Dotaz: Bezpecnost s nepodepsanym certifikatem

[Petrr]

Dobry vecer, kdyz pouzivam platny certifikat (ktery se vygeneroval pri instalaci Debian) ale neni podepsany je komunikace v prohlizeci i tak bezpecne sifrovana nebo se daji data odchytit? Dekuji, Petr

Odpovědi

[Josef Kufner]

Šifrovaná je, ale nevíš, s kým komunikuješ.

[Petrr]

Jak nevim s kym? nerozumim, muzes prosim vice objasnit? Dekuji

[Josef Kufner]

Viz Man in the middle.

[Petrr]

Zajimave, a kdyz je podepsany tak se to nemuze stat?

[Peter Golis]

Tak určite. Napríklad s tak presným certifikátom od "zaručenej autority" ako je na stránke sknic.sk bez pomlčky. By ma zaujímalo koho to bol nápad urobiť v tej dobe phisting k sk-nic.sk s pomlčkou.

Mimochodom, už som také mňamky videl aj na iných miestach.

[Sten]

Podepsané je to jiným certifikátem a ten je typicky podepsaný dalším. Smyslem tohoto řetězu je, že nějaká jiná autorita, které důvěřujete (resp. důvěřuje mu tvůrce prohlížeče/systému), potvrdí, že daný certifikát patří tomu doménovému jménu a nejde tedy o MitM. Úplně stejně ale můžete ověřit ten certifikát i ručně (např. zkopírováním ze serveru, kam máte přístup přes SSH, přes důvěryhodný kanál s vlastníkem ověříte otisk ap.) a vložit jej do trust store. Pak bude také podepsaný důvěryhodným certifikátem: sebou.

[Andrej]

To záleží na tom,

• jak důvěryhodný je ten, kdo certifikát podepsal (jestli někomu jinému nepodepsal certifikát pro tutéž doménu),
• jak důvěryhodný je kdokoliv jiný, komu důvěřuješ jako autoritě (jestli někomu jinému nepodepsal certifikát pro tutéž doménu) [tady je největší riziko],
• jak důsledný je ten, kdo si certifikát nechal vystavit/podepsat (jestli někomu jinému nevyzradil, dobrovolně či nechtěně, svůj soukromý klíč) a
• jak pozorný je ten (browser), který certifikát ověřuje (jestli se dívá taky do TLSA záznamů v DNSSEC, jestli mu (správně) přijde divné, když certifikátu včera zbýval rok platnosti, ale dnes (zdánlivě) tentýž web přijde s novým certifikátem od jiné autority atd. atp.).

[Milan Uhrák]

Shrnu to takto : Certifikát je jako občanka. Je na ní popis identity které patří, ksicht a razítko/a státniho úřadu, který zkontroloval, že ano, ten ksicht na občance patří tomu jménu, které je tam uvedeno + další údaje. Policajt koukne na fotku , na tvůj obličej, prověří, že razítko i občanka jsou pravé a má jistotu, že jsi to ty ). Teoreticky.

Server ( předpokládám že Apache ) používá certifikát ( podepsaný cetrifikační autoritou obecně uznávanou jako důvěryhodnou ) k prokázání, že je tím, za koho se vydává ( t.j. v certifikátu je uvedena DNS cesta, IP a podobně ), a to musí souhlasit s DNS ze které tento server obsluhuje požadavky. Tyto skutečnosti certifikační autorita před podepsáním prověří, m.j i identitu majitele domény a pod. Tento certifikát ( myslím ) zároveň slouží k zabezpečení ( zprostředkuje šifrování ) provozu mezi serverem a prohlížečem.

Takže nepodepsaný ( samo-podepsaný ) certifikát funguje technicky jako podepsaný, jen nikdo neprověřil, že je pravý .

Takovýto samo-podepsaný certifikát má i nejvyšší certifikační autorita ( protože její certifikát nemá kdo podepsat )