Запрет Gmail и обязетельный переход на российские SSL сертификаты

Ты устанавливал хоть раз SSL сертификат что бы трафик анализировать?  Фантазер 

Правительство уже восставало против ВПН, современный протокол шифрования ECH запретили  что бы часть трафика контролировать и использование ВПН запретят через неподконтрольные серверы

Кремлевский сайт kremlin.ru работает на http без шифрования и все нормально. Напрягут с сертификатами, перейдем на http ..

Привет нечитателям! Напоминаю - разговор идет о роли SSL сертификата, шифровании траффика и возможности перехватить его. Давайте я тезисно наьросаю как это все работает и почему я считаю, что все это пустые страхи, а вы будете спокойно и последовательно опровергать. 

- SSL -  сертификат сам по себе НЕ является ключом или инструментом, достаточным для шифрования сайта! Это только сертификат подлинности сайта! Шифрование идет с помощью публичного ключа.

- Траффик шифруется с помощью сессионного ключа, которого нет у центра сертификации(СА)  и он постоянно меняется. И даже утечка приватного ключа не помощет расшифровать траффик. Особенно если уже не просто  RSA а уже PFS

- Про страшилки с MITM 

-  Современные браузеры используют механизмы, такие как Certificate Transparency (публичные логи сертификатов), для обнаружения поддельных сертификатов

- Сертификат с бэкдором просто не пройдет аудит, соответственно браузер будет видеть что соединение небезопасно, о чем и предупредит.

ГОСТ сертификаты - это вообще другая область и предназначение.

Давайте, аргументированно опровергайте, в чем я не прав?

у тебя в браузере (яндекс браузере) стоит корневой сертификат, тебе mitm перехватывают твой запрос, меняют Let's Encrypt сайтовый на гос сертификат, и все, полностью контролируют твой траф, читают, подменяют, что угодно делают. Тоже самое происходит например на компах с касперским, он тоже подменяет сертификаты на свои и во всех этих случаях ты в браузере не видишь предупреждений о подмене или проблеме сертификата, все зелененько и безопасненько... 

кайф

будут юзать я.браузер + max от вк и отъезжать на кичу за любой пук 

Не забудь использовать ав касперский, одобренный vpn и все это через сертифицированную ос Astra Linux или Аврора. Дядя майор будет доволен. 

Все правильно, я ждал этого вопроса. Поэтому и нужно использовать правильные браузеры, а не те к которые можно впихнуть что угодно.

Ты сейчас говоришь про устаревший метод RSA,  Diffie-Hellman (DHE/ECDHE) метод уже не зависит даже от приватного ключа - там сессионное шифрование. Но тут больше речь про расшифровку старого перехваченного трафа. 

Согласен, тут возвращаемся к доверенным браузерам. В хроме будет проверка сертификата, в яндекс браузере могут подменить такую и тогда ты прав - товарищ майор знает все. 

Если неподконтрольные госорганам РФ провайдеры ПО  не согласны из за отсутствия прозрачности включать в список доверенных корневых сертификатов сертификаты минцифры, то это указывает на отсутствие прозрачности сертификатов минцифры

На самом дел я признаю, я пытался построить идеальный мир, где СА выпускает сертификат, прошедший аттестацию и соответствующий всем стандартам безопасности. 

В россйиских реалиях это все можно забыть. Никакой гарантии эти сертификаты не дадут. Как бы обвинять голословно и не стоило бы заранее, но по факту может быть все.

Так а в России других сертификатов нет. О чем спор? Только летсэнкрипт пока работает. Мы ни от чего не отказывались, от нас отказались. Завтра и энкрипту шлея под хвост залетит, и все, не будет вообще никаких, ни с mitm ни без.