Új hozzászólás Aktív témák
-
#14595328
törölt tag
Meg lehet oldani a POST titkosításával, bár gyakorlatban nem sok helyen láttam ilyet.
Amúgy ezt én is pont a napokban figyeltem
[ Szerkesztve ]
-
#14595328
törölt tag
válasz dragon1993 #18 üzenetére
Magával a Let's Encrypt-tel semmi bajom sincs, értékelhető az ötlet és különösen a megvalósítás. De egy így bárki csináltathat magának SSL tanúsítványt, lényegében értelmetlenné téve ezzel az aláírást. Ennyi erővel engedélyeztetni lehetne a self-signed tanúsítványokat is.
A tanúsítvány, amit mi használunk, több nap míg elkészül, különböző papírokat kell küldeni, stb. Na, itt ellenőrzik a tulajt, garantálják a hitelességet. Ez az, ami a Let's Encrypt-nél kimarad.
Érdemes megnézni majd a Qualys SSL teszt oldalán mennyivel nőtt a tanúsítványt használók száma a Let's Encrypt indulása után.
A HSTS és HPKP szintén hasznos dolog, csak a tárhely szolgáltatók nem sűrűn adnak lehetőséget ezek beállítására. Sőt soknál még az SSL protokollt és chipher suit-ot sem lehet módosítani, így engedélyezve van az SSLv3 is pl.
[ Szerkesztve ]
-
#14595328
törölt tag
válasz dragon1993 #20 üzenetére
Persze, hogy nem csinálhatsz, de ők meg ellenőrzés nélkül csinálnak bárkinek. Nekem ez a része nem tetszik a dolognak.
A StartSSL legalább elkéri a személyes adatokat még az ingyenes tanúsítvány kibocsátása előtt is, bár azt nem tudom, hogy ellenőrzik-e.EV-hez kell papír, legalábbis régebben kellett, az újat nem én intéztem!
Amiket írtál, azokhoz valóban nem kell semmi, mivel csak a domaint szintű az ellenőrzés, ahhoz meg elég a WHOIS-ben lévő e-mail cím, ahogy írtad.
StartSSL kért pl. útlevelet a Personal Validation-höz, a Company Validation-höz céges papírokat, valamint felhívtak telefonon mindkét esetben és be kellett olvasni pl. a születési helyet, vagy a cég címét.
A címet köszönöm, sajnos az érvényes diák miatt kilőve, talán majd a gyerekeké 1-2 év múlva Beleolvastam a blogodba, hirtelen elöntöttek az emlékek, legalább nem csak én szívtam a Neptunnal...
A bank meg... Inkább nem részletezném a véleményem.
[ Szerkesztve ]
-
#14595328
törölt tag
válasz dragon1993 #22 üzenetére
Na ezt ki fogom próbálni! Beleolvastam mi van benne, egész jó!
DigitalOcean-t próbáltad már amúgy?SSLv2? Az szép Igaz, hogy a Neptun nem egy bank, de akkor is.
[ Szerkesztve ]
-
#14595328
törölt tag
válasz dragon1993 #24 üzenetére
Frankfurtban van náluk egy backup szerverem (meg New Yorkban egy DNS), szerintem az egyik legjobb VPS szolgáltató. Ki akarom majd próbálni a floating IP-t, szerintem erre majd benevezek 1-2 hónap múlva.
Amúgy, ha esetleg olcsó VPS-t keresel majd valamikor, nézzed meg ezt. Náluk van egy 256MB-os (120GB hdd) kis "gépem", ami simán elvisz 2-3 közepes oldalt és jó az amszterdami szerver sávszéle (UPC vitte rajta a ~240/20-at).
-
#14595328
törölt tag
Nem mondtam, hogy nem az, de attól még van ilyen és tényleg működik.
Az OTP 8 karaktert enged, de legalább a két lépcső megvan, plusz kell még az azonosító. Ha nem egyszerű bejelentkezést választok, mindenhol SMS kell. (Van, amihez egyszerű bejelentkezésnél is.)
A legjobb netbankot eddig az AXA Banknál használtam:
- login oldal: azonosító + jelszó (nem tudom milyen hosszú lehet, én 9 karaktert használtam)
- SMS azonosítás
- számlaválasztásnál PIN kód random sorrendű számsorból kiválasztva a számokat
- Belül mindenre SMSSSLv3 támogatott náluk, de van legalább HSTS.
[ Szerkesztve ]
-
#14595328
törölt tag
Nem azt írtam, hogy kijátszhatatlan, hanem azt, hogy kérték.
Annyit amúgy kihagytam a postból, hogy kellett küldeni telefonszámlát, ami a cég nevére szólt, rajta a telefonszámmal. Mégha a papírokat sikerülne is beszerezni (hamisítani), azért a telefon eltűnése talán feltűnne.
Amúgy várom az ötleteidet, hogy lehetne biztonságosabbá tenni az azonosítást, meg is írhatod nekik gondolom!
Amúgy egy hozzászólásban is tudsz válaszolni 4 postra, 5 percig szerkesztheted!
-
#14595328
törölt tag
Szerencsére a böngészők jó része már támogatja a TLSv1.2-t, mint itt is látható.
Természetesen a szervert is megfelelően kell konfigurálni, ami nem minden esetben történik meg sajnos. Javításról én sem hallottam még, inkább csak a sebezhető protokollokat próbálja mindenki elkerülni. Mondjuk ehhez nem árt az OS-ek, böngészők frissítése sem.
A PGP-s gondolatoddal maximálisan egyetértek!
Új hozzászólás Aktív témák
- Politika
- XGS24 - Jövőre érkezik az új Fable
- exHWSW - Értünk mindenhez IS
- XGS24 - Remekül néz ki az új Perfect Dark
- Milyen okostelefont vegyek?
- Kerékpárosok, bringások ide!
- Spórolós topik
- XGS24 - Ilyen lesz a South of Midnight
- Moderátort keresek a fórumhoz!
- Szeged és környéke adok-veszek-beszélgetek
- További aktív témák...
Állásajánlatok
Cég: Ozeki Kft.
Város: Debrecen