_error_unknown_issuer)"

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Tomasz Chiliński — Sun, 29 Jun 2008 16:37:06 CET

Autor: Tomasz Chiliński

Bardzo słusznie. Dodatkowo warto pracować przy komputerze używając jak najniższych uprawień (najlepiej zwykłego użytkownika). Systemy operacyjne często przy instalacji wgrywają również klucz publiczny producenta systemu i przy instalacji oprogramowania (powinien to robić tylko administrator sstemu) otrzymuje komunikat czy pakiet oprogramowania nie jest fałszywy. Oczywiście i tak nie uchroni nas to w 100%, ale nie oznacza to, że nie powinniśmy dbać o nasze bezpieczeństwo. Zawsze im bardziej zabezpieczamy się tym bardziej wyrafinowanych metod włamania się używają przestępcy - jak to w życiu, ale włamywacze wykorzystują przede wszystkim proste niedociągnięcia. ;-)

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sun, 29 Jun 2008 13:18:11 CET

Autor:

Ale tak samo u ofiary można dopisać \'coś\' do zaufanych dostawców. Najbezpieczniejsze jest korzystanie z własnej listy bezpiecznych certyfikatów przyniesionych na bezpiecznym nośniku z urzędu certyfikacji. Jaką ma się pewność żę \'pośrednik\' nie spreparował instalalcji opery, firefoxa czy innego \'klienta https\'. Dlatego panie Tomku jeżeli strona nie nakrzyczy na mnie że ścieżka certyfikacji jest nie cacy ja i tak się zawsze 2 razy zastanawiam na co wchodze.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

de0 — Sun, 29 Jun 2008 11:44:08 CET

Autor: de0

to może odpowiem na wszystko na raz : KTO CZYTA NIE BŁĄDZI.
nie umiesz czytać to nabiorą Cię na lizaka.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Tomasz Chiliński — Sun, 29 Jun 2008 01:09:57 CET

Autor: Tomasz Chiliński

Można posłużyć się chociażby ettercap-ng (elegancko działa preparowanie certyfikatów w locie z zachowaniem sygnatur tekstowych; naturalnie trzeba doprowadzić do przekierowania ruchu ofiary na maszynę strony atakującej tak, żeby ona pośredniczyła w wymianie informacji - jest parę prostych metod).
Widzę, że nie zrozumieliśmy się - szyfrowanie samo w sobie może być bezpieczne, ale jeśli wcześniej witryna www (https) nie zostanie poddana uwierzytelnieniu właśnie poprzez sprawdzenie jej certyfikatu to cała dalsza wymiana informacji jest ryzykowna, o ile nie przeniesiemy certyfikatu CA nieznanego przeglądarce www wystawcy certyfikatów, albo samego certyfikatu witryny na nasz komputer metodą bezpieczną.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sun, 29 Jun 2008 00:56:10 CET

Autor:

rewrite z http na https nie powoduje, ze certyfikat jest zbedny. Wyswietli sie dokladnie ten sam certyfikat i certyfikat ten moze byc tak samo bezpieczny w sensie szyfrowania polaczenia, jak zaufany certyfiakt od np. Verisign.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sun, 29 Jun 2008 00:49:19 CET

Autor:

Opisz prosze na czym ta trywialnosc polega, czyli jak trywialne jest podstawienie certyfikatu.
Jak wejdziesz na szyfrowana strone z adresu strona.com gdzie certyfikat wystawiony jest dla CN www.strona.com (certyfikat nie jest "wildcard") to mozna taki atak przeprowadzic tak samo. Sek jest w komunikatach i ew. ich ignorowaniu. Samo szyfrowanie, jezeli certyfikat uzywa wlasciwego algorytmu jest nadal bezpieczne, rowniez w przypadku stron PWPW.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

zur887 — Sat, 28 Jun 2008 22:50:13 CET

Autor: zur887

SSL dla pwpw.pl jest wystawiony jeszcze lepiej ;)

Ponieższe dane dla organu który wystawił i który posiada certyfikat.
domena: localhost.localdomain
organizacja: SomeOrganization
oddział: SomeOrganizationalUnit
miasto: SomeCity
województwo: SomeState
adres e-mail : root_(at)_localhost.localdomain

Jak już nie mają certyfikatu na tą domene niech zrobią przekierowanie z HTTP na HTTPS\'a. Prosty RewriteRule w .htaccess ;)

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sat, 28 Jun 2008 22:27:21 CET

Autor:

Mości Tomaszu Chiliński, bardzo dobrze to ująłeś.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Tomasz Chiliński — Sat, 28 Jun 2008 21:22:38 CET

Autor: Tomasz Chiliński

W trywialny sposób można przeprowadzić na użytkowników aplikacji www PWPW atak typu MITM, w przypadku, którego użytkownik aplikacji nie zauważy tego, że jest przesłuchiwany - sygnatury tekstowe będą identyczne z oryginalnymi, a cyfrowe i tak nie są weryfikowalne. Odpowiedź człowieka z PWPW nie jest żadnym częściowym rozwiązaniem problemu, lecz stwierdzeniem typu: "tak jest, nasze zabezpieczenia są nic nie warte".
Nie jest zaskakujące, że rzecznik prasowy pisze całe wypracowanie, żeby oddać myśl, którą przytoczyłem, bo mądrze brzmiącym bełkotem można ludziom ściemniać. Jak to mawiał Adolf Hitler: "Szerokie masy ludu łatwiej ulegają wielkiemu kłamstwu niż małemu."

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sat, 28 Jun 2008 20:28:36 CET

Autor:

Skąd masz pewność w takim przypadku, że to co dostajesz, od nich rzeczywiście jest certyfikowane przez Sigillum, a nie od Crackera Hackerskiego, skoro ten piewrwszy nie został oficjalnie zweryfikowany??

do: Niezaufany certyfikat bezpieczeństwa w PWPW

de0 — Sat, 28 Jun 2008 18:24:34 CET

Autor: de0

zgadza się :) to że wystawca certyfikatu nie znajduje się na liście zaufanych to wcale nie oznacza, że nie jest bezpiecznie. nie potrzebna panika i nie potrzebne marnowanie czasu na pisanie postów a potem oczekiwanie na odpowiedzi...
ludki : google waszym przyjacielem :)
wystarczyło poczytać.

do: Niezaufany certyfikat bezpieczeństwa w PWPW

Sat, 28 Jun 2008 17:28:49 CET

Autor:

czytelnik najpierw powinien dowiedzieć się o co chodzi - niestety większość (albo wszystkie?) polskich CA wystawiających podpisy kwalifikowane nie jest wpisana na listy w przeglądarkach, trzeba sobie ręcznie dopisywać.
Cóż, liczyć, że z nowymi aktualizacjami przeglądarek, producenci, a przynajmniej ci główni (MS,Mozilla,Opera) zaktualizują listy. Banki np. kupują z tego względu certyfikaty w stanach.