Firefox 51 nebude důvěřovat certifikačním autoritám WoSign a StartCom

Mozilla již nějaký čas řeší, co s certifikačními autoritami WoSign a StartCom. Včera bylo na blogu Mozilly věnovaném bezpečnosti oficiálně oznámeno, že Firefox 51, jenž by měl vyjít 24. ledna 2017, již nebude důvěřovat certifikátům vydaným těmito certifikačními autoritami po 21. říjnu 2016.

25.10.2016 09:30 | Ladislav Hagara | Zajímavý článek

Komentáře

[xm]

Takže evil autority budou antidatovat certifikáty? To je zase polovičaté řešení, měli je prostě natvrdo vykopnout s okamžitou platností a šmitec.

[Josef Kufner]

To by nadělalo dost velkou paseku u všech nynějších uživatelů. Lepší to nechat takle na půl a po čase, kdy už existující certifikáty vyprší, nebo alespoň většina z nich, to zatrhnout úplně.

[Heron]

To by nadělalo dost velkou paseku u všech nynějších uživatelů.

Tak to je potom otázkou, co ti uživatelé vlastně chtějí.

[pavlix]

Chtějí fungovat jako doposud. :)

[kyknos]

ani ne, uz ted jsou chybove hlasky a buzerace ze strany prohlizece ohledne certifikatu (typicky na webech, kde me bezpecnost vubec nezajima) k nasrani

[j]

On uzivatel predevsim chce, aby se mu ten web bez debilnich kecu otevrel, protoze nejakej certifikat natoz CA je mu uplne u rite. A jestli ho neco dokaze vazne nasrat, tak nesrozumitelna hlaska kterou mu ITk dekryptuje jako "zahod tu svoji krabku, protoze prej uz je moc stara na to, abys ses na ni moh pripojit".

[pavlix]

Jenže potom, už je vykopnou ne jako chybující ale jako podvodníky. :D

[Heron]

Asi tak. Osobně toto řešení považuji za druhé nejhorší možné (1. je potom nic nedělat). Uznávají se crt z období, kdy se prokazatelně děly nepravosti a neuznávají se crt z období, kdy už se snaží to dělat lépe a jsou pod mnohem větším dohledem. Pokud těm autoritám chtějí pomoct (což nerozumím proč by měli dělat), tak by bylo lepší uznávat crt po nějakém datu. Nikoliv do. Ale nejlepší řešení je neuznávat nic a prostě dát ty CA do nedůvěryhodných.

[j]

Ne, jediny reseni je vsechny CA z browseru vykopnout a nechat proste browser bez kecu otevrit libovolny ssl spojeni, presne stejne jako to delaji MTA. Na tzv "bezpecnosti" to nezmeni absolutne vubec nic.

A teprve kdyz uzivatel bude chtit, necht si prida nejakej cert nebo CA - striktne navazany jedno i druhy na konkretni domenu(y).

[Conscript89]

Jasne, a premyslel jsi nekdy proc to tak je? Nebude to nahodou tim, ze emaily jdou pres nekolik SMTP serveru nez dorazi ke svemu cili a cely proces je neinteraktivni, takze se ani nelze dotazat uzivatele jestli nejakemu self-signed serveru po ceste chce verit?

[j]

Anepremejslel si nekdy o tom, ze kdyz si nekdo cte nejaky idnes nebo ihned nebo vibuhco, tak je mu v 99,99999% uplne uprdele, jestli to pouziva ssl? A uz vuebc ho nezajina nejaka pseudoduveryhodnost nejakyho certifikatu o kterym stejne netusi kde se vzal.

[xm]

Přesně díky takovým ko****m s názory jako máš ty to měla NSA a GCHQ s mass surveillance tak jednoduché. Ještě že situace se díky Snowdenovi změnila a mezi lidmi kteří to dokáží ovlivnit již je tvůj názor naprosto menšinový.

[Xerces]

Co kdyby browser v defaultu důvěřoval jen certifikátům/klíčům naimportovaným od uživatele? A bylo by po srandě.

[gsnak]

+1

[Tany]

To je ještě horší varianta. 95 procent populace nemá o těchto věcech ani ponětí, ideálně, když se do toho nehrabou a fungují jim ty jejich Internety.

[pavlix]

Tohle řeší DNSSEC+TLSA.

[Andrej]

Na mém serveru například ano, zatímco u 99% webů zatím pořád ještě ne.

[pavlix]

Chtěl jsem napsat teoreticky řeší, problém je, že je málokdo je v tuhle schopný používat na klientské straně.

[mirec]

V našej posratej krajine žiadne DNSSEC nemáme. Technická otázka, nechcete vy v Česku vymeniť správcu nádodnej domény za sk-nic nech nemusím závidieť, že u vás to funguje?

Čo je potrebné spraviť na to aby sa sk-nic odvolal? Žijú vôbec ešte? Nezavraždil ich zatiaľ nik? Ak ešte žijú tak prečo sakra prečo? Za čo ma tak trestajú? AAAAAAaaa seriem na to dnes, idem na pivo.

[pavlix]

Měli jste zůstat součástí Československa, stejně si dodnes v zahraničí nezvykli, že tomu tak není.

[Peter Golis]

Neveril by si to pochopenie v očiach Škóta, Severného Íra alebo napríklad Baska.

[pavlix]

Nevěřil bys, že stále ještě platí, že s tebou nemám v plánu ztrácet čas.

[Peter Golis]

Tým priznávaš, že tvoja reakcia nebola stratou času.

[mirec]

Mohli ale to by sme vám posrali čo by sa dalo a ešte hádzali vinu na vás ako je to u nás vo zvyku.

[Ján Dráb]

a dokonca sveta by sme si jeden druhemu vyhadzovali na oci co sme obetovali a co ten druhy spravil zle.. ako nefunkcne manzelstvo :D od chvile prebratia idei, ze slovaci a cesi su samostatne narody(moravaci neviem, nerozumiem dodnes co su/kto su) to nemohlo fungovat.

[Heron]

Tak podle moraváka za všechno špatné mohou pražáci. Akorát to má tu chybu, že pražáci vlastně neexistují a všechno je to náplava z moravy.

[Conscript89]

Nebo ze Slovenska :)

[PikačuShy]

Tak slovenské imigranty za pražáky nikdo nepovažuje. To už snad muslimové se integrují lépe.

[Conscript89]

Ze je jeden v jejim cele :)

[Slavko]

Do 1992 som pôsobil v Česku. Takéto dristy boli časté a končili vždy rozbitou hubou (nie mojou)!

[odin]

Ano, agresivita je u imigrantů z východu charakteristická

[pavlix]

+1

[pavlix]

Ano. Vždycky se najde alespoň jeden řádný slovenský kokot, který mě přesvědčí, že to rozdělení mělo přecijen něco do sebe. ;)

[Peter Golis]

Trošku upresním. Výraz "Ty Kokot" neznamená to isté ako výraz "Ty Vole". Toľko k agresivite, a neporozumeniu. Respektíve, k provokovaniu na ktoré sa nachtyal Slavko, a v ktorom pokračuješ.

[pavlix]

Výborně, tak už dva, jeden lepší než druhý.

[Peter Golis]

Som rád, že si si to priznal.

[pavlix]

No dobře, ale to si můžou podat ruce s většinou české republiky. Já to pořád říkám, že bysme měli mít hlavní město v Brně. Cizinci budou dál jezdit do Prahy, brňáci budou hrdí na to, že temu všemu šéfujú, a normální lidi nepoznají rozdíl.

[Pavel 'TIGER' Růžička]

Brno? Kde to je?

[pavlix]

Na tom pro tento účel zase tak moc nesejde, hlavně že je to dostatečně daleko.

[Josef Kufner]

Metrem na Florenc a pak jedna stanice autobusem.

[Conscript89]

Hehe, zajimava myslenka, to me nikdy nenapadlo :D

[Jardík]

DNSSEC neřeší vůbec nic. Zase se za vás bez vás rozhoduje, čemu věřit.

[j]

Neresi, ale redukuje megapruser na problem ...

[xm]

HPKP ten megaprůser redukuje daleko více, než by ho kdy dokázalo zredukovat DANE. Ale používat obě dvě řešení najednou (jak DANE, tak HPKP) by samozřejmě bylo ještě lepší (HPKP by mohlo pomoct stejně dobře u DANE, jako u klasického modelu CA).

[trekker.dk]

Akorát HPKP je dost náročné nasazení a hlavně na nervy, protože když něco po...ete, tak si odstavíte web na několik měsíců.

[j]

To je naopak naprosto JEDINA varianta. Protoze v tenhle okamzik NEEXISTUJE zpusob, ja by uzivatel mohl dosahnout realne bezpecnyho pripojeni za pomoci certifikatu. Ani kdyby chtel, jako ze nechce a nezajima ho to.

Protoze i kdyz si nakrasne ulozis primo konkretni cert mezi duveryhodny, je ti to hovno platny, protoze zcela libovolna CA z tvyho seznamu natlacenyho odnekud zvenku ... muze zcela kdykoli vydat cert pro stejnou domenu, a tvuj browser ho zcela s klidem a spokojene sezere. Zato u selfsign se muze posrat.

[Andrej]

To by vyžadovalo základní vzdělání hodné 21. století, nikoliv vzdělání koncipované pro 19. až 20. století, které dnes školství poskytuje.

A mimochodem, komu přesně by to prospělo? Když nakoupím v 5 E-shopech za den, musel by mít buď každý z nich v pořádku DNSSEC a TLSA (a ještě bych musel neochvějně věřit, že DS záznamy u všech správců domén od kořenové až po doménu E-shopu jsou opravdu v pořádku a v dobrých rukou a DNS mi zkrátka nekecá), nebo bych musel do každého z nich osobně zavítat a vyptat si certifikát na fyzickém médiu, což je neproveditelný nesmysl, něco jako cesta kolem světa kvůli většímu nákupu u pár E-shopů, kde třeba nakoupím jednou za život.

Výsledkem by tedy bylo, že by každý jen tak mechanicky proklikal všechna varování, jen aby se na weby dostal. A pak najednou bezpečnost nahrazuje pouhé zdání bezpečnosti, což je stav, který může být nakonec rizikovější než nešifrovaný web.

[trekker.dk]

Školství nemůže za to, že většina lidí počítač považuje za nástroj a chce jenom, aby "to" nějak fungovalo. A u většiny lidí je to docela oprávněný požadavek, u auta taky po řidičích nikdo nechce, aby věděli, jak funguje brzda - chce se po nich, aby na ni uměli šlápnout.

[kyknos]

On to taky je nastroj

[lazywriter]

Vsak taky dost dlouho trvalo nez jim prestalo hrozit, ze se pri prudkem brzdeni (resp. narazu) nenabodnou na tyc rizeni. Jeste v autech ze 70. let mate proti sobe namireny solidni ocelovy kopi. Tolik o bezpecnosti.

[j]

To by me zajimalo, jak se na ten eshop dostanes, kdyz neveris DNS ... lol

[j]

Jop, jen tak mimochodem ... narozdil od toho, ze nejaka CA vyda nejakej cert k nejaky domene ... muze zmenu v DNS jeji provozovatel velmi snadno a rychle detekovat, coz sice neznamena, ze ji muze zabranit, ale muze (treba) informovat svy zakazniky.