abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 06:11 | Zajímavý článek

    Man Yue Mo z GitHub Security Lab se podrobně rozepsal o již opravené zranitelnosti CVE-2023-6241 v Arm Mali GPU umožňující získání roota na telefonu Pixel 8 s povoleným MTE (Memory Tagging Extension).

    Ladislav Hagara | Komentářů: 0
    dnes 04:44 | IT novinky

    V San José probíhá vývojářská konference NVIDIA GTC 2024. CEO společnosti NVIDIA Jensen Huang měl dvouhodinovou keynote, ve které představil celou řadu novinek: NVIDIA Blackwell platform, NVIDIA NIM microservices, NVIDIA Omniverse Cloud APIs, Project GR00T, …

    Ladislav Hagara | Komentářů: 0
    včera 14:33 | Komunita

    Byly zpracovány a na YouTube zveřejněny videozáznamy jednotlivých přednášek z letošního Installfestu.

    Ladislav Hagara | Komentářů: 9
    včera 13:33 | Pozvánky

    Od 21. do 23. března proběhnou Arduino Days 2024. Sledovat bude možné oficiální streamy. Zúčastnit se lze i lokálních akcí. V Česku jsou aktuálně registrovány dvě: v Praze na Matfyzu a v Poličce v městské knihovně.

    Ladislav Hagara | Komentářů: 0
    včera 12:11 | Pozvánky

    Letošní ročník konference LinuxDays se uskuteční o víkendu 12. a 13. října, opět se potkáme v pražských Dejvicích na FIT ČVUT. Také během letošního ročníku nás budou čekat desítky přednášek, workshopy, stánky a spousta doprovodného programu. Aktuální dění můžete sledovat na Twitteru, Facebooku nebo na Mastodonu, přidat se můžete také do telegramové diskusní skupiny.

    Petr Krčmář | Komentářů: 3
    včera 09:00 | Nová verze

    Byla vydána nová major verze 2.0.0 a krátce na to opravné verze 2.0.1 open source online editoru Etherpad (Wikipedie) umožňujícího společné úpravy v reálném čase.

    Ladislav Hagara | Komentářů: 0
    včera 08:00 | IT novinky

    Elonem Muskem založena společnost xAI otevřela pod licencí Apache 2.0 svůj AI LLM model Grok-1.

    Ladislav Hagara | Komentářů: 3
    včera 00:44 | Nová verze

    Matematický software GNU Octave byl vydán ve verzi 9.1.0. Podrobnosti v poznámkách k vydání. Nově je preferovaný grafický backend Qt a preferovaná verze Qt 6. V tomto vydání byly přepracovány funkce pro převod čísel z desítkové soustavy. Jako obvykle jsou zahrnuta také výkonnostní vylepšení a zlepšení kompatibility s Matlabem.

    Fluttershy, yay! | Komentářů: 0
    17.3. 22:33 | Zajímavý článek

    Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu březnový souhrn novinek. Vypíchnout lze, že pracují na virtuálním asistentu PineVox a zatím bezejmenných sluchátkách na lícní kosti (bone conduction).

    Ladislav Hagara | Komentářů: 0
    17.3. 18:33 | Nová verze

    Hyprland, kompozitor pro Wayland zaměřený na dláždění okny a zároveň grafické efekty, je již dva roky starý. Při té příležitosti byla vydána verze 0.37.0 (a záhy opravná 0.37.1 řešící chybu ve vykreslování oken). Nově závisí na knihovně hyprcursor, která poskytuje škálovatelné kurzory myši.

    Fluttershy, yay! | Komentářů: 3
    Steam
     (25%)
     (28%)
     (13%)
     (10%)
     (25%)
    Celkem 310 hlasů
     Komentářů: 4, poslední 11.3. 21:45
    Rozcestník

    Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal

    Stephen Schrauger v příspěvku na svém blogu popisuje, jak se mu povedlo získat certifikáty (29647048 a 29805567, viz X509v3 Subject Alternative Name) pro GitHub (github.com, github.io, www.github.io) u čínské certifikační autority WoSign. Stačilo prokázat, že je vlastníkem poddomény (schrauger.github.com, schrauger.github.io) [reddit].

    31.8.2016 18:00 | Ladislav Hagara | Zajímavý článek


    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    31.8.2016 18:43 ttt
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    WoSign k certifikátům vydaným na doménu, u kterých byla ověřena jen poddoména:
    Some certificates are revoked after getting report from subscriber, but some still valid, if any subscriber think it must be revoked and replaced new one, please contact us in the system, thanks.
    31.8.2016 21:35 Meh
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Tak to byla opet sokujici novinka; certifikaty nefunguji.
    xkucf03 avatar 31.8.2016 22:07 xkucf03 | skóre: 49 | blog: xkucf03
    Rozbalit Rozbalit vše Zase to nadávání na CA
    Certifikáty fungují bezchybně – problém byl v procesu, jakým je tato CA vydávala.

    To je jako kdybys nadával na nějaký lék – a přitom chyba byla v doktorovi, že ho předepisuje na něco jiného než má, nebo v lidech, že takovému „doktorovi“ věří.
    Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-DK, Relational pipes
    31.8.2016 22:49 Lol Phirae | skóre: 23
    Rozbalit Rozbalit vše Re: Zase to nadávání na CA
    Certifikáty samotné jistě fungují; infrastruktura (celá ta šaškárna kolem tisíců tzv. "důvěryhodných" CA) ovšem - zejména v oblasti DV certifikátů - notoricky NEFUNGUJE. Je naprosto zprofanovaná desítkami fatálních chyb a zcela mimo kontrolu uživatelů. Nezaručuje vůbec nic.
    31.8.2016 22:56 Jooky (inactive) | skóre: 39 | blog: Jooky | Bratislava
    Rozbalit Rozbalit vše Re: Zase to nadávání na CA
    Bohuzial ma pravdu, v aktualnej podobe certifikaty nefunguju. Kazdy browser ma nekonecne mnozstvo CA autorit v sebe a z praktickeho hladiska sa nedaju odstranovat. Taketo problemy uz mali aj velke certifikacne autority a vysledok je, ze sa stym nic nespravilo. Prakticky staci, ze ktorakolvek autorita zlyha a cely system sa zruti.

    System treba pretocit opacne. Cize nie, ze autorita "skontroluje" vlastnika a vyda mu certifikat, ale priebezne kontroluje, ci to co vidim ja, je to co by som mal vidiet.

    Mechanizmus je pekne popisany tu -> BlackHat USA 2011: SSL And The Future Of Authenticity (doporucujem preskocit prvych cca 5 minut, cakaju az sa usadia ludia a nahravanie bolo uz pustene)
    pavlix avatar 1.9.2016 11:48 pavlix | skóre: 54 | blog: pavlix
    Rozbalit Rozbalit vše Re: Zase to nadávání na CA
    Certifikáty skutečně po technické stránce fungují, ale problém není jenom v procesu této konkrétní jedné CA, ale v celém tom systému.
    Já už tu vlastně ani nejsem. Abclinuxu umřelo.
    Bedňa avatar 1.9.2016 17:16 Bedňa | skóre: 34 | blog: Žumpa | Horňany
    Rozbalit Rozbalit vše Re: Zase to nadávání na CA
    +1
    KERNEL ULTRAS video channel >>>
    1.9.2016 14:17 j
    Rozbalit Rozbalit vše Re: Zase to nadávání na CA
    Nikoli, certifikaty jsou naprosto nefunkcni koncept, kery bezpecnost naopak ohrozuje.

    Protoze nemas zasnou moznsot jak se jich a) zbavit b) delegovat duveru. Tzn, pokud duverujez CA, duverujes ji vzdy a vsude, coz je asi tak stejny, jako kdyz by ti prisel automechanik operovat slepak. Sveril si mu svoji karu za 1/2M, tak mu prece veris, ne?
    1.9.2016 09:12 ix
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Pokud web používá HSTS + HPKP, pak je HTTPS stejně bezpečné jako třeba SSH (model Trust On First Use) a žádná kompromitovaná certifikační autorita vás prakticky neohrozí.
    1.9.2016 09:14 ix
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    (teď už by to chtělo jen větší osvětu, aby HSTS + HPKP nasadily všechny HTTPS weby... na HSTS ještě občas člověk narazí, ale s HPKP je to bohužel bída, přitom nasadit to je jednoduché)
    1.9.2016 11:00 Lol Phirae | skóre: 23
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Bože to je zase pitomost. HSTS s diskutovaným problémem vůbec nesouvisí a pro HPKP se obvykle používá fingerprint nějaké intermediate CA.
    1.9.2016 21:34 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    HPKP podporuje i otisky klíčů, nejen intermediate CA. Pak je to opravdu jako SSH. To že tam někdo cpe intermediate CA je jeho blbost.

    HSTS s tím souvisí také, protože bez HSTS je HPKP k ničemu, pokud útočník prostě udělá SSLstrip útok.
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    2.9.2016 00:07 Lol Phirae | skóre: 23
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    1/ Kristova noho - podporuje != je použitelné. Nikdo nebude měnit stovky záznamů po každé aktualizaci certifikátu. A nikdo si nebude produkovat ty certifikáty do zásoby, aby se neodříznul od serveru, až ten certifikát expiruje. 2/ Ne, HSTS s diskutovaným tématem absolutně nijak nesouvisí. HSTS říká prohlížeči, že se má připojit jen a pouze přes šifrované připojení. Tečka. HSTS záznamem ve spojení s absencí důvěryhodného certifikátu akorát odříznes uživatele. Super myšlenka.

    Možná by to chtělo komentovat něco, o čem máš aspoň mlhavé tušení, jak to funguje. Pro příště.

    2.9.2016 09:18 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Vypadá to, že tušení o čem mluvíte nemáte vy. V HPKP mohou být otisky klíčů, nikoliv jen samotných certifikátů. Certifikáty můžete měnit třeba každý den, ale nijak vás to netíží, protože soukromý klíč může být pořád stejný (a tedy otisk klíče v HPKP se nezmění). Pokud vám certifikát vyexpiruje, nic se neděje, ke stejnému klíči si vygenerujete nový. Třeba s Let's Encrypt je tohle děsně jednoduché a plně automatizovatelné.

    Případně můžete mít určitou množinu soukromých klíčů a všechny jejich otisky napinnované v HPKP, takže můžete rotovat i klíče jako takové, pokud to z nějakého důvodu chcete. Minimálně jeden záložní otisk klíče musíte mít napinnovaný tak jako tak (kdyby došlo ke kompromitaci primárního klíče).

    Je to plně použitelné (a jednoduché), na všech HTTPS serverech, které spravuji, mám takto HPKP zavedené.

    A jinak kdyby vás náhodou napadlo, že rotovat certifikáty, ale mít stále stejný klíč, je rizikové, tak ani náhodou. Nežijeme už v počítačovém pravěku a TLS spojení dnes běžně používají PFS (Perfect Forward Secrecy).
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    pavlix avatar 2.9.2016 09:21 pavlix | skóre: 54 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    K čemu jsou otisky soukromých klíčů? Nebyly tím spíše myšleny veřejné?
    Já už tu vlastně ani nejsem. Abclinuxu umřelo.
    2.9.2016 09:49 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Eh, samozřejmě, špatně jsem se vyjádřil jestli to tak z toho vyplynulo :-)
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    2.9.2016 09:53 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    A ještě doplnění k tomu HSTS. HSTS s diskutovaným tématem samozřejmě souvisí, protože se s HPKP doplňují. K čemu by vám bylo HPKP, kdyby útočník prostě jen provedl SSLstrip attack (a přesměroval vás tak na nešifrované HTTP)? Tomu právě brání HSTS.

    Ale to už se opakuji :-)
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    2.9.2016 10:32 Lol Phirae | skóre: 23
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    To nemá žádný smysl. Řešíme to, jak ověřit důvěryhodnost certifikátu. Souvislost s HSTS je absolutně nulová. A jo, opakuješ se a bohužel stále mimo mísu.
    2.9.2016 10:47 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Bezpečnost HTTPS je komplexní problém, důvěryhodnost certifikátu není jediná věc o kterou běží. Nevím proč se pořád zmínkám o HSTS tak urputně bráníte? S HPKP prostě souvisí, je založené na stejném principu (TOFU) a vzájemně se doplňují. Jedno bez druhého nemá prakticky smysl (pokud zavedete jen jedno, HTTPS bude stále vulnerable k MITM - buď vůči zkompromitované CA, nebo vůči SSLstrip útoku).
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    2.9.2016 12:34 Lol Phirae | skóre: 23
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Nevím proč se pořád zmínkám o HSTS tak urputně bráníte?
    Protože to nijak nesouvisí s tématem debaty. HSTS diskutovaný problém NIJAK neřeší.
    1.9.2016 14:22 j
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Ne, to neresi vubec nic, ono problem neresi ani DANE, ale aspon ho redukuje. V pripade DANE se totiz problem zredujuje z tisicu CA na prave jednu. A kdyz nic jinyho, tak si cznic rozhodne nepodepise .net/.org/... => existuje tu jednoznacna delegace aspon per tld.
    1.9.2016 21:54 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    To tedy řeší. Mám-li v browseru napinnované otisky klíčů webů kam chodím pravidelně, pak jsem proti MITM zkompromitovanou CA naprosto bezpečně chráněn. A útočník při pokusu o MITM se ihned prozradí (včetně toho jakou CA zneužil).

    Pokud se jedná o web kam chodím jednou za uherák, či nějaký web který jsem nikdy předtím nenavštívil, pak mě pravda HPKP neochrání. Ale i tak se nesmírně zmenšuje window of opportunity k útoku a pro útočníka se zároveň nesmírně zvyšuje riziko prozrazení (čímž by přišel i o svoje falešné certifikáty / kompromitovanou CA).

    Navíc prohlížeče mají dneska pinnované klíče k hromadě významných webů už ve výchozí instalaci (viz např. Chromium / Chrome a Mozilla), takže na těchto webech potenciální útočník vždycky pohoří a prozradí se (weby jako Google, Twitter, Tor, Dropbox, atd.). Takhle už Google objevil třeba falešné certifikáty od DigiNotaru.
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    2.9.2016 13:45 j
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Tvole ty ses totalni tatar ...

    Vubec netusis o cem je rec, ale zvanis porad dokola ty svoje vyblitky. V browseru si muzes mit co chces, klice se na webech bezne menej, a to i velmi casto. A ty vis naprosto kulovy a nikdy vedet nemuzes, jestli tu zmenu proved nekdo kdo je k tomu opravnenej nebo ne.

    Pokud bys chtel bezpecnost, tak by sis musel obstarat cert trebas osobne od provozovatele, a ten by musel pravidelne predem zverejnovat klic novej, aby sis ho moh aktualizovat. A to pomijim samo to, ze je deravej srv a nekdo si vystavi svuj cert.

    Google objevil leda prd, ten tak maximalne smiruje vsechny a vsude, proto vymyslel uzasnou "technologii", poslete nam certy od vseho kam lezete, at pekne vime co kde delate ...

    Tatar jako ty pak samo nemuze pochopit takovou trivku, jako ze ti proste znemoznim se zeptat na cokoli kolem platnosti klice, pokud uz na tebe delam MITM, tak mam tu linku pod kontrolou. A co udela browser kdyz se mu nepovede overit pripadnej revoke? Mno pekne tise drzi hubu.
    2.9.2016 15:02 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Podle způsobu vyjadřování bych na Tatara tipoval spíš vás :-)

    O čem je řeč zjevně netušíte vy. Pokud používám HPKP, mám na serveru zapinnovaný otisk klíče a ten se nemění. Mění se certifikáty, ale to vás netrápí, protože jsou vystaveny ke stejnému klíči a tedy jeho otisk (který máte zapinnovaný) zůstává stále stejný i když se certifikát změnil.

    To že mi MITM útočník zabrání zeptat se na cokoliv kolem platnosti certifikátu mě netrápí, protože pokud mám už zapinnovaný otisk klíče, browser rovnou vyhodí velké varování a nikam dál vás nepustí. To je prostě model TOFU (Trust On First Use), stejně jako u SSH. Neochrání vás to při návštěvě webu který jste nikdy předtím nenavštívil, ale zcela bezpečně vás to ochrání při návštěvě webů které navštěvujete pravidelně, třeba právě toho GitHubu.

    Zbytek nemá cenu komentovat, to je jak mluvit s šíleným konspiračně-teoretickým magorem, který si stále jen dokola opakuje svojí mantru. Prohlížeč má otisky klíčů důležitých webů zapinnované (preloaded) už přímo v základní instalaci (jak Chromium/Chrome, tak Firefox). Nikam se nic neposílá aby se to ověřovalo.
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    pavlix avatar 2.9.2016 21:32 pavlix | skóre: 54 | blog: pavlix
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Jak přesně to řeší běžné provozní události jako jsou právě změny těch provozních klíčů?
    Já už tu vlastně ani nejsem. Abclinuxu umřelo.
    2.9.2016 22:12 xm | skóre: 36 | blog: Osvobozený blog | Praha
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Otisky záložních klíčů (které drží člověk nejlépe offline) se rovnou pinnují spolu s primárním klíčem. Pinnovat můžete kolik otisků klíčů najednou chcete, to nijak omezené není, ale minimum by mělo být právě 2 (primární klíč plus záložní klíč, použitelný pokud by došlo ke kompromitaci toho primárního). Bez záložních klíčů by jste si v případě kompromitace primárního klíče web totálně odřízl (lidé co už ho navštívili by se na něj nedostali dokud by nevypršela platnost HPKP hlavičky).

    Nebo jak to myslíte?
    Svoboda je tím nejdůležitějším, co máme. Nenechte se o ní připravit, podporujte Pirátskou stranu!
    Josef Kufner avatar 3.9.2016 00:08 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Pak je ještě otázka, jak tohle podporují systémové knihovny v Androidu. Třeba takový Davdroid pro synchronizaci kalendáře přes CalDAV. Nebo IMAP klienti. Tam je ten problém s důvěryhodností certifikátu stejný.
    Hello world ! Segmentation fault (core dumped)
    1.9.2016 10:19 oracle
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Hagar Němec být?
    1.9.2016 12:30 Kooala
    Rozbalit Rozbalit vše Re: Jak uživatel GitHubu certifikáty pro GitHub u WoSignu získal
    Spis bych to videl tak, ze se shledl v nejakem pohadkari. Zni to ve stylu: "Jak hloupy Honza ke stesti prisel." Mne se to docela libi, jen tak dal.

    Založit nové vláknoNahoru


    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.