🚀 go-pugleaf

On 2009-12-02, Piotr J. Kolanok <kolano0123@m0.mx.poczta.tlen.pl> wrote:
> Szymon Sokół wrote:
>
>> On Mon, 30 Nov 2009 22:16:29 +0100, Piotr J. Kolanok wrote:
>> 
>>> Poprosze ponownie bo nie wiem czy dokładnie zrozumiałem. Chodzi mi o
>>> wariant b) Zakładam dokładnego usera. Sprawdza certyfikat (czyli nie
>>> tylko kłódeczka mi sie zapaliła) i wie jaki ma być. Powiedzmy sprawdza
>>> odcisk. Czy w tej sytuacji jest możliwe nadal podsłuchanie transmisji i
>>> dowiedzenia sie o dalsza czesc adresu i(lub) tresc?
>> 
>> Nie. Chyba że znalazłeś jakąś słabość RSA lub algorytmów symetrycznych
>> stosowanych w SSL (RC4, 3DES, AES itd.), o której nikt poza Tobą jeszcze
>> nie wie, a która pozwala na łamanie tych szyfrów w sensownym czasie.
>
> SSL szyfruje też nagłówek? POST raczej tak, ale to co jest przed?
> Czy szyfruje też GET?
> i inne dane. Z tego co piszesz szyfruje totalnie. I chyba za każdym razem 
> zestawia nowe łącze, czyli zestawia połączenie.

Szyfrowana jest całość, czyli razem z żądaniem (niezależnie czy GET,
POST, czy cokolwiek innego). A co do zestawiania połączenia, to tak jak
w normalnym HTTP/1.1 - możesz poprosić o keep-alive i masz to samo
połączenie na kilka żądań (np strona i css-y, skrypty do niej).

>>> W ten sposób np. program pocztowy (thunderbird) łączący się z serwerem w
>>> Polsce (nie ma oddziału w Chinach) było by to bezpieczne? (Ciekawi mnie
>>> czy thunderbird dokładnie sprawdza certyfikaty) Po roznych doniesieniach,
>>> ze uzywajac szyfrowanej poczty jednak smutni panowie pojawiali sie u
>>> chinskich dysydentow czy bankierow to bylo by dziwne.
>> 
>> Znaczy, to ci smutni panowie używali szyfrowanej poczty? Bo tak wychodzi z
>> Twojego zdania, może przemyśl, co w zasadzie napisałeś :->
>
> ;)
> A wiesz jak thunderbird podchodzi do tych certyfikatów? Może wyjsciem było 
> by wykosić wszystkie CA i zostawić tylko swoje? Wtedy nie dało by sie pobrać 
> żadnego e-maila nawet z legalnym certyfikatem. Czy w wypadku zmiany 
> certyfikatu, ale na legalny thunderbird by to jakoś sygnalizował?

Akurat w przypadku poczty to można jeszcze używać szyfrowania samej
wiadomości. W skrócie: szyfrujesz wiadomość kluczem publicznym odbiorcy
tak, że tylko on może to odszyfrować, następnie takiego maila wysyłasz
jakkolwiek (można też po SSLu, chociażby aby ukryć usera i hasło).
Niezależnie jak ta wiadomość będzie szła i przez jak bardzo
monitorowane/podsłuchiwane serwery tylko odbiorca będzie mógł
odszyfrować. Jedyne co widać, to że jest przesyłana wiadomość, oraz od
kogo do kogo. Treści już nie.

Szczegóły: słowa kluczowe: PGP lub S/MIME.

-- 
Pozdrawiam,
Marek Marczykowski          |   gg:2873965      | RLU #390519
marmarek at staszic waw pl  | xmpp:marmarek at staszic waw pl
http://akademia.linuksa.pl - Szkolenia Linux, PHP, Java, Office