Http всё

Связанные с индикаторами изменения войдут в состав выпуска Firefox 70, намеченного на 22 октября. Наконец-то, заждались, уже несколько пару лет нас завтраками кормят.


Вкратце: теперь все http и ftp страницы будут в строке помечаться не безопасными, вот так:

Что хорошо: обычные доменные сертификаты теперь просто серые (о, и EV теперь без плашки, проглядел), чуть-чуть бизнес у фишинговых и прочих мошенников поломается (чуть-чуть, ведь «лох не мамонт, лох не вымрет»).


Для ftp вообще посрать, его скоро выкинут (запамятовал с какого выпуска). А вот с http ждем кучу нытья и ложных репортов у ретроградов.


стырено с опеннета


P.S. Сам я давно уже вешаю на статичные html-странички сертификаты, спасибо Let’s Encrypt.

P.S.S. Кстати, что там у гугла и остальных на хромиуме? Тоже давно планируют, но я за ними так не слежу.

GNU/Linux

1.2K постов15.6K подписчиков

Правила сообщества

Все дистрибутивы хороши.

Будьте людьми.

Вы смотрите срез комментариев. Показать все
14
Автор поста оценил этот комментарий

Хотя все мои сайты на https, я не могу поддержать вот это безудержное стремление всех загнать в пользователи SSL/TLS.


Во-первых, это усложняет процесс настройки и добавляет дополнительную точку с проблемами. Если раньше эта цепочка была домен-днс-хостинг, то теперь туда ещё и сертификат влезает.

Нужно следить и регулярно мониторить ресурс, либо вешать сервис с оповещалкой (та же Я.Метрика). И хотя это делается легко, но это усложнение, а не упрощение.

Плюс, сертификаты могут отозвать и ресурс перестанет работать.


Во-вторых, если мы не говорим про бесплатные сертификаты, то они стоят денег. Да, недорого (500р/год), но это лишние расходы. Let'sEncrypt ничего и даже wildcard есть, но если провайдер его не поддерживает, то установка будет проблемная.


В-третьих, это возможное замедление скорости сайта. Да, сейчас есть TLS 1.3 - пошустрее будет, но его поддерживают не все. Ряд пользователей, включая меня, провайдера тикетами многие месяцы бомбили, прежде чем оно было включено и заработало, и это не самый отсталый хостинг (Бегет). Если не использовать TLS 1.3 и http/2 (а об этих вещах ещё знать надо), то загрузка сайта будет чуть медленнее. Немного, но это точно не плюс.


В итоге получается, что нужно иметь нетухлый уровень понимания, чтобы это сделать и оно работало хорошо. А у большинства не-айтишников такого понимания нет, и блог на вордпрессе, а то и блогоплатформе - предел, на который они готовы пойти. И винить их в этом не за что - кто-то админит / программирует, а кто-то пишет охрененные статьи или делает контент.


По сути выходит, что независимые сайты, standalone-блоги и прочие мелкие ресурсы (которым может быть и 20 лет) отодвигают от аудитории таким методом - кто-то может увидеть предупреждение о "небезопасном соединении" и сразу уйдёт. При этом есть много старых сайтов с годным контентом, а есть ещё и неподдерживаемые сайты, где контент не теряет актуальности с годами - вот они и будут задвигаться глубже в ж*** выдачи, теперь ещё и с помощью браузеров, отгоняющих пользователей (привет, поведенческие).

раскрыть ветку (29)
1
DELETED
Автор поста оценил этот комментарий

В целом согласен, http не надо убивать. Но этого никто и не делает. Такие сайты помечаются как небезопасные. Но они и есть небезопасные, любое твое действие потенциально слушается кем-то, это надо осознавать, и пользоваться сайтом с учетом этого - не кормить ему данные своей кредитки или пароли и все вот это.

раскрыть ветку (13)
0
Автор поста оценил этот комментарий

Далеко не все сайты требуют кредитки и пароли

раскрыть ветку (12)
Автор поста оценил этот комментарий

Банальный фишинг тоже малоприятен. Как вы думаете, как угоняют аккаунты в мессенжерах и соцсетях?

раскрыть ветку (11)
3
DELETED
Автор поста оценил этот комментарий

https едва ли защитит от фишинга. Отправлять юзера на http://facebook.com, подменять трафик на свой и угонять так аккаунт - слишком геморно, и как где-то тут уже давали ссылку на исследование, 85% пользователей не заметят подмены, если в заголовке сайта будет не mail.google.com, а mail.google.com.someshit.com. Так что зачем заморачиваться? Отправляешь на вообще левый домен, там контент маскируется под реальный сайт, даже с https, что даже недавно отображалось браузерами как зеленый замочек и внушало ложное чувство безопасности.


Плюс это не сработает на нормальных сайтах из-за включенного HSTS, если в этом браузере этот сайт хоть раз открывали.

раскрыть ветку (6)
Автор поста оценил этот комментарий

HTST ни как от левых ссылок не защитит, тут про перехват больше и как его недопустить, т.е. от подставного домена-клона -- эта атака на порядки сложнее (но проще MITM), надо перенаправить трафик, а не просто наивно обмануть пользователя.


Вся эта пляска с индикацией https серым, а не зеленым -- чтоб убрать именно ложное чувство безопасности (ссылку на исследования я давал, кстати). Может быть не 85% поведутся, а 50% -- уже хорошо.

раскрыть ветку (5)
1
DELETED
Автор поста оценил этот комментарий

Хм... я был уверен, что на сайте с HSTS браузер запретит впредь открывать эту же страницу с HTTP. Но, кажется, это не так. Наверно с чем-то путаю.

раскрыть ветку (4)
Автор поста оценил этот комментарий

Да, так и есть. Но самый распространенный фишинг (который в исследовании) -- это просто подделка содержимого страницы, а адрес у неё хоть и похожий , но другой.


HTST защитит, когда я в файле hosts на ноуте жены пропишу адрес вконтактика и поставлю IP на свой сервер. А так как MITM мне лень городить, то поддельный сайт я сделаю на голом http. Вот тут то я и обломаюсь. (пример с правкой hosts самый простой, можно перехватывать трафик и в сети, но это уже совсем другая история).

раскрыть ветку (3)
0
DELETED
Автор поста оценил этот комментарий

Вот что интересно, сделал именно это, в /etc/hosts прописал 127.0.0.1 и там фласковый сервер запустил, и браузер на http://googl.com мне открыл мой сайтик!

А потом почитал вики по HSTS (Вы неоднократно написали HTST, кстати), и там "The initial request remains unprotected from active attacks if it uses an insecure protocol such as plain HTTP or if the URI for the initial request was obtained over an insecure channel."

Так что контекст этой фичи - именно ограничить загрузку всяких ресурсов самим сайтом уже. Сайт говорит, что, например, все хостит на своих серверах и все должно идти через HTTPS, и при рендере страницы браузер проигнорирует весь незащищенный контент.

раскрыть ветку (1)
Автор поста оценил этот комментарий

Вы неоднократно написали HTST, кстати

И постоянно пишу htpp или hhtp, хрен знает почему. Тупая опечатка.

0
DELETED
Автор поста оценил этот комментарий

О смотри что пишут https://www.chromium.org/hsts
Если ты открыл сайт с HSTS один раз, то браузер это и правда запомнит. В следующий раз, если ты напишешь domain.com - он отправит тебя по умолчанию на https://

От фишинга это не очень поможет.

0
Автор поста оценил этот комментарий

Не задумывался, честно говоря. Где бы просветиться на эту тему?

раскрыть ветку (3)
Автор поста оценил этот комментарий

Это очень объемная тема, но можно разделить на социальную составляющую и техническую (хотя они неразрывно связаны). Я бы начал на вашем месте с техничеcкой стороны: почитайте про сам фишинг (англ. phishing -- хоть с википедии начать https://ru.wikipedia.org/wiki/%D0%A4%D0%B8%D1%88%D0%B8%D0%BD...), про https, htst (дебри протокола не нужны, просто сам принцип), удостоверяющие центры (CA), типы сертификатов (DV, EV - как раз тема поста про их индикацию для пользователя), MITM -- это уже атаки, а не просто наивная маскировка, OCSP, CRL. (вот статейка https://habr.com/ru/post/332730/ правда по конкретной проблеме, но по тегам можете пройтись, там есть и для общего развития). Можно почитать новости на опеннете тоже (ссылка в посте и там дальше по ссылкам в самой новости).

раскрыть ветку (2)
1
Автор поста оценил этот комментарий

Большое спасибо!

раскрыть ветку (1)
Автор поста оценил этот комментарий

Вот еще пример, используется невнимательность пользователя:


https://www.opennet.ru/opennews/art.shtml?num=51704


Конечно тут троянец главный, но для его распространения используется классический фишинг.

Автор поста оценил этот комментарий
Что значит "провайдер не поддерживает", le кто угодно может поставить. За автопродлением следит certbot, а мониторинг в любом случае нужен, ещё один пункт ничего не усложнит. Платные сертификаты от бесплатных отличаются примерно ничем, шифрование от платности не зависит, а срок действия будут сокращать в будущем.
раскрыть ветку (2)
4
Автор поста оценил этот комментарий

"Кто угодно может " != "кто угодно будет".

Именно потому на сайте LE и написано:


If your hosting provider does not support Let’s Encrypt, you can contact them to request support. We do our best to make it very easy to add Let’s Encrypt support, and providers are often happy to hear suggestions from customers!


If your hosting provider doesn’t want to integrate Let’s Encrypt, but does support uploading custom certificates, you can install Certbot on your own computer and use it in manual mode. In manual mode, you upload a specific file to your website to prove your control. Certbot will then retrieve a certificate that you can upload to your hosting provider. We don’t recommend this option because it is time-consuming and you will need to repeat it several times per year as your certificate expires. For most people it is better to request Let’s Encrypt support from your hosting provider, or switch providers if they do not plan to implement it.

Внезапно, подразумевается, что не все поддерживают и не все хотят интегрировать софтину от LE. И потому остаётся ручной метод - с которым ещё не каждый разберётся. Так или иначе, это дополнительные сложности.

Представьте себе, пенсионер - спец в своём деле, но не сильно прошаренный в компах и сетях, (например, электрик, музыкант, столяр, повар и т.п. - с многолетним стажем) тоже может хотеть иметь сайт и делиться там (нередко полезной и уникальной) инфой.


А мошеннику, который промышленно клепает вредоносы или сайты-мусорки, дорвеи и прочие ГСы - это никоим образом не помеха, у него всё проскриптовано и делается на раз-два.

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

идет к специалистам и  ему делают "песдато"

ещё комментарии
Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку

Темы

Политика

Теги

Популярные авторы

Сообщества

18+

Теги

Популярные авторы

Сообщества

Игры

Теги

Популярные авторы

Сообщества

Юмор

Теги

Популярные авторы

Сообщества

Отношения

Теги

Популярные авторы

Сообщества

Здоровье

Теги

Популярные авторы

Сообщества

Путешествия

Теги

Популярные авторы

Сообщества

Спорт

Теги

Популярные авторы

Сообщества

Хобби

Теги

Популярные авторы

Сообщества

Сервис

Теги

Популярные авторы

Сообщества

Природа

Теги

Популярные авторы

Сообщества

Бизнес

Теги

Популярные авторы

Сообщества

Транспорт

Теги

Популярные авторы

Сообщества

Общение

Теги

Популярные авторы

Сообщества

Юриспруденция

Теги

Популярные авторы

Сообщества

Наука

Теги

Популярные авторы

Сообщества

IT

Теги

Популярные авторы

Сообщества

Животные

Теги

Популярные авторы

Сообщества

Кино и сериалы

Теги

Популярные авторы

Сообщества

Экономика

Теги

Популярные авторы

Сообщества

Кулинария

Теги

Популярные авторы

Сообщества

История

Теги

Популярные авторы

Сообщества