Új hozzászólás Aktív témák

• #14952 brd nagyúr Sk8erPeter #14951

  Új Válasz 2011-11-07 09:09:25 #14952

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  brd

  nagyúr

  válasz Sk8erPeter #14951 üzenetére

  Nagyjából arról van szó, hogy van az ún. megbízható tanúsítványkibocsátó(és/vagy hitelesítésszolgáltató és/vagy a megbízható hitelesítésszolgáltató tanúsítványláncban szereplő, de szerintem most ne bonyolítsuk), amely által aláírt és nem visszahívott (érvénytelenített) tanúsítványok biztonságosnak tekintendők (ill. van még egy lejárati idejük is a tanúsítványoknak). Amikor egy böngésző azt írja egy tanúsítványra, hogy probléma van, akkor alapvetően ez a 3 dolog lehet problémás. Tehát vagy nem megbízható tanúsítványkibocsátó által lett aláírva, vagy nem kérdezhető le a tanúsítványkibocsátó által érvénytelenített állapot, vagy lejárt. Vannak még finomságok, bizonyos RFC-kel kapcsolatban, olyasmik, mint amit pl. sghc_toma is írt, de azokat most hagyjuk.
  Megbízható tanúsítványkibocsátó attól lesz valami, hogy benne van az adott OS (vagy böngésző) tanúsítványtár ezen konténerében az adott CA megfelelő tanúsítványa (az IE frissítések alatt letöltődő tanúsítványok ezt jelentik). (Vagy a hitelesítésszolgáltató megfelelő tanúsítványa egy ún. legfelső szintű által van hitelesítve, de megint csak ne bonyolítsuk.) Az Opera, ahogy látom, ezt a tanúsítványtárat (konténert?) nem tudja/akarja használni (ill. pl. a Firefox sem, de azt túl sokat nem használok, ezért nem akarok hülyeséget állítani, tessék fenntartással kezelni), gondolom, azért, mert a M$ irreális árat kérne érte (csak hogy trollkodjak is kicsit, ha talán nem is így van , tényleg, sghc_toma, Linuxon ez hogyan működik? ), ezért nála csak azok a megbízható tanúsítványkibocsátók lesznek azok, amelyek a saját tanúsítványtár, megfelelő konténerében megtalálhatóak. Gyanítom, ez kevésbé lelkesen frissül, mint az OS-é (az IE pl. ez utóbbit használja). Továbbá, az Opera, ahogy már írták, a tanúsítvány érvénytelenített állapotát (ill. annak ellenőrizhetőségét) is szigorúan veszi (ami egyébként alapvető lenne, ha már biztonságról beszélünk...). A linkelt e-szignó azért nem biztonságos az Opera számára, mert a tanúsítványt aláíró CA megfelelő tanúsítványa nem szerepel az Opera tanúsítványtárának megbízható konténerében (ez egyébként szerintem nem feltétlen baj, mert úgy gondolom, valamennyire a CA "komolyságát" is jellemzi, hogy egy több millió ember által használt böngésző - de egyébként nem csak az Operáéban nincsen benne - tanúsítványtárába nem tudott/akart bekerülni semmilyen módon).
  Ezzel az egész tanúsítványos mókával egyébként egyrészt a szokásos emberi baromság a probléma: sokszor idióták üzemeltetik az infrastruktúrát: ott van pl. a Diginotar-os probléma. Az a cég egy megbízható hitelesítésszolgáltató (is) volt, nála lehetett ellenőrizni, hogy egy tanúsítvány (nem mind, csak amihez köze volt) megbízható-e. Amikor kiderült, hogy a cég már nem az, sokáig az idióták még akkor sem tettek annak érdekében semmit, hogy a nála ellenőrzött (sőt, általa kibocsátott) tanúsítványok érvénytelennek számítsanak. A másik (bár az oka hasonló) rész pedig az, hogy részben a különböző problémák miatt, a legtöbb felhasználót nem érdekli a tanúsítványprobléma, ezért simán OK-t nyom (/hozzáad kivételt), amikor a böngésző megkérdezi tőle, hogy ez probléma-e.

  [ Szerkesztve ]

  The only real valuable thing is intuition.

Új hozzászólás Aktív témák