Firefox také odstraní informace o EV certifikátu z adresního řádku (diskuse)

[/dev/random]

Aké prekvapivé, Firefox a Google Chrome je ilúzia možnosti výberu. Firefox = Google Chrome

[j]

Koho chleba jis, toho pisen zpivej ... davno je to chrofox. A jak vidno penez i pri svym nulovym podilu maji na rozhazovani, kdyz muzou resit cypoviny jako zmenu loga.

Ne ze by ta informace, ze nekdo zaplatil vic penez za certifikat, byla k necemu dobra.

[Joelp]

Mozilla už dávno nemá jako hlavní zdroj prostředků Google.

[j]

Jisteze, a proto je to zdaleka nejvetsi zroj prijmu ze?

https://assets.mozilla.net/annualreport/2017/mozilla-fdn-2017-fs-short-form-final-0927.pdf

540M z 560M za vyhledavaci engine ... a kdopak jim to asi tak posila. Specilene kdyz je guugl jako default, a navic i byt musi, protoze to tak maji zasmluvneny ... chmm. Takze neblabol soudruhu.

Stejne tak guul plati miliardy jabkum, aby tam byl v browserech default taky.

Otazka samozrejme je, jestli guugl pristi rok ten kontrakt chrozille obnovi, protoze pokud ne, tak pujde dokopru poradnym fofrem (a dobre jim tak).

[rastos]

Takže browser nebude brblať, keď ten certifikát mať nebudem?

[Harvie.CZ]

nepamatuju si, ze by nekdy brblal kvuli tomu, ze nemas ev certifikat...

[rastos]

Chrome will mark all HTTP sites as ‘not secure’ starting in July 2018.

Firefox follows in Chrome's footsteps and will mark all HTTP pages as 'not secure' Jul 2019.

[Vladki]

Jde o to ze nebude rozlisovat mezi EV a obycejnym certifikatem. Bez certifikatu bude brblat, a ocekavam ze nejpozdeji ve verzi 100 bude nesifrovane http zcela zablokovano

[nobody]

sa smejes, ale potom bude sranda pripajat sa na routre a switche...

[A]

Jestli je Chrome skutečně opensource, neměl by ho být problém během hodiny patchnout a během deseti minut zkompilovat.

[Salamek]

chtel jsi rict "behem deseti munut patchnout a hodiny zkompilovat"?

[jiwopene]

Spíš chtěl říct „během hodiny patchnout a deseti hodin zkompilovat.“

[A]

Přesně to jsem myslel.. On člověk může například zjistit, že ve zdrojácích Firefoxu nejsou distribuované některé API keys.. A taky bychom mohli začít řešit, jak těžké je držet si svoji vlastní opatchovanou verzi Firefoxu... Přirozeně s integrací všech bezpečnostních aktualizací.

[Josef Kufner]

Routery, switche a podobné krabičky by si mohly při prvním spuštění po resetu do továrního nastavení vygenerovat nový neexpirující (krabička nezná datum) self-signed certifikát. Teď ještě dodělat slušnou podporu self-signed certifikátů do prohlížečů.

[trekker.dk]

Ale proč? Routery, switche a podobné krabice mám na privátní síti, ke které se přistupuje šifrovanou VPN.

[Jendа]

Podle mě už jsou cíle „zajistit že přistupování do banky/webmailu/whetever je nejbezpečnější jak je to rozumně možné“ a „managovat staleté krabičky se spoustou quirků“ dost vzdálené a browser se zaměřuje na to první. Nemělo by se na managování krabiček v interní síti používat něco jiného než browser kterým běžně lezeš na veřejný „nebezpečný“ internet?

[trekker.dk]

Nemělo by se na managování krabiček v interní síti používat něco jiného než browser kterým běžně lezeš na veřejný „nebezpečný“ internet?

Dobrá odpověď je druhý odstavec v #21 Ale jinak - proč? Rozlišit nebezpečný internet od bezpečného intranetu podle mě lze docela snadno - určitě na IPv4 a i na IPv6 by se šlo orientovat podle toho, jestli je ta krabice na stejném /64 subnetu - když už tam bude nadelegovaný směrovatelný rozsah - čímž je většina případů pokrytá.

[Josef Kufner]

Na WiFi nic jako bezpečný intranet neexistuje.

[j]

Sak ony to taky uz desitky let delaji ... ale nepripojis se na ne, protoze to pripojeni pry neni dost bezpecny, pripadne nebyl nalezen zadny dostatecne bezpecny algoritmus. Adminuju takovych desitky. A bude to jen horsi.

Nemluve o tom, ze brosery se ze selfsign muzou posrat taky.

[Heron]

pripadne nebyl nalezen zadny dostatecne bezpecny algoritmus

O tom jsme se hádali několikrát a asi ještě několikrát budeme. Proto tam uvádím ty roky. To opravdu má někdo router z roku 1995? Adminovatelný jen přes webové rozhraní? A na tehdejším SSL2 Asi ne, co.

Všechny routery, o kterých se bavíme, jsou jsou rozhodně mladší než z roku 1999 a určitě i 2006. To znamená, že ty routery, pokud jsou takto staré a používají jen SSLv2, to dělají od počátku špatně. Po 13 letech už to někdo konečně zarazí (podle mě velmi správně) a vy (množné číslo), místo toho abyste nadávali na výrobce routerů, který to už 13 let dělá špatně, nadáváte na výrobce browserů, který fakticky moc jiných možností ani nemá.

Pokud to někdo v tom roce 2006 udělal podle tehdejších doporučovaných standardů a to včetně sady šifer, tak dodnes nemá problém a ještě dlouho mít nebude.

Nehledě teda na to, že administraci síťových prvků pomocí http považuju za zhovadilost. Mohou mít vlastní konfigurační program, ssh nebo seriový port (který teda typicky stejně mají).

[trekker.dk]

nebo seriový port (který teda typicky stejně mají).

Zato počítače typicky ne, takže pokud byste chtěl ten switch spravovat přes sériový port, tak v serverovně potřebujete hardware navíc. A třeba SNMP přes to stejně nedostanete.

[Jendа]

To znamená, že ty routery, pokud jsou takto staré a používají jen SSLv2, to dělají od počátku špatně.

Bavíme se i o SSLv3 a teď vlastně už i TLS 1.0 a 1.1. Tj. třeba o openssl z CentOSu 5 (vydání 2007). Takže i po roce 2006 se to dá dělat „blbě“. Ale to je detail (i když „krabičky“ z té doby kolem ještě jsou, třeba Linksys PAP2).

Mohou mít vlastní konfigurační program

Jo, to už jsem taky zažil. Program je buď x86 binárka pro Windows, nebo javová aplikace, která nefunguje s aktuální Javou. V moderní podobě je to pak appka na smártfoun v cloudu. To už radši to doprasené webové rozhraní…

ssh

SSH postihl podobný osud jako HTTPS (hardcoded dolní limit na délku klíče/DH, vyhození starých algoritmů). Nemám jim to za zlé, komu by se tohle chtělo udržovat, že.

[Heron]

Bavíme se i o SSLv3 a teď vlastně už i TLS 1.0 a 1.1.

Ano.

Tj. třeba o openssl z CentOSu 5 (vydání 2007).

Ano. A CentOS měl vesele povolenu šifru RC4 v konfigurácích Apache a to v době, kdy ji snad žádný prohlížeč už nepodporoval.

Jo, to už jsem taky zažil. Program je buď x86 binárka pro Windows, nebo javová aplikace, která nefunguje s aktuální Javou. V moderní podobě je to pak appka na smártfoun v cloudu. To už radši to doprasené webové rozhraní…

To jen ukazuje, jak tristní stav to je.

SSH postihl podobný osud jako HTTPS (hardcoded dolní limit na délku klíče/DH, vyhození starých algoritmů). Nemám jim to za zlé, komu by se tohle chtělo udržovat, že.

Vždycky mě překvapí jak někoho překvapí, že v IT a šifrování zejména není nic napořád. (Tím teď nemyslím tebe.) Jsou schopni obhajovat MD5 tak urputně a dlouho, že si ani nevšimnou, že (krom toho, že je prolomená, což je vůbec netankuje protože je to prý jen teoretické - naposledy zaslechnuto letos) je prostě slabá (128b) a mezitím je od roku 2010 slabá i SHA1 (160b) (krom toho, že i ona to má nahnuté). Potom je vlastně otázka, proč ty funkce chtějí s takovou radostí používat, když oba hlavní důvody použití kryptograficky silné funkce mezitím vyprchaly (tj kdyby nebyly prolomené, tak jsou slabé). Asi z nostalgie. Prostě jakékoliv šiforvání přenosového kanálu se musí dělat modulárně a výměna sady šifer / hashe je něco naprosto běžného. Stejně jako navyšování velikosti klíčů a Diffieho s Hellmanem.

[xxx]

Vsak proc by tu MD5 neobhajovali. Pokud ji pouzivaji tam, kde vlastne vubec zadny hash nepotrebuji, pak jejich motivace se zabyvat jejim nahrazenim, je proste 0.

[Vladki]

To je sranda uz ted, nejenom kvuli http/s. Krabicka sice umi https, ale vyprsel self-sign certifikat, a navic umi jen SSLv2. Dale k ovladani potrebuje Java applet, Flash a nebo nejakou konkretni verzi internet exploreru ani moc starou ani novou.

[Heron]

Tak alespoň víte jaké routery od jakého výrobce už nikdy nemáte kupovat.

a navic umi jen SSLv2

Slušné routery dostávají aktualizace, takže přechod na TLS1 (1999) nebo TLS1.1(2006) nemůže být přece žádný problém. (A pokud by někomu vadilo takto mimořádně zastaralé TLS, tak tu máme verzi 1.2 z roku 2008 - pokud ten router máte 11 let a výrobce už přestal vydávat aktualizace, tak je nejvyšší čas se poohlédnou po novém modelu.)

[trekker.dk]

Router má routovat, tj. přehazovat pakety zleva doprava a zprava doleva. Pokud to dělá, onanie tvůrců webových prohlížečů přece není důvod ani "nejvyšší čas" poohlédnout se po novém modelu.

[d.c.]

Jasně, takove Brokády dostávají aktualizace každý týden po celou svou živnotnost. Jo, jistě je snadné něčím nahradit.

[j]

To jiste, trebas cisco, aruba, dell, hp, emc, netgear, brocade, ... mam pokracovat?

A mame to ... telnet/ssh1/http/flash/java (cela plejada verzi)/ie only (vcera koupeny switch aruba)/https rc4/...

Mimochodem, kuprikladu to ssh1 = cisco IOS z roku 2016, tzn rozhodne je to zraly tu krabici za 1/2M hodit do popelnice. Https to neumi vubec.

[Heron]

To jiste, trebas cisco, aruba, dell, hp, emc, netgear, brocade, ... mam pokracovat?

Klidně můžeš. A co jako? Tím chceš říct, že když něco dělá špatně větší počet, tak je to vlastně dobře? Když bude 90% pekařů do těsta sypat arsen, je to vlastně v pořádku?

kuprikladu to ssh1 = cisco IOS z roku 2016

To se má čím chlubit.

In 1998 a vulnerability was described in SSH 1.5... In January 2001 a vulnerability was discovered ...

Asi si toho za těch 18 let nestačili všimnout. Víc nevím co k tomu napsat. Jestli používáte výrobek od výrobce, který 18 let ignoruje chyby, tak si patrně libujete v problémech s připojením na ně.

[trekker.dk]

To opravdu nevidíte rozdíl mezi zařízením připojeným do internetu a zařízením, které do internetu připojeno není, nemělo by být a přístup k němu je omezen pro vybranou skupinu osob už na úrovni sítě?

[Heron]

Vidím. Ale to, že na něco není vidět neznamená, že se to může udělat špatně a ještě vyžadovat, aby toto špatné řešení podporoval prohlížeč, který je určen pro prohlížení webu na širokém internetu.

Pro mě za mě si na té vyhrazené síti za VPNkou provozujte třeba telnet. To není nic proti ničemu. Ale chtít, aby prohlížeče internetu poskytovaly prokazatelně nebezpečné protokoly, je úlet.

[trekker.dk]

Ale chtít, aby prohlížeče internetu na privátní síti (kterou lze snadno rozlišit podle IP) zpřístupnily (nechci nic navíc, jenom přístup k tomu, co ten prohlížeč umí a k čemu momentálně přístup mám) prokazatelně nebezpečné HTTP, úlet není.

[j]

Ty ses asi uplne slepej ... podobny krabice, at uz za miliony nebo za desetikoruny, to je totiz uplne jedno, maji uplne VSICHNI. A pokud ma nekdo doma krabici, ktera mu trebas splachuje hazlik, nebude ji vymenovat kvuli browseru, jehoz retardovany vyvojari se rozhodli, ze http neni dost khuul. Radsi si necha takovej browser, se kterym mu to splachovani funguje. TECKA

Z PRESNE stejnyho duvodu maj win7 aktualne 30%. Protoze normalni lidi narozdil od tebe nevyhodej funckni tiskarnu proto, ze se kokoti v M$ rozhodli, ze ovladace pro ni nejsou dost khull.

A proto budou VSICHNI pouzivat stary a deravy verze, protoze jim fungujou (nikdo z bfu si nebude udrzovat 10 verzi browseru, prepinat os podle toho co chce zrovna spustit ...). A mimo jiny PRESNE proto, atakuje chrofox 0%.

Exaktne stejna situace pak je u telefonu, kde se da rit, ze 99% z nich je neaktualizovanych a deravych. Jo, jiste, mohli by je lidi zahodit, a chodit si co mesic kupovat novej ze?

[Heron]

Mě se líbí, jak za všechno, podle tebe, mohou jen výrobci browserů a nikdo jinej.

To, že nějaká krabička používá flash, java applety, starý šifry, nebezpečný protokoly, to prostě přejdeš a je ti to asi úplně jedno. Ale když si svobodně se vyvíjející prohlížeč rozhodne něco z toho nepodporovat, tak je oheň na střeše. Tohle uvažování fakt nechápu.

Protoze normalni lidi narozdil od tebe nevyhodej funckni tiskarnu proto, ze se kokoti v M$ rozhodli, ze ovladace pro ni nejsou dost khull.

Totéž v bledě modrým. Výrobci tiskáren vůbec za nic nemůžou. Jen ten zlej MS. Tak hele, já používám tiskárnu ve W10, která má ještě paralelní port (mimo USB1). Tiskne. Stejně jako v linuxu. Pod Maxovým blogem někdo psal, že jsou podporované i jehličkové tiskárny. Na YT byl někdo nadšený z toho, že mu v W10 jede nějaká stará SCSI karta do isa slotu (přes převodníky) s interními ovladači od MS, nic nemusel instalovat.

Pokud má někdo tiskárnu, kterou její výrobce podporuje jen v jedněch* verzích Win, tak opět, ať si zapamatuje, co už nikdy nemá kupovat. (*Nebo ta tiskárna má tak obskurní protokol, že ani obecný ovladač nelze použít.)

Takže tak. Ale nic, dál si kupuj v roce 2019 krabičky, co podporují jen SSLv2 a nadávej na výrobce prohlížečů. Tím tomu totiž fakt pomůžeš. Hlavně nedělej žádnej tlak na výrobce těch krabiček.

---

Jenom abych ilustroval, jak je ta situace absurdní, tak: s vmware jsem začal někdy v době vmware server 1.0. To byla nativní appka (nativní klient). VMware server 2.0 měl ovládání přes web. vmware esx až do řady 3.5 mělo nativního klienta napsaného v C#. Několik verzí přeskočím. Vmware vsphere 6.5 má jen web a to ve dvou verzích: HTML5 kde je asi tak polovina potřebné funkcionality a HTML Flash verzi. Dá se na to připojit i přes vmware workstation (ale to k tomu nedostaneš a musíš si to koupit zvlášť), kde je ale asi tak 5% možností Flash verze (prakticky se tam dá dostat akorát do nastavení konkrétní virutálky a na její monitor).

Za těch cca 20 let je možná 20 verzí různých rozhraní. A to ani nepočítám to, že první verze vcenteru pro linux byla postavená na OpenSuSE a používala DB2, pozdější verze jsou asi RHEL (CentOS) a DB mají PostgreSQL.

To je společnost s miliardovými rozpočty a za dvacet let není schopná se rozhodnout na ovládacím rozhraní pro svůj klíčový produkt (natož pak na backendu). Stejně jako to cisco. Opravu je pro cisco nemožné udělat plně funkční rozhraní?

Takže vmware utratilo stamiliony dolarů (o tom prostě nepochybuju) za vývoj asi 40 různých GUI v 50 různých frameworkech a ani jedno pořádně nefunguje. Přičemž celých těch 20 let existuje řešení. Kdyby to napsali v javě a použili nějaký svůj toolkit, tak stačí distribuovat jeden jar a běží to a vypadá to stejně jak na win, tak na linuxu, macu, freebsd a prostě všude. Stejně se ten klient připojuje na porty, co mu exportujte server (lokálně běžící, esx, nebo vsphere). Ne, místo toho mám pro 6.5 tři klienty (Flash, HTML5 a Workstation) a vedle toho pro starší verze i ty nativní klienty v C#. Tohle přece není normální. A ne, na vině fakt není browser. Tohle všechno jsou výrobky stejné firmy, co dodává tu virtualizační technologii, takže se nemají na koho vymlouvat.

[j]

Jo to jiste, kdyby to napsali v jave, tak to musej kazdej rok prepisovat pro aktualni verzi, nebo by to dopadlo trebas jako administrace brocade, ktera nefunguje na nicem novejsim nez java6. A navic je to kombinovany s webui, takze krome ty javy je k tomu treba jeste odpovidajicne starej browser.

Ty ses proste mamlas, kterej nedokaze pochopit, ze tim co ty kreteni s browserama delaj, se situace radove a vyrazne zhorsi. Pricemz bezpecnost se naprosto nijak nezlepsi ani tam, kde to (zatim) funguje. Prave naopak.

Vyrobce tiskary udelal driver, M$ zmenil format driveru. Kdo za to muze? Vyrobce tiskarny? Jo, jiste, urcite ma ty drivery prepisovat co 1/2 roku kdyz soudruzi v M$ vydaj dalsi nefunkcni pokus na tema os. Protoze POKAZDY aktualizaci pripadne pracne naimplantovany drivery widle SMAZOU.

A mimochodem ... kdyz si DNESKA koupim krabici, ktera ma TLS 1.3 ... je mi to naprosto HOVNO PLATNY, protoze ZEJTRA nejakej kokot prohlasi, ze podporovat se bude nejmin 1.4.

Apropos, taky by se melo nejlip ze vseho vyhodit WPA 2, je deravy. Coze? Ze wpa 3 neumi naprosto nic? No a?

[Heron]

Jo to jiste, kdyby to napsali v jave, tak to musej kazdej rok prepisovat pro aktualni verzi

Pro aktuální verzi serveru jistě, ale pro aktuální verzi javy nikoliv. Dodnes používám programy napsané v Java 1.4.

nebo by to dopadlo trebas jako administrace brocade, ktera nefunguje na nicem novejsim nez java6

To se mají čím chlubit.

A navic je to kombinovany s webui, takze krome ty javy je k tomu treba jeste odpovidajicne starej browser.

A za to teda může teď kdo? Asi Java, že jo. Určitě ne Brocade.

Jo, jiste, urcite ma ty drivery prepisovat co 1/2 roku kdyz soudruzi v M$ vydaj dalsi nefunkcni pokus na tema os.

Ano, a proto provozuju starou tiskárnu s LPT portem ve Win10 a žádný driver jsem instalovat nemusel, Widle to poznaly a zprovoznili do 10s od připojení na USB. Protože vůbec nejde použít obecný Postscript. Nene, je potřeba používat co nejobskurnější protokoly a vydat drivery, co neprojdou přes QA a ukončit k nim ze strany výrobce okamžitě podporu. Protože jedině tak bude všechno navždy fungovat.

kdyz si DNESKA koupim krabici, ktera ma TLS 1.3

Takže reality check:

SSL2   - 1995 - 2011 = 16 let
SSL3   - 1996 - 2015 = 19 let
TLS1   - 1999 - 2020 = 21 let
TLS1.1 - 2006 - 2020 = 14 let
TLS1.2 - 2008 - zatím se EOL neplánuje. Funguje 11 let.

To jen tak na okraj k tomu ZEJTRA. Tedy, když se někdo v libovolné době vývoje té krabičky drží aktuálních doporučení, tak mu to vydrží cca 15 let. Pokud použije více než jeden protokol, tak klidně i 20 let. (Bez update.)

Ano, pokud má někdo zrovna smůlu, že svoji "nejlepší krabičku na světě"™ vyrobí zrovna v roce 2007, tak mu to bude fungovat jen 13 let. Pochopitelně by stačilo, kdyby ji podporoval jen rok a přidal tam podporu 1.2 a fungovalo by mu to 20+ let. Ale tak proč by měl rok podporovat svůj produkt, že jo. První verze software, která nespadne, je dobrá a dá se vypálit rovnou na ROM.

[j]

Jelikoz ty tuposlave neni java kompatibilni pres ruzny verze, tak vazne nevim o cem tu zvanis, zadna javova aplikace nefunguje na vyssi verzi javy, nez pro kterou je napsana. Cas od casu nektera funguje castecne a to tak maximalne na +1 verzi.

A pochopitelne dmenti jako ty blabolej s oblibou o vecech o kterych vedi lautr hovno ...

"Windows 8.1, Windows Server 2012 R2, Windows 10, Windows Server 2016, and later versions of Windows natively support TLS 1.2 for client-server communications. Earlier versions of Windows, such as Windows 7 or Windows Server 2012, don't enable TLS 1.1 or 1.2 ..."

Zhruba takhle funguje to tvoje tls 11 let. A samozrejme, tls 1.2 donedavna neumel ani zadnej browser, takze tou laskave neblej sracky.

[deda.jabko]

Jelikoz ty tuposlave neni java kompatibilni pres ruzny verze, tak vazne nevim o cem tu zvanis, zadna javova aplikace nefunguje na vyssi verzi javy, nez pro kterou je napsana.

Proc lzes?

[Heron]

Jelikoz ty tuposlave neni java kompatibilni pres ruzny verze, tak vazne nevim o cem tu zvanis, zadna javova aplikace nefunguje na vyssi verzi javy, nez pro kterou je napsana. Cas od casu nektera funguje castecne a to tak maximalne na +1 verzi.

Tak jo Mám tu vlastní jary, které jsem psal někdy v roce 2006-7. Tehdy v 1.4. Dodnes běží. Java 8 a 10. OpenJDK. No problémo. Potom existuje taky jistá zcela bezvýznamná hra generující svým majitelům miliardy dolarů napsaná v Javě. Jsou funkční i ty nejstarší alpha verze. A to multiplatformě (Win / Linux). Provozuju server pro Pack z roku 2012. Vůbec nikdy jsem neřešil verzi javy na které to běží a stěhovalo se to z Win -> Linux -> FreeBSD. Tytéž jary.

A samozrejme, tls 1.2

donedavna

neumel ani zadnej browser

Jistě Opera 2012, Chrome 2013, IE 2013. Vůbec nikdo to nepodporuje.