HTTPS - лобковые волосы
Здравствуй, ебаное Айти! Доброго времени суток, ебаные читатели, редакция и все прочие патриоты! Данная статья посвящается сугубо IT (наконец-то, ёбаный в рот!). Речь пойдет о такой замечательной пизде хуйне, как HTTPS.
Итак, что вы вообще знаете об HTTPS? Нам всем втирают, что это безопасность. Это защита от прослушки трафика, это гарантия того, что вас не выебет в жопу какой-нибудь Вася Хуякерович. Что тут говорить, на фоне всеобщего бреда по поводу перевода ресурсов на HTTPS даже появились такие сервисы, как Let’s Encrypt. Какая красота, лЯпота блять, даже платить не надо, всё бишплатно без регистрации без смс. Что конкретно представляет из себя HTTPS? Это ёбаное расширение протокола HTTP для поддержки шифрования в целях повышения твоей безопасности. Но на чем основана эта безопасность и защита? Защита HTTPS полностью основана на Рутах (ROOT CA), то есть вы доверяете свою нигерскую жопу неким третьим лицам. Эммм, какая это еще нахуй безопасность? А если произойдет взлом сервера рута и будет произведена MITM атака, то в этом случае вся эта ваша безопасность пойдет по пизде, вспомните печальку с DigiNotar. Да даже без всяких там взломов рутов ваша так называемая безопасность всё равно идёт по пизде! На стороне любого провайдера работает механизм Splice, который без всяких подмен сертификатов позволяет видеть, какие ресурсы вы посетили, чего бывает во многих случаях достаточно, чтобы взять кого-то за стоячий хуй. К тому же, есть такая хуйня, как Connection Probing. И оно на хую вертело ваш HTTPS.
В настоящее время стали как никогда популярны VPN сервисы. Везде так и лезет реклама с мольбами купить ёбаный VPN. Друзьяшки вы мои, неужели вы думаете, что ваш VPN нельзя заблокировать? VPN блокируется на раз-два, как и ваши ёбаные SOCKS. Есть такая хуйня, как DPI, который работает на транспортном уровне, и ему до пизды вообще на ваш VPN и SOCKS. Есть сигнатуры этих протоколов, и сигнатуры никуда не деть, и в случае чего оно будет блокироваться. Все эти ваши HTTPS, SOCKS, VPN — это иллюзия безопасности, нихуя это не панацея.
Не так давно довелось мне увидеть комменты к этому посту, где один пиздострадатель утверждает, что HTTPS = end-to-end. Шта, блеать? В каком он месте, ебанаврот, end-to-end? HTTPS с доверенными CA — ну никак ни разу не end-to-end, блять. А вот как раз истинный end-to-end обеспечивает безопасность, к примеру SSH.
Самой охуенной штукой можно считать обфускацию трафика. Когда происходит обфускация, то никакой DPI не поймет нахуй, че там у тебя происходит, че ты там используешь, смотришь ли голых тян на юпорне. Хороший пример — работа Tor в Китае. Вам могли сыпать в глазишки пылинки, что в Китае Tor не работает, а вот и нихуя, работает он там как миленький с помощью obfs4. Сигнатуры на него нет и не будет, так что оно вполне успешно работает даже в китайнете. Есть непубличные obfs4 мосты, которые не анонсируются нигде, да и к тому же, раз уж в сети так много тем насчет того, чтобы «прикупить за бугром простенький vps и поднять там vpn», гораздо умнее, если уж так хочется, поднять на таком сервачке obfs4 бридж, приватный бридж. свой блять, и никому его не палить, профит же. Какие блять, в жопу нахуй, VPN, который палится без проблем на любом DPI??? Так что, россияне, я бы рекомендовал вам уже сейчас вдуматься в то, что в скором времени по пизде пойдет весь российский Интернет, и настанет эпоха Чебурнета. Нужно заранее быть готовым, нужно на досуге получать обновленные списки бриджей Tor, и сохранять, чтобы на случай, когда ты утром встал и захотел подрочить на любимых порномоделей на любимом сайтике, а на экране не вылез вместо неё товарищ Майор. И никогда не доверяйте голому HTTPS свою безопасность, ведь это не больше, чем волосишки на вашем лобке.
Всем защекоинов и попутного ветра в сраку.
Коментарі (228)
первая нахуй
кто ты такая тупая мразь, куда делась разрабка с жырной сракой???
она на госзаказе, газ генерирует
Ну вот и иди нахуй 😀
Я, конечно, извиняюсь, но идите вы нахер, друзья: мат вперемешку с терминами — что, блядь? Все цело статья про IT?
Автор вообще знает ебанное определение слово «статья», данное в толковом словаре, мать его за ногу, Ожегова? А я скопипащу : СТАТЬЯ, -и, род. мн. -тей, ж. 1. Научное или публицистическое сочинениенебольшого размера. Газетная, журнальная с. Критическая с.
Итак, вышеописанный набор слов без пруфов не научный, и даже не публицистический, он просто бредовый.
Вот автор пишет, что https говно. А что именно : то ли какой-то пункт его в RFC напрягает, то ли реализация где-то в apache или в ngnix — самому, что ль, догадываться? Третьи лица — ну, так, ебана в рот, потому и придумали сертификационные центры, блядь, чтобы никто левый не снифферил. Короче. Тема не раскрыта.
«VPN — это иллюзия безопасности.» Текста, поясняющегг мысль нет. А разгадка одна — автор почитал в Википедию и возомнил, что vpn говно.
Естественно это иллюзия, если не поднимать свой vpn на дедике. Потому что хер его знает, кто админ и то, что он начестном слове и на одном крыле все держится, а он может уже дрочит на твою порнуху, потому что пропускает траффик твой через комп, или впихивает туда рекламу. Эффект стейзент на гитхабе смотри, дрочер. Иллюзия, блядь. Твоя компетентность тут — единственная иллюзия.
Я вот смотрю на книжку по SSL и на книжку Таненбаума о тихо охреневаю: по объему-то почти одинаково, но если у Таненбаума все написано в стиле галопом по Европам, полугодовой курс цифровых и микропроцессорных устройств на пол главы, то у Ристика байка об одном.
Но чтобы такие высеры откладывать на ебаном айти, книжки такие читать ни к чему.
Lets encrypt ему еще не нравится.
Блядь, да этому смузихлебу нихера про цены сертификатов не известно. Ну попробуй, сделай сайт без https, а потом расскажи Гуглу и Яндексу, что у тебя нормальный адекватный сайт. Я ожидал, что тут напишет про навязывание https там, где оно не надо, но нет — мозгов у автора статьи на это не хватило.
Короче, это позор. В редакторы на ебаном ИТ берут выебщиков-петухов, которые и могут только горланить отсебятину, хочу заметить, НИКОМУ НЕ НУЖНУЮ.
Жук, кинь его на зарплату или за щеку плиз.
P.s. : я понимаю , что первый блин всегда комом, но давай, автор, признайся честно, что ты и не планировал нормальную статью писать, начать нормальный дискасс. Ты просто хотел насрать мне в ленту новостную. Потому иди и изучай материал, пиши нормальную статью про https и без годноты не возвращайся.
пожарную бригаду, срочно! у человека возгорание ануса, анус полыхает!
месье, если вы так будете реагировать на каждого долбаеба в интернетах, вас скосопиздит сердечный приступ
А по-моему, нормально все разложил. Это как раз у автора статьи полыхает не к месту.
отнюдь, автор — просто долбоеб
Два чая этому господину!
3 смузи в сраку
Да ебать колотить.
Я рабол в одной компании которая барыжит этми ебаными сертификатами.
И я могу сказать что это просто блять мыльный пузырь.
Для безопасности хомяков, достаточно сделать само подписанный сертификат и по секьюрити это будет тоже самое что ты купить за тонну баксов.
+ как показывает практика проще хакнуть сам сервак и получить все данные чем ебаться с снифить трафик.
Самоподписаный сертификат можешь засунуть себе за щеку и провернуть против часовой.
То, что ты работал подносителем кофе в барыжке сертификатами — это будешь хрюшки рассказывать.
Я умолчу, что ты прав в узком смысле, когда речь идёт о корпоративной сети, я буду гнобить тебя за то, что у нас дискасс идёт в широком смысле, речь идет про b2c через интернет, и оказывается, что у всех браузеров и ос свои хранилища, и никто в очереди за твоим самодроченным сертификатом не стоит…
Лови защеку, ты защекан соси и помалкивай.
ану скажи сколько злоумышленник будет ебаться и снифить траф.
И какой блядь он профит может получить.
Не проще ему бля просто найти уязвимость на сайта или в системе?
по поводу сертификатов ты опять не прав. с точки зрения защите разницы в них нет
если ты его сам подпишешь или купить сертификат за 6 баксов или за 2000
алгоритмы защиты одинаковые.
Единственное отличие что за 2к проверят, что компания действительно существует.
Ну и что из этого?
Еще для упоротых ублюдков, степень защиты и алгоритмы шифрования у всех одинаковые.
>> с точки зрения защите разницы в них нет
По-внимательнее, об этом никто не спорит.
>>Единственное отличие что за 2к проверят, что компания действительно существует.
Об этом и речь в широком смысле. Ещё раз, тут никто не говорит о том, что будто есть разница, за 2к баксов тебе сделают сертификат используя openssl, или ты сам.
Для корпоративной сети — понятное дело, что разрабы сами берут ответственность на себя — в договоре это должно быть отражено.
Но когда речь идет о задействовании Интернет и большого круга лиц, а не только сотрудников компании, которых можно проинструктировать и наказывать за нарушение ТБ.
Сертификационный центр решает проблему достоверности сертификата, ни больше, ни меньше. И то, как качественно обеспечивается достоверность того, что этот сертификат есть только у тебя, что только ты управлять тем, у кого будет закрытый ключ, и будет ли он вообще.
В такие моменты невольно всплывает Казахстан в качестве примера. Баши отдал команду, создали свой удостоверяющий центр (хрена делов-то, табличку на дверь повесить) и головная боль госсниффров решена — сэкономлены миллиарды вечнозеленых вместо альтернативного развития сорма, и за это себе даже премию выписать не жалко.
Единственное, что удостоверяет этот центр по факту — то, что https отменено. И не надо никаких взломов, кряков, каких-то чертей за границей учить писать usb открывашки заточенные под uefi, не нужно покупать 0day вульны, всё что нужно — это запастись лубрикантами, чтобы в самый разгар веселья не останавливаться на достигнутом. У кого ключи этот уц вообще не гарантирует — вполне вероятно, что внучатый двоюродный брат сестры племянника сына маминой подруги, муж которой шишка в центральном управлении МВД, имеет всё для того, чтобы просто сидеть у любого публичного wifi и стричь бабло прямо не отходя от кассы.
вот здесь как раз и подходит, Скакуняка, твоя цитата:
>> И я могу сказать что это просто блять мыльный пузырь.
Призываю сюда страпонессу PhD Настеньку с её высоким образованием в каких то безопасностях Тиндера…
Она вам сейчас прочитает лекцию… а потом офер настрочит.
Пиздуй туда, где не дают отсебятину хуярить на пэршу шпальту каждому блядь встречному эникею, каждому жидоангуляру, выебщику, влюблённому дрочуну, стукачу, маргиналу, иллитте, просто хорошим людям. Пиздуй в тепло лампового продакт плейсмента. Там жалуйся. Ишь чего удумал! Ты действительно тут хотел узнать новое про сайтики с замочком? — несчастный ты человек. тут приходят за IT, за ебаным Интер Тейментом.
лови за щеку!
Взял афтора на стоячий хуй. Не, я не гей, гей — это кого ябут. Статья — гавно, афтар — малолетний далбоеб-гумус. Сосите хуй.
Ребята, мы не пидарасы, просто иногда теряем контроль за своей жопой !
т.е. если я комуто отсыпаю за щеку по https какаята сучка может все перехватить? какого хуя?
Зато представь, так ты за щеку отсыпаешь одному, а выходит одному и еще третьим лицам! Много ходов очка
Надо Бозуке сообщить, что когда будет доставлять годный контент Тане по https, чтобы убедился что нету 3х лиц посередине
Мой контент лучше и гораздо дешевле !!!11
Настя с Тиндера может тебя за твой SSL вяленький схватить
Мистер сайбер недолбойоб наверно не знает, кому принадлежат TOR сервера. Слыхал как Silkroad вычислили? PKI на то и паблик, что на рутах завязана. Да и на провайдер сайдах ничего нет — тебе Сноуден все подробно рассказал как траф снимают. Самый надежный способ работы в Интернете, если таковой вообще можно найти, является private VPN, даже дабл если угодно.
Очередной хохложопыш возомнил себя умником, прочитав по накурке securitylab.
Любой, кто админит какую-нибудь циску с nbar или прокси на продакшене скажет то же самое, тупень. А расскажи-ка нам, как Силку вычислили? Ты хоть сначала сам прочитай подробности в дыркнете, прежде чем тупую хуйню нести. TOR сервера кому принадлежат? Ты хоть знаешь, как работает Tor? Иди защекоинов поешь, пойди мысли поумнее в голову придут
Ты какой-нить новоиспеченный CCNAщик, проработавший у кыйивському офиси Воли лет 8, готов поспорить. Твой nbar, уебок ты малограмотный, работает в «process switching» на офисных ISRах. Но поскольку ты понадусэшник, как и большинство хохло спыциалыстив, то метать пред тобой бисер будет твой хохло говноменеджер, когда ты, набравшись смелости, будешь умолять о повышении зп на пару сотен гривен.
Слыш, проблядун с ангулярным дуплом? Я в курсе всего, что происходит в данный момент у провайдеров, что там стоит и как работает. У тебя молоко не обсохло еще на губах, которые защекоины ловят ежеминутно. Понаписал какую-то хуйню не по делу, а сказать-то и нечего. Я легким движением своего хуя могу захуякать все випиэны твои проблядунские на уровне ПРОТОКОЛА. Все твои СОКСЫ, и соски и письки, и прочее говно. А вот неизвестный трафик, он же obfuscated traffic, никто блочить не будет никогда, потому что отвалится к хуям много чего. Поэтому obfs — единственное, что будет всегда работать. Иди матчасть изучи, сынок
> obfuscated traffic, никто блочить не будет никогда, потому что отвалится к хуям много чего.
угу, ты с быстрым там поаккуратней, а то страна лишится еще одного крыпто-побратыма
Поспела твоя матчасть: https://www.youtube.com/watch?v=3HX01Ca10TU
Ребята пора расслабиться и посмотреть что там в рюкзачке админа 😉
Обфускал свой белковый трафег тибе в ротан. Достал, терь можешь заблокировать порт.
не успел ты достать, бегаешь девочкой теперь
Поддерживаю. Просто уебаны долбятся в ангулярное дупло, думать им некогда
> никогда не доверяйте голому HTTPS свою безопасность, ведь это не больше, чем волосишки на вашем лобке
блять, чтоб придти к такой формулировке недостаточно только бухать и колоться, надо еще и с рождения быть ебнутым дегенератом
алсо, слышь, Сразу Битый, что ты нах там шифруешь? мамка со сниффером попалила за просмотром гейской порнухи?
Жаркоин, перелогинься
перелогинился за щеку твоей мамке
Пока ты там его мамку ебал, я выебал твоих сестёр в жопу 😉
ты хотел написать, что выебал козу в жопу, но потом отвлекся, утырок дислексичный
Скачал 100 петабайт порно. К апокалипсису готов.
куда сохронил, peace da ball?
Мария, ну вам то и не знать, конечно за щеку, ему еще хрюши ебам обещали экзобайт золотого дождя насыпать, чтобы с жажды не помер в апокалипсис!
так для него есть работа в невеселом будущем. Мыкола Мнемоник, 100 петабайт защекой
Маруся, в твой рот и больше поместиться!
По https качал?
Я тоже так думаю… думал… буду думать. Откуда ты такой умный вылез блядь.
А на ангуляре будет работать?
я пробовал — он узок, как глазок махно.
Будет. Более того, защекоины будут лететь во все стороны
если по HTTPs нельзя кидать на последнюю зарплату, то протокол — гавно!
> Connection Probing
А почему обычные юзвери до сих пор не подняли файлопомойки на своих компах?
> HTTPS с доверенными CA — ну никак ни разу не end-to-end, блять. А вот как раз истинный end-to-end обеспечивает безопасность, к примеру SSH.
Ничё что SSH работает на тех же стандартах что и HTTPS?
SSH — полноценный e2e, тащемта, аффтар прав.
Ну и на HTTPS при правильном выборе рута можно это организовать.
Стандарт-то один!
вопрос весьма спорной терминологии
если мы говорим о шифровании то HTTPS это как раз e2e encryption и там также есть forward secrecy
автор конечно местами перегибает (либо поверхностно владеет) даже по моим меркам
но вот тут вы накинулись зря на него..
а зачем тогда root-ca? грубо говоря — для того чтобы удостоверить, что ключ e2e шифрования был создан именно запрашиваемым ресурсом, а не челом по середине.
а в SSH вы запоминаете хеш ключа в первый логин, но его изначально никто не удостоверяет
конечно лучше чем HTTPS будет HTTPS + Certificate Pinning
но всякие уебанские гуглы генерят сертификаты на google.com чаще чем я хожу в уборную
а еще автор не понимает что подделать сертификат можно попробывать через BGP или DNS
вот кто отвечает за com? VeriSign? А штаб квартира где? Пендосия и АНБ ))
с другой стороны публичность такого механизма создает определенный риск для больших компаний
и даже такие монстры как Symantec когда начинали выебываться получали пиздюлей
но в целом да — без сообщества один в поле не воин…
Товарищь майор отъебитесь пожалуйста…