Исходное сообщение
"Проект Let's Encrypt представил модуль для http-сервера Apac..." Отправлено Ilya Indigo, 18-Окт-17 22:13
>> А что мешает провайдеру, получившему контроль над ДНС, зарегистрировать валидный сертификат и использовать его? > Ну пойди зарегистрируй(кстати, они подписываются, а не регистрируются) валидный сертификат на google.com. Расскажешь об успехах. Да без проблем, скидывайте доступы на их ДНС, и я через сабж получу подписанный серт, при условии если они не заметят слив и не перекроют мне доступ раньше. Но из Хрома этим сертом всё равно не получится воспользоваться. > Используется два соединения. Одно от тебя к провайдеру(злоумышленику), второе от провайдера > к серверу. В твоей схеме это работает на ура, в классической > не получится сделать первое соединение доверенным, браузер ругаться будет. Стало ещё яснее. А всё же если объединить обе схемы, то есть используя подписанный УЦ серт, и ДНС запись со слепком, и что бы браузер обнаружив её требовал и валидности серта и соответствие его слепку из ДНС, причём этот слепок не должен кешироваться у клиента, а запрашиваться у ДНС при каждом запросе, то такая схема была бы ещё надёжнее и защищала от левых УЦ. И конечно же эту ДНС-запись в обязательном порядке должны запрашивать и учитовать все популярные браузеры.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>> А что мешает провайдеру, получившему контроль над ДНС, зарегистрировать валидный сертификат и использовать его? >> Ну пойди зарегистрируй(кстати, они подписываются, а не регистрируются) валидный сертификат на google.com. Расскажешь об успехах. > Да без проблем, скидывайте доступы на их ДНС, и я через сабж > получу подписанный серт, при условии если они не заметят слив и > не перекроют мне доступ раньше. > Но из Хрома этим сертом всё равно не получится воспользоваться. >> Используется два соединения. Одно от тебя к провайдеру(злоумышленику), второе от провайдера >> к серверу. В твоей схеме это работает на ура, в классической >> не получится сделать первое соединение доверенным, браузер ругаться будет. > Стало ещё яснее. > А всё же если объединить обе схемы, то есть используя подписанный УЦ > серт, и ДНС запись со слепком, и что бы браузер обнаружив > её требовал и валидности серта и соответствие его слепку из ДНС, > причём этот слепок не должен кешироваться у клиента, а запрашиваться у > ДНС при каждом запросе, то такая схема была бы ещё надёжнее > и защищала от левых УЦ. > И конечно же эту ДНС-запись в обязательном порядке должны запрашивать и учитовать > все популярные браузеры.
	Введите код, изображенный на картинке: