The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Китай начал блокировать HTTPS-соединения, устанавливаемые с TLS 1.3 и ESNI, opennews (?), 08-Авг-20, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


43. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +1 +/
Сообщение от Аноним (149), 09-Авг-20, 00:43 
> вредное и опасное ненужн

Ты тоже любишь подглядывать? Ай-яй-яй…

Ответить | Правка | Наверх | Cообщить модератору

48. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +3 +/
Сообщение от Аноним (171), 09-Авг-20, 00:49 
Он просто в британском провайдере работает.
Ответить | Правка | Наверх | Cообщить модератору

176. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –1 +/
Сообщение от пох. (?), 09-Авг-20, 12:25 
>> вредное и опасное ненужн
> Ты тоже любишь подглядывать? Ай-яй-яй…

нет, я просто прекрасно помню времена до ненужно-sni. А вот он как раз - для любителей подглядывать, но только - самим, а не кому попало это делать позволять.
При этом в немодном http-протоколе, внезапно, все еще есть заголовок host, передающийся внутри  зашифрованной сессии. Ну да, ну да - любитель подглядывать при этом не сможет делать вид, что он тут не при делах. Как мне его жаль!

Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

180. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 09-Авг-20, 12:30 
По одному IP на хост - вот они, ваши времена до "ненужно" SNI.
Спасибо, нет.
Ответить | Правка | Наверх | Cообщить модератору

267. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +1 +/
Сообщение от username (??), 09-Авг-20, 20:30 
c ipv6 вообще никаких проблем, так даже лучше.
Ответить | Правка | Наверх | Cообщить модератору

299. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 01:46 
> По одному IP на хост - вот они, ваши времена до "ненужно"
> SNI.

нет - хоть десять хостов на этот ip повесь. Только уже не получится делать вид, что данные пользователя на самом деле недоступны третьим лицам.
Прямо вот большими красными буквами будет написано - кому (теоретически, конечно, ничто не мешало сделать возможность renegotiation уже после - теперь-то хост знает, какой сертификат нам показывать - но это огорчит пользователя, наивно полагающего что он от всех спрятался, поэтому нате вам невменяемое нагромождение бреда esni).

> Спасибо, нет.

пожалуйста, мне нахрен не надо "шифрования" при хождении по помойкам, где висит стопиццот мусорных сайтов на одном ip.

А если при заходе на сайт банка выяснится, что там не только банк - я, пожалуй, просто закрою окошко.

Ответить | Правка | К родителю #180 | Наверх | Cообщить модератору

308. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  –1 +/
Сообщение от Онаним (?), 10-Авг-20, 08:21 
> нет - хоть десять хостов на этот ip повесь. Только уже не

Ну да, можно было ещё по портам разбить.

Проблема, из-за которой сделали SNI - это выбор сертификата под хост.
Нет, когда у тебя все хосты на IP укладываются в *.localhost.shit - можно один wildcard на всех.
Ещё можно SAN, но с SAN есть свой таракан - большинство trusted issuer'ов не дают SAN произвольно расширять, то есть если понадобится новый хост - придётся платить второй раз.

А "стопицот сайтов на одном IP" - это вполне может быть и очень часто бывает балансер/antiDDOS/whatever.

Ответить | Правка | Наверх | Cообщить модератору

330. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 12:26 
> Проблема, из-за которой сделали SNI - это выбор сертификата под хост.

повторяю, проблема высосана из пальца.

> Нет, когда у тебя все хосты на IP укладываются в *.localhost.shit - можно один wildcard на всех.

а если не укладываются - значит шифрованные данные пользователя сайта some.shit при минимальных трудозатратах или прямо by design доступны владельцу сайта some-other.shit, и нехрен маскировать этот факт.

Наоборот, о нем надо звонить максимально громко.

> А "стопицот сайтов на одном IP" - это вполне может быть и очень часто бывает балансер/antiDDOS

вот и пусть собственным сертификатом представляется. А мы подумаем - балансер он, антиддос или таки "whatever", и тихонечко пишет все сессии кому надо.

Для этого не надо изобретать совершенно невменяемый и явно чреватый эксплойтами новый протокол - надо просто выпороть макак, чтобы бредовая пустая страница с непонятным заклинанием посередине была заменена на внятное объяснение, что нам предъявлено той стороной, почему это плохо, и как следует принимать решение. Оставив его принятие пользователю.

Что, собственно, и было во времена до sni-мусора.


Но тогда бузинес по воровству твоей информации окажется под угрозой. Поэтому макаку порют как раз за попытки что-то на самом деле сообщить пользователю.

Ответить | Правка | Наверх | Cообщить модератору

344. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 13:39 
Ну вот простой пример.
-
У меня на одной паре хостов находятся данные для ЧЕТЫРЁХ wildcard-доменов, там сразу несколько поддоменов - их надо дублировать в четыре разных домена.
Все четыре принадлежат одной и той же организации, это алиасы для разных стран.
Ну и чего мне, четыре IP теперь выделять? Или разбивать на четыре порта и объяснять web-разработчику, что его ждёт геморрой с разруливанием гиперссылок на порты?
Multi-wildcard у некоторых issuer'ов доступен, но во-первых дороже, чем 4 wildcard'а, во-вторых, у конкретного issuer'а не доступен.
-
Добавим ада: эта пара хостов сидит за балансировщиком. Который помимо этих доменов, умеет и ряд прочих. Внешние IP при этом абсолютно одинаковые, но все домены контролируются всё той же организацией.
Ответить | Правка | Наверх | Cообщить модератору

348. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 13:53 
> Все четыре принадлежат одной и той же организации, это алиасы для разных стран.

ну вот теперь представь, что пользователю выдается не типовая неведомая херня, а нормальный модальный диалог, с надписью "сертификат выдан для company.com, ты пытаешься зайти на company.it - продолжать будем, или нуееенах?"

Хотя, разумеется, жадность порок, и ничто не мешало получить универсальный сертификат, особенно  если это правда одна компания - и он будет подтверждать, помимо прочего, именно этот факт - проверенный по документам, а не всеми любимое "кто сегодня угнал dns, тому и подпишем".

> Добавим ада: эта пара хостов сидит за балансировщиком. Который помимо этих доменов,
> умеет и ряд прочих.

и дешифрует траффик? Ну так все, приехали - доверять сертификату твоего сервера теперь очевидно не имеет смысла.
Мы только что убедились, что mitm вполне в наличии. А что это хороший, правильный, одобряемый mitm - лично мне совершенно наплевать.

Ответить | Правка | Наверх | Cообщить модератору

350. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 13:58 
> и дешифрует траффик? Ну так все, приехали

Неа, не дешифрует. Это хитрый MITM, TCP-mode.
Ловит SNI, открывает коннект к нужному серверу, отдаёт поток так, как он пришёл.
С ESNI будет даже несколько красивее.

Ответить | Правка | Наверх | Cообщить модератору

351. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 14:01 
И при этом даже клиентские сертификаты работают нормально, с сервером напрямую, балансеру не обязательно вообще знать, что там внутри потока ходит, ему кроме SNI ничего не нужно.
Ответить | Правка | К родителю #348 | Наверх | Cообщить модератору

357. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 14:55 
> И при этом даже клиентские сертификаты работают нормально, с сервером напрямую, балансеру
> не обязательно вообще знать, что там внутри потока ходит, ему кроме
> SNI ничего не нужно.

ну вот заодно и товарищмайор знает, к кому твой клиент ходит. Ну а что, полезно же ж.


Ответить | Правка | Наверх | Cообщить модератору

398. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от Онаним (?), 10-Авг-20, 21:50 
С ESNI всё сложнее, но ты ведь против ESNI, да?
Ответить | Правка | Наверх | Cообщить модератору

399. "Китай начал блокировать HTTPS-соединения, устанавливаемые с ..."  +/
Сообщение от пох. (?), 10-Авг-20, 22:42 
Да, я считаю ее то ли тщательно спланированным источником бэкдоров, то ли продукцией "полезных идиотов" с тем же самым результатом.

sni не нужен, никакой. Если с той стороны не тот сайт, на который мы шли - секьюрить уже сведена к х...ю, было бы честно просто уведомлять об этом пользователя, оставляя за ним решение.

Ответить | Правка | К родителю #398 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру