Ваш HTTPS-трафик перехватывается и анализируется сторонним ПО

Антивирусу и так доступно всё что находится на твоем компе (привет Касперычу).

Корп.прокси принадлежит компании и контролирует информацию принадлежащую компании. Какая трагедия.Файрвол слушает шифрованный трафик только если ты ему разрешил а это как правило или на твоем компе или корпоративный.

Далее следите за руками. Производители браузеров обеспокоены что клиенты разрешают их слушать сторонним программам, при этом браузер точно знает что его слушают ибо как минимум ему скармливают фиктивный сертификат антивируса. Внимание вопрос - какой следующий ход производителей браузеров? ;)

В огороде бузина, а в Одесск 3Ж :)

Топик о протоколе. И том, что его перехватывать достаточно легко.

О методах и развитии.

(А "антивирусу" не всё доступно и это в нынешнее время почти бесполезное ПО)

АПД. В тч и о том, что не только легальное ПО (файеры, чья это непосредственная работа), но и любое другое сможет легко "поиметь" всё эту серукность и слить данные ваших карточек.

Ну хоть что-то начинаешь понимать. Продолжай развивать мысль и дойдёшь до того что говорилось ранее не только мной - вся нынешняя возня вокруг https направлена НЕ на обеспечение безопасности юзеров (и уж совсем никаким боком к положению сайтов в ПС), а преследует корп. интересы гугла и пр. Более того - им НЕ выгодна безопасность юзеров. Потому отчасти и начали волноваться, что кто-то может лишить кусочка их хлебушка, в неожиданно заново открытой новой старой кормушке.

Вернёмся же к безопасности. Лично у меня два вопроса на "повестке дня".

1. Что будет, если локальная или корп. система безопастности не может выполнять свою работу по обеспечению таковой? А она не сможет, если не будет иметь доступ ко всем данным в системе. Поэтому, как следствие:

2. Развитие и доступность средств по контролю https.

В итоге вполне реален вариант, эти средства будут стоять не только у халявного вайфая, но у и каждого провайдера (даже 3G :p). И если раньше им были не доступны данные по https, то не далёк тот день, когда и карточки будут/смогут читать.

На каждый ... с резьбой, найдется .... с лабиринтом :kozak:

Ну конечно, ВПН никто не отменял, но это другая история :)

ПРОТОКОЛ перехватывать невозможно.

Об этом и говорю да).

"взлом" протокола в данном случае происходит просто: антивирус расшифровывает как и положено, а потом шифрует СВОИМ сертификатом. Сертификат ставится в хранилище в системе или браузере, не суть.

Нет, у протокола бывали проблемы (точнее у реализаций) но в цитате именно об этом. Говорить что "раз антивирус может слушать ваш https то https взломан" это эквивалентно тому что сказать "человек стоящий рядом с вами может подглядеть ваш пароль - использование паролей для ограничения доступа бесполезно".

Устанавливая на ваш компьютер троянцев вы позволяете им сливать любую информацию с вашего компа. Представляете?) Неожиданность какая)

Я Вам больше скажу (уже говорил в прошлой теме) - браузеры периодически оказываются уязвимы. Через html, js и т.п. Для запуска эксплоита нужно зайти на сайт с эксплоитом или чтобы с сайта на который ты зашел загружал с него скрипт или картинку или еще что-то. Очень помогает в этом наличие сайта в разных белых списках (повышенное доверие к сайту со стороны пользователя). Если сайт без шифрования, то..... любой провайдер/хостер в принципе может исказить его содержимое (нужны определенные обстоятельства, но на самом деле для MiTM не нужно быть прямо посередине, а можно изменить роутинг, что доступно многим операторам). Т.е. да, любое ПО на вашем компе может сливать любую инфу, в том числе шифрованную, а для того чтобы поставить непрошенное ПО часто достаточно просто зайти на нешифрованный сайт. Вот такой вот парадокс :)

А ничего не будет. Если весь трафик шифрован, то для того чтобы они могли влезть нужно разрешение юзера. Корпоративные системы и государства с развитой интернет цензурой навяжут юзеру такое решение. Но за пределами корпорации, РФ, Китая и Северной Кореи всё будет защищено. Мало того. Поскольку РФ не Северная Корея, то у каждого продвинутого пользователя есть ВПН. При этом в связи с цензурой раньше пользователь доверял известному ему провайдеру, а сейчас он всё тоже доверяет неизвестному ВПН-провайдеру, что понижает безопасность. Когда все сайты будут https проблема надежности промежуточного узла будет решена. Никто не послушает. Ни для кого не секрет, что значительное количество выходных нод TOR слушается ЦРУ/ФБР, логично что и у других средств анонимизации часты такие же бенефециары. Так что дело далеко не только в цензурных странах.

Еще раз. Для закрепления:

При наличии https для прослушивания трафика нужно прямое согласие пользователя. Невозможно тайно слушать пользователя. Ни для кого невозможно. Только те могут слушать кому ты дал такое разрешение. Сейчас могут те кто имеет доступ к магистральным каналам (где угодно) или к каналу прямо по пути.

Т.е. я не исключаю что сторонние службы будут продолжать слушать (привет Касперскому), не исключаю и того что Китай/РФ введут обязательную установку сертификатов спец.служб в браузер. Но это уже совсем другая история, не относящаяся к протоколу.

И снова приходится повторяться.

:)

mendel, ты как та девочка, зацепившаяся за знакомые слова. но не понимает их значение и путает тёплое с мягким, ака выделенную память для скриптов с объёмом харда. :)

Да, то, что ты тут нагенерил - всё так.. ну почти так. Только

а) ты не понимаешь, что юзер САМ примет какой угодно сертификат (может даже не понимая этого, когда ставит нужную ему софтину), что страны не причём (точнее причём, но с другой стороны) и тд, но

б) главное - твои рассуждения имеет такое же отношения к поднятому вопросу, как php при обсуждении проблем в юзабили сайтов.