Nevyžádané certifikáty pro google.com a www.google.com od Thawte (diskuse)

[allstar]

Okamžitě vyřadit Thawte se seznamu důvěryhodné certifikační autority ze všech prohlížečů a jiného SW. Plus zapltatit odškodné Googlu.

[David Indra]

+1

[Slavko]

Okamžite prestať používať Google, odstrániť zo všetkých prehliadačov a zaplatiť odškodné všetkým používateľom :P

[David Indra]

+1

[Jardik]

K cemu jsou googlu certifikaty, kdyz privatni stejne predhodi NSA ke spehovani. Jen pro ten pocit bezpecnosti spojeni pro uzivatele.

[M]

Dost serverů (i Google co koukám) už dneska používá šifry zajišťující perfect forward secrecy.

Tj. při znalosti privátního klíče certifikátů by nemělo být možné pro třetí stranu zpětně dešifrovat zachycenou komunikaci, ta je navíc zabezpečená (EC)DHE.

Samozřejmě jen za předpokladu, že ten server samotný nemá nějaký backdoor...

[xm]

Google v Chromiu/Chrome provádí pinning (nejen) svých certifikátů, takže i kdyby si NSA nechala podepsat od CA vlastní certifikáty na MITM, s moderními prohlížeči jim to na spoustu webů neprojde (Mozilla jestli se nepletu ten seznam staticky pinnovaných klíčů od Googlu přebírá, takže snad i Firefox je chráněn). Takhle kdysi Google odhalil když tuším Turecko dělalo MITM na jejich servery s falešným certifikátem (byť podepsaným reálnou tureckou CA).

[xm]

Tady je odkaz na ten případ s Turky: Rogue Google SSL certificate not used for dishonest purposes, Turktrust says (vyjádření Turktrust je dobrý ROFL )

[xm]

A tady je seznam pinnovaných certifikátů: https://src.chromium.org/viewvc/chrome/trunk/src/net/http/transport_security_state_static.json

Kromě certifikátů Google jsou mezi nimi i Tor, Cryptocat, Twitter a Dropbox.

A samozřejmě libovolná webová stránka může používat HSTS + HPKP, pak u ní pinning bude fungovat taky a bezpečnostní model se mění na TOFU (stejně jako je tomu třeba u SSH).

[Petr Tomášek]

Co to meleš! Google sám o sobě je horší než NSA (koneckonců, NSA jenom dělá svou práci...).

[d.c.]

Takže, když nechávali Ti hodní od Gůglu u thawte duplikáty klíčů a certifikátů pro Společnost Proti Kryptografii, někdo to skopal a dal to nepravému poslíčkovi?