Рубрика «HTTPS» - 11

в 19:56, , рубрики: ALPN, html, http, HTTPS, IT-стандарты, SSL, tranquility, Веб-разработка, никто не читает теги

Шифрование. Мы все его любим и хотим использовать везде. Но почему оно до сих пор не применяется повсеместно?

Проблема в сертификатах?

Первый и наиболее распространённый барьер к переходу на HTTPS это цена получения, настройки и поддержки валидного сертификата. Вы должны найти поставщика сертификатов, подтвердить свою личность, заплатить за него и настроить сервер, а также своевременно продлевать.

Большинство предложений перехода на повсеместное шифрование звучат примерно так: «NSA записывает весь наш трафик, почему бы не шифровать его?». Целью подобных предложений является повышение стоимости пассивного слежения за всем трафиком, а не более сложные и целевые атаки, которые применяются злоумышленниками.

Ребята из Let's Encrypt уже догадались, что проблема с сертификатами почти полностью поддаётся автоматизации, и что её реализация для выпуска, установки, конфигурации и продления на нескольких наиболее распространённых платформах может покрыть подавляющее большинство Интернета. Замечательная работа, и, хоть и осталось сделать многое, я думаю, что мы можем считать проблему сертификатов решённой.
Читать полностью »

в 20:29, , рубрики: HTTPS, SSL, TLS, информационная безопасность, пароли

image

Исследователь в области компьютерной безопасности из Нидерландов, Гвидо Вранкен [Guido Vranken] обнаружил новый метод атаки на зашифрованный по TLS/SSL трафик. В теории он позволяет извлекать определённую информацию о передаваемых по протоколу HTTPS данных. Эту информацию затем можно использовать для повышения эффективности взлома.

Атака, названная исследователем "HTTPS Bicycle Attack" (велосипедная атака) позволяет определить длину некоторых данных, передаваемых в зашифрованном виде: длина заголовка куков, длина паролей, передаваемых методом POST, GPS-координаты, адресов IPv4 и т.п. При этом анализу поддаётся даже трафик, оставшийся в логах.

Правда, чтобы извлечь информацию о длине полей, необходимо заранее знать длину некоторых из передаваемых данных. Кроме того, атака работает только при использовании потокового шифра.

Вычтя из длины заголовка аутентификации длину логина, URL-адреса, где авторизуется клиент, и другую вспомогательную информацию, атакующий может получить длину пароля, после чего атака методом подбора станет немного более эффективной.
Читать полностью »

в 11:57, , рубрики: HTTPS, Let's Encrypt, Plesk, ssl сертификаты, автоматизация рутины, Блог компании Plesk, информационная безопасность, ит-инфраструктура, системное администрирование, хостинг, метки:

Let’s Encrypt в Plesk-панели - 13 декабря вышел публичный релиз беты Let's Encrypt. Это радостное событие уже освещалось на Хабре. Кратко напомню, эта штука дает возможность установить бесплатный доверенный сертификат на сайт. Помимо бесплатных сертификатов, Let's Encrypt еще инструмент для выписывания, обновления, отзыва сертификатов, что, по задумке авторов, облегчит жизнь системным администраторам.

В этой статье я расскажу об особенностях Let’s Encrypt, о которых не стоит забывать, и о том, как воспользоваться им, если ваш сервер работает под управлением панели Plesk.
Читать полностью »

в 7:59, , рубрики: HTTPS, twitter, регулирование интернета, цензура в интернете

image
Кто там ждал очереди Twitter?

По поручению прокурора республики Шарпудди Абдул-Кадырова органами прокуратуры на постоянной основе осуществляется мониторинг сети «Интернет» на предмет выявления материалов оскорбляющих религиозные чувства верующих.
В ходе проведенного 11.11.2015 мониторинга социальной сети «Твиттер» обнаружена страница под названием «Charlie Hebdo», на которой размещены изображения, преследующие цель оскорбить религиозные чувства верующих, выражая неуважительное отношение к образам пророков, а также карикатур, высмеивающие катастрофу российского самолета А321 в Египте.

Распространение таких материалов может служить предпосылкой к разжиганию межнациональной, религиозной ненависти и вражды, что запрещено федеральным законодательством.
В этой связи прокуратурой республики в Ленинский районный суд г. Грозного направлено исковое заявление о признании страницы «Шарли Эбдо» в социальной сети «Твиттер» запрещенной на всей территории Российской Федерации и обязании интернет — провайдеров ограничить к ней доступ, которое 23 ноября 2015 года рассмотрено и удовлетворено.

Решение суда направлено в управление Роскомнадзора по ЧР для включения её в Единый реестр запрещенных сайтов.

Читать полностью »

в 12:44, , рубрики: HSTS, http, HTTPS, Sniffly, Strict Transport Policy, браузеры, информационная безопасность, метки:

Атака по времени на HSTS Sniffly показывает, на какие сайты ходил пользователь - 1Современные браузеры поддерживают функцию HTTP Strict Transport Security (HSTS). Флаг HSTS показывает, что с определённого домена нужно запрашивать шифрованную HTTPS-версию — даже если переход осуществляется по HTTP, а не HTTPS. Механизм нужен для обеспечения дополнительного уровня безопасности: браузер мог бы запросить HTTP-версию страницы, которую легко прослушать или подменить. Так можно избежать некоторых атак с понижением уровня защиты и перехват куки.

Данные, что у конкретного домена был установленный флаг HSTS, сохраняются в браузере пользователя. Это логическая переменная (true/false). Это не куки-файлы, а информация о безопасности, поэтому браузеры относятся к ней иначе. О слежении с помощью куки хорошо известно. Пользователь может зайти в настройки браузера и удалить те куки, которые ему не нравятся. Есть отдельные дополнения, которые запрещают приём куки от доменов маркетинговых компаний. Очистка настроек HSTS не так прозрачна — в браузерах можно удалить лишь все флаги для всех сайтов сразу. В январе Сэм Гринхал продемонстрировал, что с помощью HSTS можно создать суперкуки, которые не так легко удалить.

В прошлом месяце Янь Чжу показала на конференции ToorCon в Сан-Диего Sniffly. Проект использует HSTS и Content Security Policy для того, чтобы определить, какие сайты из списка пользователь уже посетил.
Читать полностью »

в 16:53, , рубрики: HTTPS, Let's Encrypt, SSL, информационная безопасность, регулирование интернета, сертификаты, метки:

image

В записи блога от 19 октября исполнительный директор организации Let's Encrypt Джош Аас [Josh Aas] объявил, что её сертификаты получили подписи от консорциума IdenTrust. Это значит, что теперь сертификатам Let's Encrypt будут автоматически доверять все основные браузеры.

Подписи получили оба промежуточных сертификата, Let’s Encrypt Authority X1 и Let’s Encrypt Authority X2. Организаторы проекта выпустили утилиту, которая автоматически настроит поддержку этих сертификатов в системе. Убедиться в поддержке этих сертификатов в вашем браузере можно на специально подготовленном для этого сайте.
Читать полностью »

в 15:59, , рубрики: HTTPS, ssh, vpn, анб, информационная безопасность, обмен ключами, протокол Диффи-Хеллмана, шифрование

Уже давно ходят слухи, что АНБ способно дешифровать значительную часть зашифрованного интернет-трафика. Этому есть косвенные свидетельства. В 2012 году некий сотрудник АНБ на условиях анонимности утверждал, что агентство добилось «прорыва в вычислениях», которые дают им «возможность взломать нынешнюю публичную криптографию». Документы Сноудена тоже указывают на некоторые исключительные возможности АНБ: из них следует, что агентство построило широкую инфраструктуру для перехвата и расшифровки VPN-трафика, и что оно вероятно обладает возможностью расшифровать по крайней мере часть HTTPS и SSH соединений по запросу.

Документы не дают понять, как такое возможно. 13 октября на конференции ACM CCS выступили известные криптографы Алекс Халдерман (Alex Halderman) и Надя Хенингер (Nadia Heninger) с докладом, в котором они предполагают, что решили эту таинственную загадку. Кстати, их работа признана лучшим докладом конференции.

По мнению специалистов, проблема в алгоритме Диффи-Хеллмана, который широко используется в интернете для обмена ключами при установке защищённого канала. Это краеугольный камень надёжной криптографической защиты. Он используется в VPN, HTTPS и многих других протоколах.
Читать полностью »

в 18:06, , рубрики: ca, EFF, HTTPS, информационная безопасность, сертификаты, центр сертификации

image
1990-е: В интернете никто не знает, что ты — собака.
Сегодня: Наш анализ данных показывает, что он — коричневый лабрадор. Он живёт с чёрно-белым биглем, и по-моему, у них есть отношения.

Совершенно бесплатные сертификаты для шифрования веб-трафика, которые обещали начать выдавать в середине 2015 года, слегка запоздали, но не исчезли совсем. 14 сентября Фонд Электронных Рубежей (Electronic Frontier Foundation, EFF) торжественно объявили о факте выдачи первого такого сертификата системой Let’s Encrypt.

Let’s Encrypt – свободный, бесплатный центр сертификации (certificate authority, CA). Он должен обеспечить всех желающих совершенно бесплатными сертификатами, и тем самым, постепенно перевести весь интернет на шифрование трафика.

По понятным причинам, правозащитники и борцы за свободу обоими руками приветствуют эту инициативу. HTTPS (правильно работающий) означает защиту от прослушки и кражи персональных, коммерческих и других данных пользователей.

Ещё пару лет назад все центры сертификации продавали сертификаты, да и сегодняшние бесплатные обладают рядом ограничений. После покупки требовались знания для того, чтобы настроить поддержку сертификатов в браузере. Теперь эти времена уходят в прошлое.

Пока ещё новый центр не обладает всеми правами, и его сертификаты не имеют перекрёстной подписи, в результате чего они не воспринимаются браузерами как надёжные (браузер выдаст сообщение «untrusted»). В EFF уверены, что примерно через месяц будет завершена соответствующая работа в консорциуме IdenTrust, после чего новые бесплатные сертификаты будут работать без шума и пыли.
Читать полностью »

в 17:44, , рубрики: HTTPS, регулирование интернета, США, электронное правительство

Сайты американского правительства обязали перейти на HTTPS до конца следующего года - 1

Паранойя – вещь полезная и нужная, когда ты находишься в такой изначально слабо защищённой среде, как интернет. Вот и американское правительство решило, что для усложнения работы русских и китайских хакеров, которые их постоянно взламывают, всем государственным службам необходимо как минимум перейти на HTTPS. Переход запланирован до конца 2016 года.

На сегодняшний день большинство из примерно 1200 сайтов государственных служб США используют незашифрованный протокол HTTP. Это позволяет с лёгкостью перехватывать передаваемый между пользователем и сайтом контент и подменять его.

В меморандуме, выпущенном подразделением Белого дома по управлению и бюджетным вопросам, подробно разъясняется, почему необходимо переходить на HTTPS-протокол, что он способен дать, и, что важно – что он дать не способен. В частности, хотя HTTPS и обеспечивает зашифрованное общение между клиентом и сервером, он не гарантирует, что сервер не был взломан заранее.
Читать полностью »

в 14:22, , рубрики: HSTS, HTTPS, mozilla, upgrade-insecure-requests, браузеры, информационная безопасность

imageРазработчик популярного браузера Firefox, компания Mozilla будет постепенно отказываться от поддержки протокола HTTP в пользу зашифрованного протокола HTTPS. Это решение было принято после всестороннего и бурного обсуждения в списке почтовой рассылки.

Эра повсеместного перехода на шифрование будет происходить в два этапа. Сначала будет выбрана дата, по наступлению которой все новые функции будут поддерживаться только на HTTPS-сайтах. Затем постепенно начнётся отключение традиционных функций. То, какие функции веба нужно считать новыми, также будет обсуждаться в сообществе разработчиков.

План не отвергает полностью использование старых ссылок в формате http – вместо этого они будут преобразовываться в HTTPS через HSTS и атрибут upgrade-insecure-requests (средства, которыми пользуется сервер для переадресации всех запросов по безопасным каналам). Mozilla призывает разработчиков активнее включаться в движение по усилению безопасности работы в интернете, и планирует представить свои рекомендации консорциуму W3C.
Читать полностью »

1...101112...17
Рейтинг@Mail.ru
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js