Wikimedia přejde kompletně na HTTPS (diskuse)

[NN]

Trochu zaspali, ale jinak v pohode..

[Operator]

NSA boti sniffovali poriadne ....

[...]

Už i tady v poradně? Tak to přejde abíčko taky kompletně?

[Luk]

Nedá se nic dělat, musíme tam všichni

Ono to k tomu jednou dojde - tedy pokud nedojdou politici dřív k tomu, že to zakáží, aby se mohlo snáze odposlouchávat. Například s HTTP/2 přijde povinné používání TLS. Ostatně už dnes Google preferuje weby dostupné přes HTTPS.

[R]

A najlepsie ked je tych weboch sledovaci kod Googlu. Ten je dnes takmer vsade. Ale hlavne, ze budeme mat vsetko bezpecne sifrovane.

[libre]

V librejs je white-list kde je spousta povolených skriptů od google, jistě prověřených vývojáři gnu.org a nejen proto, že se v skriptech píše o otevřené licenci. Takže tyto skripty (k vizuální dynamice) dle mého můžeš bez obav neblokovat a blokovat jen ty co napomáhají reklamě nebo vnucovat sociální služby.

[Luk]

Ten kód lze samozřejmě blokovat, podobně jako kód Facebooku a různé další.

[Jendа]

Ale většina lidí to nedělá. (cf. dosud měla Wikipedia HTTPS dobrovolné, také jsi ho tedy mohl použít)

[Luk]

Ale většina lidí to nedělá.

Většina lidí taky nečte smlouvy

dosud měla Wikipedia HTTPS dobrovolné, také jsi ho tedy mohl použít

Taky jsem ho používal.

[ET]

Například s HTTP/2 přijde povinné používání TLS

zdroj: http://www.root.cz/clanky/jak-funguje-novy-protokol-http-2/

Předpokládá se, že HTTP/2 bude typicky používáno v kombinaci s TLS. Existoval silný názorový proud, že TLS by mělo být pro HTTP/2 povinné. Nakonec zvítězil liberálnější přístup, nicméně pro některé klienty (Chrome, Firefox) není podpora nešifrovaného HTTP/2 v plánu.

[trekker.dk]

Jo, na tohle jsem četl povídání od někoho (iirc) z OpenBSD - co mají dělat lidi žijící v zemích, kde je šifrování zakázané?

[martin]

no pokud maj deti, tak je asi problem pro ne udelat bojovku, kdyz nemuzou pouzit ani morseovku :(

[KS]

Morseovka není šifra.

[libre]

Jak to? Kdo jí nerozumí je to šifra. V Bletchley taky rozuměli nacistickému dorozumívání dle nich šifře, nepoužívaly náckové tedy šifru?

[ET]

https://cs.wikipedia.org/wiki/Morseova_abeceda

Kóduje znaky latinské abecedy, číslice a speciální znaky do kombinací krátkých a dlouhých signálů.

[CiV]

Ve škole nám říkali že rozdíl mezi šifrou a kódem je v tom, že k prolomení kódu stačí znalost algoritmu, kdežto u šifry je potřeba znát ještě klíč.

Podle tohoto by tedy morseovka byla kód, nikoli šifra. Stejně tak i Caesarova šifra.

Zdá se ale, že se toto rozdělení nikde moc nepoužívá, například na wikipedii to nevidím.

[Jendа]

A pokud je třeba na šifru A5 známý algoritmus, který ji prolomí bez znalosti klíče, tak to už není šifra, i když před pár lety ještě byla (takový algoritmus tehdy znám nebyl)?

Ale jo, asi to intuitivně chápu. Zrovna morseovka je „jednoduchá“. Ale třeba takový bzip už vypadá skoro jako ta šifra.

[pavlix]

Já si hlavně myslím, že kód je to všechno a šifra je podmnožina kódů, jejichž účelem je utajení, jiná věc je, zda je ten účel šifry naplněn nebo ne. Jinak v angličtině znamená code minimálně deset různých věcí.

[Michal Kubeček]

Můžete se na to dívat tak, že u morseovky je klíčem to, jaké konkrétní posloupnosti "teček" a "čárek" odpovídají jednotlivým znakům. Stejně tak u caesarovy šifry je (v její nejjednodušší podobě) klíčem informace, o kolik písmen abecedu odrotujete. U obecnější už máte klíč v klasickém smyslu.

[KS]

To rozdělení Wikipedia uvádí: Cipher vs Code. Je to spíše taková konvence.

[xm]

Bojovat proti debilním zákonům (v horším případě proti totalitnímu autoritářskému režimu)? Btw. HTTPS nemají zakázané ani v Číně...

[R]

V Cine je HTTPS povolene, ale mozu ti vymenit certifikat za falosny (certifikacnu autoritu maju)...

[Jendа]

To všude. Může pomoct pinning a takové věci.

[Jendа]

Taky by pomohlo, kdyby konečně někdo do prohlížečů přidal možnost nastavit, že PostSignu věřím jenom pro datovesranky.cz, čínské autoritě jenom pro *.cn a školní jenom pro *.cuni.cz. Teď ve Firefoxu když naimportuju CA, tak mi může podepsat třeba nsalitomerice.cz a nikdo to neřeší.

[j]

Sifrovani je trebas na hrane zakazu v GB - minimalne ses povinen vydat klic, a kdyz tomu nerozumist, je to tvuj problem. Cina je proti GB zemi svobody a demokracie. Muzes tam normalne po ulici nosit klidne mec. V GB ani rybicku.

[egg]

Cina je proti GB zemi svobody a demokracie. Muzes tam normalne po ulici nosit klidne mec.

Zkus místo meče v Číně nosit vlajku, třeba vyfotit se s českou vlajkou. Hned uvidíš tu svobodu a demokracii.

[mankind_boost]

Zkus si v GB zaheslovat soubor s českou vlajkou, zahodit heslo a prásknout se policii. Hned uvidíš tu svobodu a demokracii.

[qohen]

... chcete-li naznačit, že v tom případě bude britská policie postupovat podobně (nebo více) drsně jako čínská proti politickým manifestantům, možná byste měl uvést nějaký příklad. Tak co?

[Michal Kubeček]

Cina je proti GB zemi svobody a demokracie.

Ale no tak… Myslíte si třeba, že je riskantnější promenovat se centrem Londýna s transparentem "Svobodu Skotsku!" než promenovat se centrem Pekingu s transparentem "Svobodu Tibetu!"?

[qohen]

Máte sice pravdu na své straně, pravděpodobně jste na rozdíl od svých paranoidních oponentů byl v Británii a možná i v Číně, ale tohle bude marná diskuse - nepřesvědčíte je ani o píď.

[Jendа]

Pokud ten transparent Svobodu Tibetu bude napsaný takto (česky), tak by to mohlo projít

[Michal Kubeček]

Říkal jsem si, jestli nemám přidat poznámku "(v místním jazyce)", ale přišlo mi to přehnané… :-)

Na druhou stranu, "Tibet" IMHO vypadá ve většině latinkou psaných jazyků stejně nebo podobně, takže pozornost orgánů by to přivolalo určitě. Přeložit to už by pak nebyl velký problém - koneckonců na to stačí i automatické rozpoznání jazyka na Google Translate.

[Jendа]

Co mají dělat lidi v zemích kde jsou zakázané počítače?

[mankind_boost]

Co mají dělat lidi v zemích, kde je zakázáni někteří lidé?

[xkucf03]

+1

[Michal Kubeček]

Nebo "aby to nemohl zjistit nikdo jiný"? :-)

[R]

Iluzia bezpecnosti dokonala. Este by tam mohli pridat sledovaci kod od googlu a facebooku.

[xm]

Jaká iluze bezpečnosti? HTTPS není tak zas slabé/broken jak si tady někteří zjevně myslí. Tohle je jednoznačně krok k lepšímu a doufám, že takových HTTPS-only webů bude rychle přibývat. Podporují i HSTS, takže ani různé SSLstrip útoky nehrozí. A pokud by časem přidali i podporu HPKP, nebude hrozit prakticky ani podvržený falešný certifikát vydaný uznávanou "autoritou" třeba pro NSA (key pinning funguje podobně jako třeba SSH).

V každém případě čím větší objem provozu na Internetu bude šifrovaný, tím obtížnější bude pro NSA a spol. šmírovat. Zas tak všemocní také nejsou.

[Michal Kubeček]

Nejde (jen) o bezpečnost HTTPS, HTTPS řeší jen ochranu dat po cestě. Z principu nemůže ochránit informace o tom, co si na určitém webu čtu, před provozovatelem webu samotného (na to jsem narážel já) a omezená je ochrana před těmi, jejichž "like" tlačítka, "analytics" skripty apod. jsou do stránek vloženy (na to narážel kolega "R").

[R]

A dalsia vec je, ako sa clovek na konkretny clanok vo Wikipedii dostane. Spravidla z vyhladavaca - vo vacsine pripadov to je Google. Potom je naozaj akekolvek sifrovanie uplne zbytocne. Google hotove a spracovane informacie predava (pripadne uradom dodava bezplatne).

[xm]

Sorry, ale to už je jen a pouze tvoje blbost. A rozhodně to není žádný argument proti zavádění HTTPS-only webu.

Nikdo tě nenutí k vyhledávání používat zrovna Google, když třeba něco hledám na Wikipedii, hledám to napřímo.

[xm]

Před tím tě ale nemůže ochránit nic, pokud nepoužiješ anonymizační síť jako je Tor nebo I2P.

Krok k lepšímu to jednoznačně je, už jen třeba pro to, že při použití Toru nebudou moct koncové uzly monitorovat traffic, dělat SSLstrip, atp.

[R]

Tor ta neochrani pred sledovanim cez javascripty, cookie a pod.

[xm]

Ale no tak, nebuďte hloupý, cookies i javascript se dají vypnout. Jsou tu rozšíření jako NoScript, aby to bylo pohodlné. A i třeba browser fingerprinting je minimálně v Tor Browseru vyřešený.

Tenhle defétismus co tu předvádíte je všem jen a jen na škodu...

[Jendа]

Před tím tě ale nemůže ochránit nic

Neříkám, že to nemůže být pravda, ale ani mi to nepřijde zřejmé (např.).

[xm]

Tak homomorfní šifrování je hodně zajímavé téma, ale buďme realisti, v současnosti je i to pouhé zavádění HTTPS-only dost významný a důležitý krok (krom již výše zmiňovaných důvodů např. také proto, že tvůj provider pak nemůže šmírovat jaké konkrétní stránky si člověk čte a nemůže je selektivně cenzurovat).

[xm]

Abych to shrnul a nebyl tu nekonečný zbytečný thread (už se koukám rozjíždí ) - neříkám že je HTTPS všespásné, ale rozhodně jsou HTTPS-only weby krok správným směrem. Cokoliv ve velkém rozšíří podíl šifrovaného trafficu oproti nešifrovanému je významný a správný krok (normální uživatelé bohužel nepoužívají rozšíření jako HTTPS Everywhere).

[Já]

Stejně tak jen proto, že dokáže zaručit integritu přenášených dat, tak nezaručí, že to, co o tom hesle WP píše, je pravda. Život je těžký, no :)

[Jiří Jakeš]

Jsem zvědavý, co na to čínská komunistická strana. Již dlouhou jsou v Číně blokovány HTTPS verze wikipedie, ale HTTP byly přístupné (až na výjimky). Tedy do nedávna – od konce května je kompletně nepřístupná HTTP čínská verze, nicméně anglickou lze zatím ještě číst. Je jasné, že až bude wikipedia dostupná jen přes HTTPS, bude také kompletně blokována.

Zajímavé však bude sledovat reakci lidí a následnou reakci strany. Když se pokusila kompletně blokovat Github, vzbudilo to nezvykle silné protesty (slovní, nikoli pouliční), až nakonec Github zase povolila. Bude to stejně tak i s wikipedií?

[Jendа]

Tak to jsem fakt nečekal. Mají nějakou národní alternativu (jako Baidu, QQ a tak)?

Bez anglické by se snad zastavil průmysl, ne?

[Jiří Jakeš]

Baidu má sekci encyklopedie, ale myslím, že jen čínskou verzi. Nevím o žádné anglické alternativě.

Ano, pokud by byla anglická wikipedia kompletně blokována, věřím, že by to přineslo hodně dalších protestů. Strana si bude muset vybrat – buď bude wikipedia kompletně přístupná (včetně „citlivých” stránek) nebo nebude vůbec. Já sázím na kompletní blokování. Nebo to dopadne jako v případě Githubu – sice jej nakonec povolili, ale stříleli na něj z kanónu.

[xm]

Ještě také můžou na Velkém Čínském Firewallu provozovat hromadný MitM s falešnými certifikáty pro wikipedia.org podepsanými nějakou uznávanou čínskou certifikační "autoritou" Nicméně to jim v moderních browserech, které mají integrovaný key pinning pro nejvýznamější weby, naštěstí neprojde (nevím jak Firefox, ale Chromium/Chrome pinnuje).

[xm]

Tak Firefox koukám už cca rok taky pinnuje.

[xm]

(ale zrovna Wikipedia zdá se staticky pinnovaná není, a to ani v Chromiu/Chrome, ani ve Firefoxu)

[Filip Jirsák]

Pro uživatele, který chce být chráněn před tou čínskou certifikační autoritou, je nejjednodušší ten její certifikát odstranit z důvěryhodných, nebo ještě lépe odstranit všechny a vrátit tam jen ty skutečně důvěryhodné.

[Lol Phirae]

Jistě. To sice absolutně nefunguje, a operaci, která funguje, ale tak 99% BFU absolutně nezvládne, ale to je jedno. Možná by ale bylo lepší tam takovou mrdku především nepřidávat, že. No ale to by bylo moc logické. Když vono to třeba Mozille tak pěkně sype, že...

[0% černoch]

Pokud nechci, aby se vědělo, co si čtu na Wikipedii, stáhnu si ji do počítače celou…

Problém jsou ovšem obrázky.