🚀 go-pugleaf

On 2018-05-04, goo-mlyny@ciach.net <goo-mlyny@ciach.net> wrote:
> W dniu piątek, 4 maja 2018 14:44:19 UTC+2 użytkownik Marcin Debowski napisał:
>> Adres będzie poprawny ale wcale nie musisz się połączyć z tym adresem.
> No - i? Przecież przeglądarka natychmiast da ostrzeżenie, że strona posługuje się certyfikatem, który jest niepoprawny. Bo oczywiście nie ma problemu, żeby pod adresem  https://online.mbank.pl odezwał się np. mój serwer - ale jest dosyć trudno przygotować certyfikat dla takiego serwera - w taki sposób, żeby przeglądarka go zaakceptowała ;-)
>  
>> Natomiast jeśli operator nie będzie bruździł i przechwytywał polączenia, 
>> Twoje urządzenie nie bedzie shakowane, nię bedziesz miał żadnych dziur w 
>> systemie, a przeglądarka i serwer banku będą poprawnie implementować 
>> szyfrujące protokoły, które też nie będą miały dziur i innych podatności 
>> to oczywiście wszystko będzie ok.
>> 
>> Z tym, że rozważanie takiej sytuacji o tyle nie ma sensu, że główne 
>> niebezpieczeństwo polega właśnie na tym, że połączenie może zostać 
>> przechwycone. Jeśli nie możesz zaufać operatorowi, to nie możesz 
>> rozważać, że nie będzie.
>
> Naprawdę przejęcie zaszyfrowanego połączenia klient-bank czymś grozi?
> Co ktoś może zrobić z taką zaszyfrowaną transmisją?

Ło matko, to nie będzie zaszyfrowana transmisja z bankiem a z jakimś 
innym miejscem. Wyobraź sobie sytuację, że dzwonisz po taksówkę, pojawia 
się taksówka identycznie wyglądająca, ale to nie będzie ta taksówka, 
którą chciałeś wezwać. Musiałbys np. pooglądać jej certyfikat aby 
stwierdzić różnice. Wydaje mi się, że zdobycie certyfikatu, który 
przeglądarka łyknie bez narzekania jest stosunkowo łatwo wykonalne, a to 
wszystko czego potrzeba.

-- 
Marcin