Тухлый Александр (0xd34df00d)

*programming
Жуйк, я, возможно, совершенно не понимаю сути SSL, но разъясни мне, как решается следующая проблема.
Есть личкрафты и есть sync-сервер. У сервера есть сертификат и подключение происходит через SSL, дабы все было хорошо.
Теперь, ведь если злоумышленник подправит URL сервера (или даже DNS, чо уж там, записи для sync.leechcraft.org подменить) и заменит сертификат на клиентском компе, то клиент будет коннектиться к нехорошей машине злоумышленника и думать, что все хорошо.
Что я не понимаю?

#1155484
from Azoth_primary, 7 months ago

← All messages

Replies (68)

Post a reply (xmpp)

@Zetoke:
Защита файлов на HDD юзера — не задача SSL, не?
#1155484/1
from web, 7 months ago
@gelraen:
клиент должен уведомлять об изменении даже валидного сертификата, емнип
#1155484/2
from home, 7 months ago
@gelraen:
ну а если у злоумышленника есть доступ к клиентской машине то емуц уже и подменять ничего не надо
#1155484/3
from home, 7 months ago
@0xd34df00d:
@gelraen Хм, разумно.
#1155484/4
from web, 7 months ago, in reply to /3
@0xd34df00d:
@Zetoke Это защита от синка на левый сервер.
#1155484/5
from web, 7 months ago, in reply to /1
@0xd34df00d:
@gelraen Об изменении его где?
#1155484/6
from web, 7 months ago, in reply to /2
@GlavVrach:
Клиент должен принять подменённый сертификат. Не? Это если не принимать к рассмотрению аксиому про 95%.
#1155484/7
from Home, 7 months ago
@OCTAGRAM:
Сертификат подписывается корневым центром сертификации. Отпечатки корневых центров предустановлены у клиента и меняться не должны.
#1155484/8
from Xen, 7 months ago
@gelraen:
@0xd34df00d он должен помнить что вот был такой сертификат, а тут ВНЕЗАПНО всё осталось так же, а сертификат поменялся
#1155484/9
from home, 7 months ago, in reply to /6
@0xd34df00d:
@OCTAGRAM Что мешает злоумышленнику подписать сертификат так же, как я его подписываю?
Олсо, у меня денег нет на подпись :3
#1155484/10
from web, 7 months ago, in reply to /8
@0xd34df00d:
@GlavVrach Как он его принять-то должен, как он это определит?
#1155484/11
from web, 7 months ago, in reply to /7
@gelraen:
@0xd34df00d cacert.org
#1155484/12
from home, 7 months ago, in reply to /10
@0xd34df00d:
@gelraen А кто мешает подменить эту схороненную информацию аналогично?
#1155484/13
from web, 7 months ago, in reply to /9
@mva:
если сертификат захардкодить, то его довольно сложно подменить :)
#1155484/14
from note, 7 months ago
@sarutobi:
Очень интересно.... Я ничего не пропустил в цепочке логических рассуждений? Сначала делаем подписанный сертификат для домена, потом меняем ДНС запись, а потом каким то образом подсовываем клиенту новый сертификат?
#1155484/15
from mcabber.89404ba3, 7 months ago
@0xd34df00d:
@mva И обновить есличо тоже будет тяжело.
#1155484/16
from web, 7 months ago, in reply to /14
@gelraen:
@0xd34df00d сертификат не обновляется, обновляется подпись
#1155484/17
from home, 7 months ago, in reply to /16
@0xd34df00d:
@sarutobi Да. Если он хранится в /some/path/certificate, то просто заменяем файлик с ним, чо там.
#1155484/18
from web, 7 months ago, in reply to /15
@0xd34df00d:
@gelraen Щито?
#1155484/19
from web, 7 months ago, in reply to /17
@gelraen:
@0xd34df00d сертификат подписывается кем-то на определённый срок. когда срок истекает — тот же сертификат можно подписать заново. приватный и публичный ключи остаются те же
#1155484/20
from home, 7 months ago, in reply to /19
@sarutobi:
@0xd34df00d для начала — как Вы планируете получить сертификат для того же домена у того же регистратора?
#1155484/21
from mcabber.89404ba3, 7 months ago, in reply to /18
@0xd34df00d:
@gelraen Офигеть.
А если вдруг потребуется поменять сертификат? Я даже не знаю, зачем, но вдруг?
#1155484/22
from web, 7 months ago, in reply to /20
@sarutobi:
@gelraen LOLWUT ??? O_O
#1155484/23
from mcabber.89404ba3, 7 months ago, in reply to /20
@gelraen:
@0xd34df00d опять подписывать, но тогда уже придется менять публичный ключ вшитый в клиент
#1155484/24
from home, 7 months ago, in reply to /22
@gelraen:
@sarutobi чо? никогда не видели подписанных сертификатов? о_О
#1155484/25
from home, 7 months ago, in reply to /23
@sarutobi:
@gelraen O'really? ну-ну....
#1155484/26
from mcabber.89404ba3, 7 months ago, in reply to /24
@sarutobi:
@gelraen как раз не один CA поднял и потому немного шоке
#1155484/27
from mcabber.89404ba3, 7 months ago, in reply to /25
@gelraen:
@sarutobi ну если он хотет держать сертификат внутри клиента — то надо
#1155484/28
from home, 7 months ago, in reply to /26
@gelraen:
@sarutobi ок. какая часть сертификата подписывается? публичный ключ или приватный?
#1155484/29
from home, 7 months ago, in reply to /27
@sarutobi:
@gelraen гм... продолжайте, продолжайте
#1155484/30
from mcabber.89404ba3, 7 months ago, in reply to /28
@0xd34df00d:
В этом треде никто не понимает сути SSL :3
#1155484/31
from web, 7 months ago
@gelraen:
@0xd34df00d ты ещё здесь? дуй на cacert.org :3
#1155484/32
from home, 7 months ago, in reply to /31
@sarutobi:
@gelraen ой-вэй...... для сведения, сертификат — это подписанный реквест, который представляет из себя комбинацию на основе приватного ключа
#1155484/33
from mcabber.89404ba3, 7 months ago, in reply to /29
@gelraen:
@sarutobi приватный ключ никому и никогда не показывается. а эта "комбинация на основе приватного ключа" включает в себя subject сертификата и публичный ключ
#1155484/34
from home, 7 months ago, in reply to /33
@mva:
@gelraen показывается. вебсерверу :)
#1155484/35
from note, 7 months ago, in reply to /34
@gelraen:
@mva веб-сервер его же и использует, но никому не показывает
#1155484/36
from home, 7 months ago, in reply to /35
@sarutobi:
@gelraen вы имеете в виду реквест?
#1155484/37
from mcabber.89404ba3, 7 months ago, in reply to /34
@gelraen:
@sarutobi да
#1155484/38
from home, 7 months ago, in reply to /37
@sarutobi:
@gelraen для нормальной работы ЕМНИП нужен сертификат сервера и сертификат CA на клиенте + PK & сертификат CA на сервере
#1155484/39
from mcabber.89404ba3, 7 months ago, in reply to /36
@sarutobi:
@gelraen создать реквест — минутное дело. Получить подпись CA — ИМХО немного проблематично, т.к. список отозванных сертификатов также обновится
#1155484/40
from mcabber.89404ba3, 7 months ago, in reply to /36
@gelraen:
@sarutobi на клиенте нужен только сертификат CA, сертификат сервера будет получен при соединении, а на сервере нужен подписанный сертификат и приватный ключ, сертификат CA там держать даже незачем.
#1155484/41
from home, 7 months ago, in reply to /39
@gelraen:
@sarutobi ну да, на том ssl и держится. но злоумышленник может добавить свой сертификат CA и подписывать сертификаты им же.
#1155484/42
from home, 7 months ago, in reply to /40
@sarutobi:
@gelraen может. доверять CA кто будет?
#1155484/43
from mcabber.89404ba3, 7 months ago, in reply to /42
@gelraen:
@sarutobi определите "доверять"
#1155484/44
from home, 7 months ago, in reply to /43
@sarutobi:
@gelraen у меня SelfSigned CA сертификат, который не находится в списке доверенных (не подписан доверенными центрами, ключи от котрых есть в системе).
#1155484/45
from mcabber.89404ba3, 7 months ago, in reply to /42
@gelraen:
@sarutobi клиент при содинении к серверу с сертификатом подписанным неизвестным CA должен громко материться. но если предполагаемый злоумышленник может подменить сертификат сервера в клиенте, то он может и добавить свой сертификат CA в систему и клиенты будут считать сертификаты подписанные этим СА валидными
#1155484/46
from home, 7 months ago, in reply to /45
@sarutobi:
@gelraen Итак, для этого нужно добавить свой сертифкат в сисок доверенных на клиентской системе. Напомните, плиз, можно ли это сделать без административных привилегий?
#1155484/47
from mcabber.89404ba3, 7 months ago, in reply to /46
@mva:
@sarutobi теоретически, да.
#1155484/48
from note, 7 months ago, in reply to /47
@gelraen:
@sarutobi а в Program Files на венде можно писать без административных привилегий? это уже проблема локальной безопасности системы, а не ssl
#1155484/49
from home, 7 months ago, in reply to /47
@mva:
@mva ну, для этого, правда, нужно таки до этого получить права в системе и кое-что подправить :)
#1155484/50
from note, 7 months ago, in reply to /48
@sarutobi:
@gelraen не путайте права доступа ФС, которые настраиваются и доступ к доверенным сертификатам системы :) Даже на винде
#1155484/51
from mcabber.89404ba3, 7 months ago, in reply to /49
@gelraen:
@sarutobi а доверенные сертификаты не на ФС хранятся? внезапно-внезапно
#1155484/52
from home, 7 months ago, in reply to /51
@sarutobi:
@gelraen внезапно-внезапно хранятся на ФС. только вот еще и реестр для них есть, ога?
#1155484/53
from mcabber.89404ba3, 7 months ago, in reply to /52
@Phoenix:
вроде нормальный такой пост, а уже 53 реплая..
#1155484/54
from talkonaut-S60-3rd_5.69.67_c85bd6, 7 months ago
@gelraen:
@sarutobi это уже деталь реализации и, опять-же, проблема локальной безопасности
#1155484/55
from home, 7 months ago, in reply to /53
@sarutobi:
@gelraen т.е. проблема оптья же — локальный админ на клиенте + куча всяких проблемных заморочек с CA
#1155484/56
from mcabber.89404ba3, 7 months ago, in reply to /55
@mva:
@sarutobi с локальным админом на клиенте — нахер не надо подменять сертификат, чтобы скачать левый апдейт. Можно пожменить кусок клиента :)
#1155484/57
from note, 7 months ago, in reply to /56
@sarutobi:
@mva вопрос был в SSL-сертификатах вроде? ;)
#1155484/58
from mcabber.89404ba3, 7 months ago, in reply to /57
@gelraen:
@sarutobi ну ясное дело что сохранность списка доверенных СА должна поддерживаться системой, но не говорите что добавление сертификата в список СА на винде — нечто абсолютно и совершенно нереализуемое без вмешательства пользователя, знающего что он делает. Я бы не был так уверен что сейчас в любой винде нельзя обнаружить 2-3 локальных уязвимости, позволяющие получить права администратора, а то и системы, без участия пользователя
#1155484/59
from home, 7 months ago, in reply to /56
@sarutobi:
@gelraen все можно сделать без участия человека. согласен. так же как не бывает неуязвимых систем. Но мы немного уходим в сторону от изначальной темы, не?
#1155484/60
from mcabber.89404ba3, 7 months ago, in reply to /59
@gelraen:
@sarutobi изначальная тема была про то, что кто-то может чего-то сделать на стороне клиента и заставить его качать левые апдейты :)
#1155484/61
from home, 7 months ago, in reply to /60
@sarutobi:
@gelraen про то что кто то может сменить сертификат на клиенте и изменить НС запись, и как в этом случае сработает SSL
#1155484/62
from mcabber.89404ba3, 7 months ago, in reply to /61
@gelraen:
@sarutobi /2
#1155484/63
from home, 7 months ago, in reply to /62
@sarutobi:
@gelraen нуда. мы пришли к выводу что без локального админа это слабореализуемо. а по поводу уведомления — клиент обязан орать в случаях когда есть неизвестный CA либо срок действия сертификата невалиден
#1155484/64
from mcabber.89404ba3, 7 months ago, in reply to /61
@gelraen:
@sarutobi ну да. но опять же, получение локального админа — не слишком большая проблема на винде. А про уведомления — по-хорошему клиент должен уведомлять не только о невалидных сертификатах, а и об изменении валидных, ибо это тоже потенциально создает проблемы с безопасностью. Если просто продление срока ещё можно пропустить и не уведомлять пользователя, то при изменении CA которым был подписан сертификат уже надо вовсю бить тревогу и спрашивать что делать.
#1155484/65
from home, 7 months ago, in reply to /64
@OCTAGRAM:
@0xd34df00d отсутствие приватного ключа для цифровой подписи
#1155484/66
from Xen, 7 months ago, in reply to /10
@Stiletto:
Ну ШТОЗАХУЙНЯ в этом треде блеать?
Берешь создаешь самоподписанный сертификат CA. Подписываешь им сертификат сервера. Сертификат CA ЖЕСТКО ВГОНДОНИВАЕШЬ В ЛИЧКРАФТЫ (да хоть base64 внутри сорцов). И пусть блеать пытаются его подменить, лол. А если тебе захочется изменить сертификат сервера — меняй, епта, только подписывай тем же сертом.

Алсо, я считаю, что вопрос в принципе какой-то странный. Если у меня есть доступ к локальной системе, нахуя мне обманывать личкрафты чтобы спиздить инфу? Я просто, блеать, возьму локальный профиль личкрафтов и целиком его спизжу, без всяких фейкосерверов синхронизации.
#1155484/67
from web, 7 months ago
@mva:
@Stiletto я тоже самое пытался сказать еще полтреда назад :)
#1155484/68
from note, 7 months ago, in reply to /67

Тухлый Александр (0xd34df00d)

Subscribe

Replies (68)

Messages

Tags all

Search

Statistics