Dle telemetrických dat z Firefoxů bylo poprvé více než 50 % webových stránek staženo pomocí HTTPS

Dle telemetrických dat (about:telemetry) anonymně odesílaných z webových prohlížečů Firefox organizaci Mozilla bylo při spuštění veřejné bety otevřené certifikační autority Let's Encrypt, v prosinci 2015, pomocí HTTPS stahováno 39,5 % webových stránek. Po šesti měsících, v červnu 2016, to bylo již 45 % (zprávička). Po dalších čtyřech měsících, koncem minulého týdne, to bylo poprvé přes 50 %.

17.10.2016 03:33 | Ladislav Hagara | IT novinky

Komentáře

[nic]

A za nějaký čas: "Posledním prohlížečem, který ještě podporuje HTTP protokol je Firefox ve verzi 76, ve verzi 77 a novějších již nebude tento protokol podporován."

Sbohem, svobodný webe bez dozoru, měli jsme tě rádi, ale byli jsme příliš hloupí a pasivní na to, abychom si tvé svobody vážili.

[mirec]

Podpora HTTP musí byť zachovaná minimálne kvôli krabičkám bez domény.

[Filip Jirsák]

Nemusí.

[j]

Jasne, stejne jako v chrofoxu zustala zachovana podpora "nebezpecnych" sifer, takze na krabky starsi 3 let se jinak nez "bezpecne" pres http nepripojis.

[Heron]

Nechceš si ty nesmysly nechat jen na root? Je potřeba tím zaplevelovat i abc?

takze na krabky starsi 3 let se jinak nez "bezpecne" pres http nepripojis

V tom případě asi trpím halucinací, protože nemám nejmenší problém se z aktuálních FF / Chrome připojit na 7 let starý router (rok uvedení 2009). Asi se mi to jen zdá.

[Joelp]

Příloha:

• Page-Shot-2016-10-17 Problem loading page.png (32036 bytů)

tak to máš štěstí. Některá zařízení umí opravdu jen staré šifry a nejnovější verze prohlížečů to blokují.

[Heron]

Ne, to není štěstí. To je výběr. Prostě jsem si vybral produkt výrobce, který na své zákazníky nekašle. Jistě, do budoucnosti nikdo nevidí, ale z minulosti firmy lze lecos vyčíst. Ten router jsem naposledy updatoval dnes. Co přijde zítra nikdo z nás neví, ale ta firma to v nejbližší době neplánuje zabalit.

Aktuálně bych kupoval Turris Omnia. A ne proto, že to vyrábí NIC.cz (což je samozřejmě příjemné), ale proto, že je to open hw a open sw a že se na tom dá provozovat OpenWRT nebo třeba Debian. Takže, kdyby se s NIC.cz něco stalo (a ten jejich fork openwrt už by nikdo nevyvíjel), tak stále bude existovat software, který na tom lze provozovat.

Náš administrátor shledal tento komentář závadným.

Vulgarity.

Zobrazit komentář

[Jendа]

Nechceš si ty nesmysly nechat jen na root?

Ale oni to opravdu vypli (SSLv3 a některé šifry a délky DH a klíčů). Tady mám návod jak jsem to musel komplikovaně obcházet.

Ne, to není štěstí. To je výběr.

Ve všech případech, kdy jsem to musel řešit, ten výběr kdysi udělal někdo jiný. A s tím asi nic nenadělám. Já si samozřejmě dávám pozor (pokud to jde -- např. neexistuje VDSL nebo DOCSIS modem, na kterém by běžel nějaký rozumný firmware typu openwrt).

[Heron]

Ale oni to opravdu vypli (SSLv3 a některé šifry a délky DH a klíčů).

Já vím. Já reagoval na tu část "starší 3 let". Jestli někdo má krabičky staré 3 roky, pro které již není update, tak je stejně nejvyšší čas to vyměnit a náhradu pokud možno vybírat lépe. Nehledě na to, že šifry a protokoly, které jsou dodnes bezpečné a podporované, už tady byly nejen před těmi třemi roky, ale násobně déle. TLS je z roku 1999, takže uvádět v roce 2016 vypnutí podpory SSLv3 jako argument, to mi přijde fakt mimo (pokud provozujete muzeum starého hw a nějakým nedopatřením se vám nezachoval tehdejší prohlížeč a nutně na to potřebujete chodit z nejnovějšího Chrome, tak se vám omlouvám).

Ve všech případech, kdy jsem to musel řešit, ten výběr kdysi udělal někdo jiný.

Mě to povídej. Jsem ve výborech dvou SVJ, kvůli chybným rozhodnutím tehdejších členů nám aktuálně visí ve vzduchu stovky tisíc.

Náš administrátor shledal tento komentář závadným.

Vulgarity.

Zobrazit komentář

[Heron]

tak vyhodnime ... televizi, lednici ... mikrovlnku ... konvici

Jestli má někdo mikrovlnku nebo konvici připojenou na internet, tak si vyloženě koleduje o průser, kterej dřív nebo později stejně nastane. Stejně jako musel nastat ten průser s tím IoT. Pokud nějaký idiot místo dvou mechanických přepínačů odpojující proud do magnetronu (a při nápadech*, které vidím na různých kickstarterech tento nápad přijde spíš dřív než později) nahradí nějakými mikrospínači vedoucími do procesoru, kterej potom určuje, kdy pustit proud do magnetronu, tak je jen otázkou času, než toto zařízení někdo vzdáleně zneužije. A to potom bude moc hezká podívaná.

S konvicí v bledě modrém, proč asi hasiči doporučujou odstavovat konvici / vypínat přívod? Při "kvalitě" těch tepelných bezpečnostích mechanismů je hazard nechat ovládat 2kW topné těleso něčím napojeným na net a ještě to mít "zabezpečeno" dle posledních standardů j (tedy standard typu: chci se tam připojit kdykoliv a s čímokoliv a vůbec mě neotravujte s nějakým nastavením).

*) A při jejich realizacích s nejlevnějšími součástkami na trhu

[ehmmm]

Mikrovlnku ne, ale regulator kotelny jo. Ne na internet, ale na intranet, respektive na internet pres vpn, coz je z pohledu prohlizece jedno. (Musim teda zaklepat, ze ja se zatim na nej firefoxem pripojim. Sice prudi kvuli nejakemu certifikatu, ale pripoji se. Vzhledem k tomu, ze to neni nejaka mala kotelna v rodinnem domku, tak az to v ramci pokroku nepujde, tak nejjednodussi reseni bude nechat nekde bezet nejake stare PC s pravekym SW a vzdalene se pripojovat k tomuto PC a ono se bude pripojovat do kotelny.)

Pak mam jeste jednoucelovou krabicku na diagnostiku seriove linky. SW jsem si do ni pred vice nez deseti lety upatlal sam. A tam uz mam smulu. Krabicka totiz v nekterych situacich vraci odpoved v HTTP/0.9 a v jinych v HTTP/1.0. (Potreboval jsem setrit pamet, tak proc generovat nejake hlavicky, kdyz to neni zrovna nutne. To prave bylo na HTTP/0.9 tak uzasne a proto se podle me HTTP tak uspesne rozsirilo po svete.) Driv to prohlizecum bylo jedno, co dostaly, to zobrazily. Ale bohuzel, pokrok... (Rozhodne kvuli tomu nebudu oprasovat praveke vyvojove nastroje a travit vecery kompilovanim a pocitanim pameti, co se jeste vejde a co uz ne.)

Ty stovky tisic ve vzduchu u SVJ by me zajimaly. Ma to jeste souvislost s TCP/IP resp. HTTP?

[Jendа]

tak az to v ramci pokroku nepujde, tak nejjednodussi reseni bude nechat nekde bezet nejake stare PC s pravekym SW a vzdalene se pripojovat k tomuto PC

FYI socat to zatím umí dobře owrapovat.

[Heron]

Ne na internet, ale na intranet, respektive na internet pres vpn, coz je z pohledu prohlizece jedno.

Z hlediska prohlížeče ano, z hlediska bezpečnosti ne. Nevím, jak velká ta vnitřní síť je (pokud se sestává pouze z komunikačního modulu kotelny a vpn routeru, tak ok), ale značná část útoků (i když to jsou spíše už cílené a nikoliv náhodné), pochází právě z vnitřní sítě.

Ty stovky tisic ve vzduchu u SVJ by me zajimaly. Ma to jeste souvislost s TCP/IP resp. HTTP?

Nemá. Tedy ne přímo. Ty stovky tisíc se týkají neuvážených rozhodnutí v minulosti (např. zaměřením se pouze na cenu) a výběru technologie, která je diplomaticky řečeno problémová. Bohužel, někteří současní členové opět vidí jen cenu (teď už oprav) a nevidí to, že to zařízení nebylo pořizováno za účelem neustálých oprav, ale proto, aby plnilo nějaký účel. Takže kumulativní cena za opravy se pomalu blíží ceně pořízení, opravy nic neřeší (protože se mění jeden nejlevnější čínský shit za druhý nejlevnější čínský shit) a nějaké finální řešení je v nedohlednu.

K tomu se bohužel přidává i značný nedostatek kvalifikovaných řemeslníků, zjednodušeně řečeno: pokud řemeslníka seženete do týdne, tak jej neberte. Ti kvalitní mají zamluvenou práci na půl roku dopředu.

[ehmmm]

Zacina me to zajimat stale vic. :)

Kdyz si predstavim starosti SVJ, tak za co by to mohlo byt?

Vytah, ale tam doufam je neco lepsiho nez cinske shity.

Topeni, ale samotne kotle nejsou z Ciny a jenom regulace k nim snad neni za stovky tisic.

Kamerovy system. Ten mi zily netrha. I kdyz taky by to mohly byt nejake zvonky nebo dalkove otevirani brany.

Internet nebo telefon do baraku?

Nebo mate nejake solary?

Dalkovy odecet tepla v bytech?

Je to neco z toho? :)

[Heron]

Vytah, ale tam doufam je neco lepsiho nez cinske shity.

Nedoufej. Výtah 5 let záruka - to je jedna z mnoha chyb - půl roku po skončení záruky servisní technik přišel na poškození nosných pásů (nejsou tam lana, asi proto, že mají životnost desítky let). Pásy mají mít životnost 15 let nebo nějaký počet ujetých jízd. Nic z toho není naplněno, pravděpodobně je to způsobené chybou montáže. Tady ve vzduchu lítá 120tis jen za nové pásy + bůh ví kolik za montáž a opravu usazení hnacího kola.

Odcházejí brana - bylo nám řečeno, že nová pošlou za 3 měsíce, protože na ně čekají z Číny. Ano přesně tak, skladem je nedrží. Dokonce nám bylo řečeno, že si je máme koupit sami do zásoby a oni nám to potom budou jen jezdit vyměňovat. Kdyby to někoho zajímalo, dodavatel výtahu je Schindler. Hledáme schopnou servisní firmu.

Topeni, ale samotne kotle nejsou z Ciny a jenom regulace k nim snad neni za stovky tisic.

Na topení máme samostatnou OPS - objektová předávací stanice - to je úplně jiná liga, za 10 let (nebo kolik) žádný problém, je to osazené kvalitními věcmi (čerpadla, senzory apod. žádný shit). Ale to není v našem majetku, je to v majetku dodavatele tepla.

Kamerovy system.

Nemáme a odmítám. Na jednom SVJ už s tímto tématem někdo přišel, budu dělat maximum pro to, aby to neprošlo. Potom složím funkci. Tohle se "za mě" zavádět nebude.

Internet nebo telefon do baraku?

Tohle je to nepřímé spojení s IP - zatím se to nechává na jednotlivých ISP, ať si natáhnou kabely k zákazníkovi, bylo by skvělé to řešit systémově, tedy natáhnout jednu síť (pravděpodobně rovnou optiku) a vyvést to na jedno přístupové místo, kam si na to napojí ISP co chtějí. Tady se peníze přímo neztrácí - resp ztrácí se zvýšeným opotřebením JOP tím, jak si tam jednotlivé firmy protahují další a další kabely.

Dalkovy odecet tepla v bytech?

Super věc. Zvýšení pohodlí lidí - nemusí se navštěvovat každý byt zvlášť, je možné nechat udělat odečet kdykoliv. Na jednom SVJ máme odečet tepla, na druhém odečet stavu vody a hodlám to nasadit všude.

Je to neco z toho?

+ další věci jako třeba osvětlení společných prostor, úklid, vyasfaltování cesty na našem pozemku a hromada dalších věcí.

Je toho dost, člověk pochopitelně nemůže být expert na všechno a každá z těchto věcí stojí min. desítky tisíc až po jednotky milionů - na druhém SVJ řešíme zfušované klempířské práce, k vůli kterým zatéká do (zateplené) fasády (čímž se poškozuje) a olupuje se beton z balkonů.

[ehmmm]

Hm, tak s tim vytahem jsem to tipnul dobre. Mi to taky prijde jako kasicka na penize. Mame sice lana, ale uz se taky menila, pritom to je cca 5 let. Nastesti nejsem ve vyboru, pouze to sleduji z povzdali. (Jsem takovy ten zvedavy soused, co se snazi rozumet vsemu. Ale nerejpu, aby nekdo nerekl "tak si to delej sam".)

Mame par kamer v prizemi a ve vytahu. Stalo to cca 30 tisic, archivuje se to nekam na uzamceny pocitac. Do internetu to zatim pripojovat nehodlame. Na zlodeje to je spis strasak, jinak neverim, ze to pomuze. Spis to pomaha, kdyz se resi, kdo rozbil dvere.

U toho dalkoveho odectu by me zajimaly konkretni komponenty a SW, jestli muzu prosit. Onehdy jsem to studoval a dela to kdekdo, tak co si potom vybrat. Hlavne vodu. Teplo uz mame.

[Heron]

Mi to taky prijde jako kasicka na penize.

Jako sranda je, že ty původní vysoce nebezpečné výtahy neschválené EU tam byly od 1982 do 2011. Původní lana, původní výstroj strojovny. Když se to pokazilo, opravil to technik se šroubovákem. Nové mají neustále nějaké poruchy - volá se servis tak jednou do měsíce.

Ale abych jen nekritizoval. Na druhé lokalitě máme Kone PowerDisc a to je bomba. Sice nevím, proč to montovali v provedení MRL - motor room less - když paneláky mají strojovnu, ale technologicky je to jinde. Takže značka od značky. Jako u všeho. No uvidíme za 20 let, jak to bude šlapat.

U toho dalkoveho odectu by me zajimaly konkretni komponenty a SW, jestli muzu prosit.

Máme tam nějaké kvalitní měřiče, značku si teď nepamatuju - sjednocení doby výměny u obou měřičů - dříve se měřič na teplou vodu vyměňoval častěji. A k tomu je rádiový modul od Koncept Fast. Je na 10 let, takže se to bude měnit každou druhou výměnu vodoměrů. Jinak k tomuto měla spousta lidí výhrady, že prý je to drahé apod. Ano, stojí to víc, ale to pohodlí za to stojí. SW nevím, odečty neděláme my, dělá nám to dodavatel, nám chodí jen vyúčtování.

[Rezza]

On to muze byt jen *urevsk* drahy enterprise software od mamuti enterprise spolecnosti, ktery clovek nenahradi, protoze je (skoro) jediny a dodavatel nezvladne ani takovehle veci. A nemusi byt ani starsi tri let :(. A pak clovek zjisti, ze se nepripoji. Na vyber samozrejme neni (jak uz tady nekdo zminil, vybral nekdo jiny). Jinak cele to bezi samozrejme jen interne. IT pred to hodili nejakou proxy :).

[j]

Vyber ti prd pomuze, mas zcela 100% fungujici zarizeni a chces na nem obcas neco zmenit. Vyhodis ho proto, ze na nej nekdo poskytuje support 3 roky ... a ono je to 4 stary? Nemluve o tom, ze neznam moc vyrobcu ktery by ti v ramci supportu iplementovali novou funkcionalitu - tedy napriklad novy verze sifrovani, takze se ti naprosto sklidem stane (a zazil sem to) ze mas krabici ktera je normalne jeste v supportu, ale proste uz nepodporuje (a nikdy nebude) nic novsiho nez jak si ji koupil.

Nehlede na to, ze v soho nebude nikdo menit ani 30let starou krabici, pokud dela co se od ni chce. I kdyby to totiz melo stat kilo, je to kilo zcela zbytecne vyhozeny.

[j]

Ja narozdil od tebe administruju stovky vsemozny zarizeni, a pro desitky z nich plati, ze se k nim neda pripoji z aktualniho chrofoxe ...

Takze stema halucinacema navstiv dr Chocholouska.

[Heron]

a pro desitky z nich

A nevadí, že v těch desítkách zařízení budou stovky neopravených přístupných chyb? Asi nevadí. Dneska si lidi rovnou kupujou kamery s otevřeným telnetem a 12 let starou ssh chybou, takže na co řešit nějakou slabou šifru a 20 let starý protokol.

[Jendа]

A nevadí, že v těch desítkách zařízení budou stovky neopravených přístupných chyb?

Pokud nejsou dostupné zvenku, tak nevadí.

A nevadí, že v těch desítkách zařízení budou stovky neopravených přístupných chyb?

Co když naopak chci takové zařízení exploitnout a k tomu by se mi hodila možnost se k němu připojit?

[Filip Jirsák]

Pokud nejsou dostupné zvenku, tak nevadí.

Na tohle je potřeba zapomenout. Dnes má ve vnitřní síti každý různá Windows, kde má administrátorská práva, levné NASy, routery a webkamery – to není možné považovat za bezpečnou síť. Pokud má být nějaká síť považovaná za bezpečnou, musí být chráněná mnohem víc, než že je jenom „vnitřní“.

Co když naopak chci takové zařízení exploitnout a k tomu by se mi hodila možnost se k němu připojit?

Neexistuje žádný důvod, proč by bylo nutné se k takovým zařízením připojovat zrovna z webového prohlížeče používaného pro aktuální web. Na speciální věci jsou potřeba speciální nástroje, nikdy není řečeno, že prohlížeč má být nějaký univerzální nástroj, kterým budu prohlížet web, opravovat pračku a konfigurovat auto.

[j]

Tak u jirsaku doma ma zcela jiste kazdy admina a muze si pripojit co se mu zamane ...

Jasne, kazdej si bude udrzovat 150verzi browseru aby moh adminovat 150 krabicek, protoze je od sebe deli tyden v datu vyroby a tudiz pouziva o verzi jiny knihovny ...

Nemluve o tom jirsak, ze takovy veci maj doma bfu, a maji jich miliardy. A vis co udela BFU? Nj, vysere se ti na ten ubermodeni browser, co mu ale znemoznuje nastavit jeho kotel.

[Heron]

Jasne, kazdej si bude udrzovat 150verzi browseru aby moh adminovat 150 krabicek, protoze je od sebe deli tyden v datu vyroby a tudiz pouziva o verzi jiny knihovny ...

F.J. ovšem neřekl 150 verzí browserů, ale speciální nástroje na speciální věci. Některé věci se třeba nastavují pomocí RS 232, takže je vhodné mít PC s tímto rozhraním nebo přinejhorším USB převodník. Ne každá kravina musí mít http(s) rozhraní.

A vis co udela BFU? Nj, vysere se ti na ten ubermodeni browser, co mu ale znemoznuje nastavit jeho kotel.

Fajn, až jim začnou explodovat kotle, už kterých někdo na dálku odpojil bezpečnostní pojistku, tak to třeba pochopí. Nebo třeba až se začnou na netu objevovat záběry ze všech těch IoT kamer. Jestli to tak BFU chtějí, kdo jsme my, abychom jim v tom bránili.

(Potom to dopadne jako s očkováním, kdy se odmítačům podařil jedinečný kousek, tedy přivést zpět nemoci na místa, kde byla desítky let vymýcená - akorát s mám s tím ten morální problém, že společně s nimi začnou umírat zcela nevinní lidé, kteří třeba očkování být nemohou, nebo mají jiný problém jsou vůči té nemoci citlivější.)

[A]

To jako že si na to mám vydržovat speciální instalaci prastarého prohlížeče?

[Filip Jirsák]

Dříve mělo každé takové zařízení svůj speciální program, který často běhal pouze pod jednou konkrétní verzí jednoho operačního systému (občas dokonce třeba jen pod jednou jazykovou verzí systému). Mít pro všechna taková zařízení jeden konfigurační program založený klidně na jádru nějakého moderního prohlížeče mi připadá jako výrazně pohodlnější řešení. Ale opravdu nevím, proč by takový program měl být totožný s webovým prohlížečem. Třeba už jenom proto, že v domácnosti bude webový prohlížeč používat každý uživatel, program pro konfiguraci IoT zařízení v horším případě jeden člověk, v lepším případě nikdo z té domácnosti.

[A]

To, že to nepodporuje nejnovější šifrování nemá žádný vztah s tím, zda jsou v tom nějaké bezpečnostní chyby

[R]

Prekvapivo to uz nejako opravili a je tam aj whitelist: security.tls.insecure_fallback_host

[Jendа]

Sbohem, svobodný webe bez dozoru

Wat? Jaký dozor je potřeba k tomu abych si vyrobil certifikát? Naopak šifrování, i když je bez ověření protistrany, masivní šmírovací akce ztěžuje, protože dělat nepozorovaně MITM na všechny nejde, zatímco pasivní odposlech je jednodušší.

[nic]

A kdo hlídá hlídače?

[Jendа]

Nerozumím otázce.

[j]

Mno jenze aktualne to neni o nejakym sifrovani ale o tom jedinym spravnym s certifikatem od tech vyvolenych ... coz naopak masivni smirovani dokonale podporuje.

[Jendа]

coz naopak masivni smirovani dokonale podporuje

Jak? Tím, že Let's Encrypt má seznam domén?

[j]

Tak predevsim tim, ze si kdokoli (z tech vyvolenych) muze vydat jakejkoli certifikat pro jakoukoli domenu ... a taky se to zcela bezne deje.

Jakou ze ten system zajistuje bezpecnost? Nj, vubec zadnou. Je to exaktne totez, jako pouzivat http. Naopak, je to mnohem horsi, protoze je tu snaha vzbuzovat zdani bezpeci. A pokud si browser neprekopes a neopatchujes k obrazu svymu, tak s tim ani nemuzes nic udelat. Bude ti rvat jak protrzenej kvuli selfsign ... ale to, ze si nejaka CA vydala nejakej cert ho z miry nevyvede.

Jo a vsechny ty berlicky kolem ... neresej vubec nic ... protoze kdyz budu chtit utocit na tvoje pripojeni, tak se k zadnymu overovani niceho ani nedostanes.

Viz pak trebas hsts ... naprosto chorej navrh ... kdy si jako browser ma drzet databazi miliardy webu a kontrolovat, jestli ma pouzit https ... lol. O dalsich jeste horsich vecech typu posilani klice ... lol ... a kdyz bude revokovanej, sou klienti v riti ... a budem skladovat TB otisku klicu miliard webu ... to budou useri stastny a budou se klanet za tu uzasnou bezpecnost.

Co s tim? No minimalne pro zacatek zcela terminovat system CA, protoze je zcela nanic. Pro zacatek pak pouzit dns, coz problem stejne neresi, ale aspon redukuje. A netreba kvuli tomu generovat u uzivatelu TB databaze.

[Jendа]

Viz o fous vejs, nechas si od CA vydat certifikaty k cemu libo...

Takže v porovnání s HTTP je to nejhůř nastejno. Předřečník podle mě tvrdil, že to bude horší.

Jakou ze ten system zajistuje bezpecnost? Nj, vubec zadnou.

Ne. Zabrání to minimálně dvěma útokům:

1. Pepa z Horní Dolní, který CA nevyhackoval.
2. NSA sniffující úplně všechno. S HTTPS by musela na všechny dělat MITM, čehož by si někdo všiml (a je to technicky mnohem náročnější než pasivní sniffing)

[Conscript89]

Mno jenze aktualne to neni o nejakym sifrovani ale o tom jedinym spravnym s certifikatem od tech vyvolenych ... coz naopak masivni smirovani dokonale podporuje.

To smirovani mi prosim vysvetli. Jak je to technicky mozne (nechci brute-force, ale chybu v designu).

[j]

Viz o fous vejs, nechas si od CA vydat certifikaty k cemu libo...

[Conscript89]

Viz o fous vejs, nechas si od CA vydat certifikaty k cemu libo...

Viz o fous vejs, Takže v porovnání s HTTP je to nejhůř nastejno. Předřečník podle mě tvrdil, že to bude horší. (Autor Jenda, ja souhlasim)

[xm]

Sbohem, svobodný webe bez dozoru, měli jsme tě rádi, ale byli jsme příliš hloupí a pasivní na to, abychom si tvé svobody vážili.

Větší nesmysl jsem už dlouho nečetl. To je snad nějaká trollba, nebo je vážně někdo až tak hloupý?

Nepsal to náhodou nějaký zatrpklý agent BIS, kterému je smutno, že nebude moct pasivně odposlouchávat jak se mu zachce, když všechny weby budou šifrované HTTPS?

Systém "důvěryhodných" certifikačních autorit má svoje díry a bez většího rozšíření HPKP + HSTS rozhodně nezabrání aktivním MITM útoku od nation state útočníka. Ale pasivnímu odposlechu (a obecně masovému sledování) brání víc než dobře.

[TM]

To je sice hezké, ale nemělo by to být důvodem k tomu, aby uživatelům byla vzata možnost se připojit přes nešifrované HTTP. Chtějí doma na Intranetu používat starší zařízení, mají třeba jednoduchý ethernet shield pro Arduino, nevidí důvod, proč udržovat certifikáty na jednoduchém Webu, kde není nic tajného....
Jakýkoliv radikalismus je znakem hlouposti a v souvislosti s kampaní proti HTTP té mlamojské blbosti kolem sebe vidím v poslední době spoustu. Připomíná to metody EU, různých těch levičáckých Junckerů a jiných blbů, kteří nejlépe vědí, co je pro lidi dobré. Smutné...

[xm]

Ve výchozím stavu to ale prohlížeč umožnit nesmí, protože jinak je to krásná cestička pro útočníky. Ale jsem rozhodně pro to, aby byla zachována možnost - třeba spustit browser v nějakém výstražném červeně svítícím UNSAFE módu

[TM]

Ve výchozím stavu ať to je klidně vypnuté. Ale, kromě blbosti uřvaných radikálů, neexistuje jediný rozumný důvod, proč HTTP z prohlížečů odstraňovat, aby to nemohli používat ani ti, kteří vědí, co dělají. Bohužel např. v Mozille vše spěje k tomu, že ta blbost zvítězí. Snad aspoň v Seamonkey v poměrně nedaleké budoucnosti HTTP zůstane...

[j]

Jasne, takze bude miliarda bfu hledat postup jak si to zapnout ...

Laskave si uvedom, ze lidi bezpecnost NEZAJIMA. A totalne imbecilnim chovanim browseru, coz je aktualne nepouzivalenjsi aplikace vubec, ji jeste vic nabouras.

Mam tu par krabek s openwrt ... kde ze si mam stanou aktualizaci? Posledni je z roku 2011 ... aktualne se chofoxem da pripojit pouze a vyhradne na http. Https prej totiz neni bezpecny, a pripojit se nanej neda, protoze chofox uz nepodporuje to sifrovani ktery to umi ...

Browser se proste MUSI chovat tak, ze bez kecu ve vychozim stavu zobrazi VSE. To je presne to, co od nej uzivatel chce. A teprve kdyz uzivatel bude CHTIT bezpecnost resit, tak by mu mel umoznit zapnout co kde a jak. S tim ze mozna sem ochotnej jeste akceptovat to, ze nekde v DNS si browser precte doporuceni provozovatele - treba info o tom, ze ma pouzit https s danym otiskem klice. A teprve PAK muze (pokud to uzivatel nevypne) browser zobrazit varovani.

... uzivatel totiz NIKDY zadny hlaseni cist nebude, pokud ho to vopruzuje porad, tak to maximalne bude porad odklikavat, co je na tom k nepochopeni? A pokud mu neco nepude otevrit, tak je rozbitej ten browser. A to naprosto neoddiskutovatelne. Vis co ti ten bfu udela? Proste si nainstaluje tu verzi, se kterou mu to slo, a novejsi uz NIKDY instalovat nebude. A v zadnym pripade nebude pouzivat 2 nebo 3 nebo 4 verze browseru

... takze mis to toho, aby sme tu meli stadecko bfucek s aktualnim browserem pouzivajici obcas ne uplne bezpecny zpusoby pristupu kamsi, tak tu budeme mi miliardovy stado bfucek s miliardou deravych browseru, ktery zcela planovite a umyslne povypina vsechny systemy aktualizaci. A to je zcela jiste ten neuzasnejsi vysledek. To se totiz hned tak nekomu nepovede ... teda v posledni dobe se tomu blizi M$ se svejma widlema.

[xm]

A teprve kdyz uzivatel bude CHTIT bezpecnost resit, tak by mu mel umoznit zapnout co kde a jak.

Přesně díky tomuhle přístupu co předvádíte bylo mass surveillance pro NSA a GCHQ tak jednoduché. Běžný uživatel totiž bezpečnost řešit nebude, co není zapnuté by default jako by nebylo. A pokud bezpečnost řeší jen minimum lidí, pak v té kupce sena září jak plutoniové jehly pod dozimetrem.

Děkuji, neprosím.

[Conscript89]

Mam pocit ze reagujes na spatny prispevek.

[k3dAR]

Chtějí doma na Intranetu používat starší zařízení

co ti brani pro pristup na starsi zarizeni pouzit starsi/jinej prohlizec?

[Jendа]

Nefunkčnost starého prohlížeče a jeho závislostí na novém systému.

[k3dAR]

? no tak Jendo ;) pokud je rec o "nova verze prohlizece firefox prestane podporovat vlastost X", tak proste pouzijes tu predchozi kterou ve svem systemu ted (pak) mas... nebo pouzijes jiny prohlizec ktery tu vlastnost X neprestal podporovat ani v nejnovejsi verzi...
pokud bys prece jen chtel prohlizec starej 20let, v systemu co vyjde za 5let, na krabicku starou 10let... tak muzes pouzit nejakou formu virtualizace a opet mas "za par minut" "problem" vyresen ;)

[k3dAR]

btw: sem stahl Opera 9.64 z roku 2009, rozbalil a pustil primo v aktualnim Archu...

[j]

To bezne funguje zejo, zkousel si to? Vylozene bfu friendly co ... no non si poradi, pouzije ten starsi prohlizec, ale i k pristupu na web, co by ne zejo ... sak ono to taky funguje.

Vlastne je to lepsi ... on ten starej prohlizec sezere polovinu pameti, polovinu mista na disku ... a reklamy v nem nefungujou ... bingo. Mame tu reseni.