HTTPS - лобковые волосы
Здравствуй, ебаное Айти! Доброго времени суток, ебаные читатели, редакция и все прочие патриоты! Данная статья посвящается сугубо IT (наконец-то, ёбаный в рот!). Речь пойдет о такой замечательной пизде хуйне, как HTTPS.
Итак, что вы вообще знаете об HTTPS? Нам всем втирают, что это безопасность. Это защита от прослушки трафика, это гарантия того, что вас не выебет в жопу какой-нибудь Вася Хуякерович. Что тут говорить, на фоне всеобщего бреда по поводу перевода ресурсов на HTTPS даже появились такие сервисы, как Let’s Encrypt. Какая красота, лЯпота блять, даже платить не надо, всё бишплатно без регистрации без смс. Что конкретно представляет из себя HTTPS? Это ёбаное расширение протокола HTTP для поддержки шифрования в целях повышения твоей безопасности. Но на чем основана эта безопасность и защита? Защита HTTPS полностью основана на Рутах (ROOT CA), то есть вы доверяете свою нигерскую жопу неким третьим лицам. Эммм, какая это еще нахуй безопасность? А если произойдет взлом сервера рута и будет произведена MITM атака, то в этом случае вся эта ваша безопасность пойдет по пизде, вспомните печальку с DigiNotar. Да даже без всяких там взломов рутов ваша так называемая безопасность всё равно идёт по пизде! На стороне любого провайдера работает механизм Splice, который без всяких подмен сертификатов позволяет видеть, какие ресурсы вы посетили, чего бывает во многих случаях достаточно, чтобы взять кого-то за стоячий хуй. К тому же, есть такая хуйня, как Connection Probing. И оно на хую вертело ваш HTTPS.
В настоящее время стали как никогда популярны VPN сервисы. Везде так и лезет реклама с мольбами купить ёбаный VPN. Друзьяшки вы мои, неужели вы думаете, что ваш VPN нельзя заблокировать? VPN блокируется на раз-два, как и ваши ёбаные SOCKS. Есть такая хуйня, как DPI, который работает на транспортном уровне, и ему до пизды вообще на ваш VPN и SOCKS. Есть сигнатуры этих протоколов, и сигнатуры никуда не деть, и в случае чего оно будет блокироваться. Все эти ваши HTTPS, SOCKS, VPN — это иллюзия безопасности, нихуя это не панацея.
Не так давно довелось мне увидеть комменты к этому посту, где один пиздострадатель утверждает, что HTTPS = end-to-end. Шта, блеать? В каком он месте, ебанаврот, end-to-end? HTTPS с доверенными CA — ну никак ни разу не end-to-end, блять. А вот как раз истинный end-to-end обеспечивает безопасность, к примеру SSH.
Самой охуенной штукой можно считать обфускацию трафика. Когда происходит обфускация, то никакой DPI не поймет нахуй, че там у тебя происходит, че ты там используешь, смотришь ли голых тян на юпорне. Хороший пример — работа Tor в Китае. Вам могли сыпать в глазишки пылинки, что в Китае Tor не работает, а вот и нихуя, работает он там как миленький с помощью obfs4. Сигнатуры на него нет и не будет, так что оно вполне успешно работает даже в китайнете. Есть непубличные obfs4 мосты, которые не анонсируются нигде, да и к тому же, раз уж в сети так много тем насчет того, чтобы «прикупить за бугром простенький vps и поднять там vpn», гораздо умнее, если уж так хочется, поднять на таком сервачке obfs4 бридж, приватный бридж. свой блять, и никому его не палить, профит же. Какие блять, в жопу нахуй, VPN, который палится без проблем на любом DPI??? Так что, россияне, я бы рекомендовал вам уже сейчас вдуматься в то, что в скором времени по пизде пойдет весь российский Интернет, и настанет эпоха Чебурнета. Нужно заранее быть готовым, нужно на досуге получать обновленные списки бриджей Tor, и сохранять, чтобы на случай, когда ты утром встал и захотел подрочить на любимых порномоделей на любимом сайтике, а на экране не вылез вместо неё товарищ Майор. И никогда не доверяйте голому HTTPS свою безопасность, ведь это не больше, чем волосишки на вашем лобке.
Всем защекоинов и попутного ветра в сраку.
Коментарі (228)
Автор 14-летний ЭксперД по кибербезопасности.
А ты, видимо, младенец с грязной жопой, коли не вкурил тему.
Слышал про реверсивный прокси? Тот самый, который видит весь проходящий https трафик и перешифровывает, далее отдаёт пользователю? Скорее нет,не слышал, куда тебе.
А корневой сертификат которым это прокси поддельные сертификаты для других сайтов заверяет тебе мамка в доверенные установила чтобы сыночка был под присмотром даже когда в комнате один остаётся? Или ты из тех, кто забивает на непонятного мужика с дубинкой которого тебе firefox заботливо отображает ради такого случая и сразу добавляешь исключение чтобы какая то лажа не отвлекала от просмотра видео любимого жанра?
А ты проверь media.viber.com Openssl’ом 😉 И увидишь типичное поведение реверс-прокси. Но прокатит только, если ты в РФ.
Да так-то не только в вайбере дело. Даю подсказку: Клаудфларе 😉 Я уже давно наблюдаю, как эти пидоры чета мутят непонятное, в Рашке же их серверы есть, вполне себе подконтрольные нашим властям
Нашел чем хвастаться, сверхдержава :-). В Казахстане вроде еще круче сделали: https://web.archive.org/web/20151202213445/http://telecom.kz/news/view/18729
Там где-то выше один благородный дон хорошо описал всю суть TLS: «чем ебаться со снифером проще к серверу доступ получить». То, для чего задумывался TLS, а именно, чтобы Васе-скрипткидису было проще пытаться к твоему компьютеру физически или через троян пробраться, чем трафик подслушивать, TLS cо стандартным набором корневых сертификатов решает на 100%. Никто вам изначально защиту от государства и крупных корпораций не обещал. С другой стороны если у тебя своё PKI в идеале на аппаратных решениях и ты собственноручно по каналу с приемлемым для тебя уровнем безопасности донес до всех твоих устройств свою цепочку доверия, то стоимость перехвата/подмены трафика между сервером с сертификатом, заверенным твоим собственным корневым или промежуточным CA и устройством, на которое установлен ТОЛЬКО твой доверенный корневой сертификат, возрастает до астрономических сумм. И то, это при условии, что всё правильно настроено. И всё. Больше ты вообще ничего на этом стеке технологий не добьешься в принципе. TLS вообще не предназначен для борьбы с блокировками и предотвращением детектирования факта, что между сервером и клиентом был зашифрованный сеанс передачи данных по протоколу TLS. А вы с ОП-ом обижаетесь, на то, что шлюха, которой вы оплатили абонемент на принятие ровно одного защекоина, отказывается в квартире убрать, за продуктами в магазин сходить и обед приготовить. Как дети малые, ей богу.
>>> Национальный сертификат безопасности обеспечит защиту казахстанских пользователей при использовании протоколов шифрованного доступа к зарубежным ресурсам сети Интернет.
Заебись
Да не используется там этот сертификат нигде, хотя он существует. Не хватило кишочки внедрить везде эту поебень.
ну нихуя себе, жертва реверс-прокси
сука как йети или лох-несское чудовище
Григорович ездил продавать казаков в 17 лет,кевин митник взломал свой первый сервер лет в 16,а тому челу который спиздил hl2 с серверов валв и выложил в сеть было 13-14лет,я в 15 был сеньер а в 18 тимид.Так что не надо мерить всех своими мерками отсталыми,займись лучше самообразованием , сходи на курсы
а в 19 получил задний привод?
ИШЬ БЛЯДЬ ПРИСОСАЛИСЬ К ИНТЕРНЕТАМ, А НУ СУКИ БЫСТРО В РУКИ ВЗЯЛИ ЛОПАТЫ И В КОЛХОЗ НАХУЙ КАРТОШКУ КОПАТЬ.
Саша, лучше защекоины поешь
Будет вам в КОЛХОЗЕ и социальная сеть со свиньями и порнохаб с козами.
Все лучше чем твои шутки
ПОСОНЫ! Смотрел вон видосик https://www.youtube.com/watch?v=QXjzP-zndrE Каково мнение ебаного?
Не в тему топика, естественно
Есть видео, где её трахают?
увы%(
На хамяке смотри, заебал
На смотре[.ru] смотри, хамяк!
Есть видео где рубисты учат его руби?
Кто взял этого уебана в TESLA?
…endorsed by Prashant Srivastav (Senior Software Engineer, full stack .net developer)
если вы понимаете, о чем я
Бля, меня одного уже заебало, что весь ютуб засран блогам о жизни быдлокодеров в США, влогами ихних неработающих, тупорылых жен и прочим бесполезным трэшем, где они рассказывают все одно и тоже. Обезьяны с камерой, блин.
Ютуб подбирает контент пользователя по его статистическим предпочтениям.
Графоманство от какого-то обдолбанного девопса (системный администратор уже не модно), пруфы так себе, лучше бы принтеры чинил
Типичная теория заговора хранителей рутовых CA против неуловимого Джо. Не устанавливай левых издателей и спи спокойно.
openssl s_client -connect media.viber.com:443
………………….
Verification: OK
—
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Видишь последнюю строку, уебан из ангулярной вселенной? Это значит, что там реверс прокси стоит, который перешифровывает трафик, и при этом никто не ругается на сертификат. Подумай, как это делается. Левых издателей, блять…
Лол. Найди что-то еще старее. Реверс-прокси он принес. Уноси.
Уебан что-ли? Чего старее? Вайбер — как пример, что реверс прокси на хую вертел ваши ХТТПС. А при должной настройке хуй кто заметит его присутствие без анализа. Иди защекоины жуй
Настройка ). Если ты, прокси-настройщик, рассчитываешь на таких же деградантов старых пердунов как и ты сам, которые бурлят от уязвимости закрытой почти 10 лет назад, то кто тебе доктор. Ежели твой выброс о том, что доказательства отсутствия уязвимости в системах (протоколах как пример) в общем случае нет, то не нужно это подавать так пафосно, как что-то сверхъестественное.
Всё с тобой ясно. Иди дальше дрочи на HTTPS 😉 З.Ы.: HTTPS небезопасен с момента его основания, и останется таким навсегда
https://pastecode.xyz/view/raw/ff9a302b
А чего тут тебе не нравится? Человек тебе показал, что перед серваков вайбера стоит ебаная прокся, которая хуй пойми, чем занимается. А ты че, думал что на вайбер просто так господин уЖаров не залупается?
Стоит нарушая рекомендации rfc. Дальше тебя ни один норм клиент (криптолиба что в рантайме) не поведет, точно так же как и с левым CA — предупредили, а дальше сам, на свой страх и риск. Можно без tls тупо по http ходить если мозгов нет и что? Проблема явно не технического характера и не с https.
$ curl -S https://raw.githubusercontent.com/openssl/openssl/master/CHANGES 2>/dev/null | grep -P -B4 -A5 «CVE\-2009\-3555»
Changes between 0.9.8k and 0.9.8l [5 Nov 2009]
*) Disable renegotiation completely — this fixes a severe security
problem (CVE-2009-3555) at the cost of breaking all
renegotiation. Renegotiation can be re-enabled by setting
SSL3_FLAGS_ALLOW_UNSAFE_LEGACY_RENEGOTIATION in s3->flags at
run-time. This is really not recommended unless you know what
you’re doing.
[Ben Laurie]
$ openssl s_client -connect ssb.epcc.edu:443
CONNECTED(00000003)
140048446288320:error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:../ssl/record/rec_layer_s3.c:1399:SSL alert number 40
…
Secure Renegotiation IS NOT supported
$ openssl version && curl -S https://ssb.epcc.edu
OpenSSL 1.1.0g 2 Nov 2017
curl: (35) error:14094410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure
$ docker run -it —rm openssl:0.9.8k /bin/bash -c «openssl version && curl -kS https://ssb.epcc.edu»
OpenSSL 0.9.8k 25 Mar 2009
Так ты сам сертификат чекни, а заодно у себя за щекой, мамкин кулхацкер.
* Server certificate:
* subject: C=LU; ST=Luxembourg; L=Luxembourg; O=Viber Media Sarl; OU=IT; CN=*.viber.com
* start date: May 31 00:00:00 2018 GMT
* expire date: Jun 26 12:00:00 2019 GMT
* subjectAltName: host «media.viber.com» matched cert’s «*.viber.com»
* issuer: C=US; O=DigiCert Inc; OU=www.digicert.com; CN=Thawte RSA CA 2018
└─$ curl -v https://media.viber.com:443
* Rebuilt URL to: https://media.viber.com:443/
* Trying 52.222.150.18…
* TCP_NODELAY set
* Connected to media.viber.com (52.222.150.18) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
* CAfile: /etc/ssl/certs/ca-certificates.crt
CApath: /etc/ssl/certs
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
* ALPN, server accepted to use h2
* Server certificate:
* subject: C=LU; ST=Luxembourg; L=Luxembourg; O=Viber Media Sarl; OU=IT; CN=*.viber.com
* start date: May 31 00:00:00 2018 GMT
* expire date: Jun 26 12:00:00 2019 GMT
* subjectAltName: host «media.viber.com» matched cert’s «*.viber.com»
* issuer: C=US; O=DigiCert Inc; OU=www.digicert.com; CN=Thawte RSA CA 2018
* SSL certificate verify ok.
* Using HTTP2, server supports multi-use
* Connection state changed (HTTP/2 confirmed)
* Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
* Using Stream ID: 1 (easy handle 0x55b01ee028e0)
> GET / HTTP/2
> Host: media.viber.com
> User-Agent: curl/7.58.0
> Accept: */*
>
* Connection state changed (MAX_CONCURRENT_STREAMS updated)!
< HTTP/2 503
< content-type: text/html
< content-length: 507
< server: CloudFront
< date: Tue, 07 Aug 2018 06:07:35 GMT
< expires: Tue, 07 Aug 2018 06:07:35 GMT
< x-cache: Error from cloudfront
< via: 1.1 1f95d1a95c6f2df8073daccac07b7570.cloudfront.net (CloudFront)
< x-amz-cf-id: kJZ2h70JNjb—6WYRUTLWpAvNbc-kW5Cqi5sJPTPJKJzp18q308Hyg==
Ну и чё ты этим хотел сказать? Ты заголовок Via видишь? Заголовок Via указывается для указывания промежуточных протоколов и адрессатов, если данные идут не напрямую, а через прокси, в т.ч. реверсный. Мамкин админ
Наверное то, что соединение было установлено с сервером именно cloudfront-а, который компания Viber сама наняла (а иначе откуда бы у cloudfront-а был бы ключ от wildcard-а Viber-а?) чтобы он принимал и балансировал запросы на сервера Viber, а не с компом соседского мальчика Васьки, который освоил связку ettercap и sslsplit.
Да да да да. А вот как раз серверы cloudfront есть в РФ, и следовательно те, кому нужно, получат доступ к пересылаемым данным. Вот только не говорите, что этот прокси не хранит в открытом виде данные). Проблема как раз в том, что на легальных условиях используется дешифровка трафика и его последующее хранение.
Заголовок via действительно указывается для указания промежуточного (прокси) сервера, однако это вовсе не означает, что трафик может быть перехвачен кем-либо, кроме сервера, обладающего приватным ключом и сертификатом домена. Проксировать SSL трафик, не имея приватного ключа и сертификата невозможно. На легальных условиях получить доступ к данным не возможно. Так что иди нахуй, жукопидор вжопуебанный. Учи матчасть, днище.
Если есть промежуточный прокси, то он, ебать его в сраку, перешифровывает трафик, понимаешь? И ты, ебать тебя в сраку, сам признал, что Via указывается для указания промежуточного прокси. А этот промежуточник — форвардинговый прокси! Ты че не смекаешь? Это наверно потому что я тебе за щеку накидал, не подавись голубочек
Прокси не мог бы перешифровывать трафик, не обладая валидным ключом и сертификатом домена. А если облалает — значит делает это с ведома владельца дрмена. В этом нет ничего криминального, как и в том, чтобы ссать на твою тупую туго соображающую башку.
Если ты еще ничего не понял, то ты хуй, а мать твоя шлюха. Лови ужЕнкоин
Слилась дура.
Да ты блять матчасть поучи, любой форвардинг\реверс прокси перешифровывает трафик, в том и дело. Потому что этот прокси создан самим владельцем сервиса, и туда запиханы ключи, сертификаты и защекоины. Но так как в случае вайбера\вацапа сервачки имеются в РФ, то как ты блять думаешь, кто имеет доступ к тем данным на этих самих прокси? И данные эти в полностью открытом виде видны на стороне прокси.
Ну так это РФ (за законы) и Cloudfront c Viber-ом (за то, что прогнулись перед РФ вместо того, чтобы попросту перестать принимать соединения с российских IP) — вот то вот самое. А ты тут накатал целую статью о том, что TLS и VPN — плохие протоколы. Аргументируешь тем, что они не помогут жителю полицейского государства хоть как-то попытаться пока ещё можно хоть на пол шишечки реализовать свои права, как человека (специально для тебя нашел новость на авторитетном ресурсе: https://lenta.ru/news/2011/06/07/basicright/ + смотри конституцию государства, резидентом которого являешься). При этом ни один из этих протоколов не предназначен для противодействия интернет-цензуре. Ну и кто ты после этого?
А ты про OBFS в статье не увидел? Эт жеж единственное средство на текущий момент. А протоколы реально говенные и нихуя не обеспечивают безопасности в том виде, в котором щас используются. Лови защекоин, кстате
Ты не смекаешь в том, как работает SSL и для чего нужны сертификаты.
Объясняю на пальцах:
Никакой Вася не сможет представиться media.viber.com, если у него нет сертификата или валидного CA для твоего клиента.
Правильно, тут и представляться не надо. А ты думаешь, чё на телеграм напали, а на вибер нет? Потому что у вибера в клаудфронте (чьи машинки есть в РФ) имеется форвардинговый прокси, где хранятся в открытом виде все данные.
Да и хуй с ним с вайбером.
Это говорит только о том, что настройки твоего клиента не соответствуют тем требования к информационной безопасности, которые ты к нему выдвигаешь. А кто за настройку клиента отвечает? Давай разберемся: сам протокол плохой или настройки по-умолчанию, которые кто-то не удосужился сменить? Кстати, интереса ради, повтори на эмуляторе самого свежего андроида. Оно, к примеру, не валидным считает даже соединение с использованием сертификата из своего доверенного хранилища при условии, что срок действия этого корневого сертификата больше чем у андроидовской явы настройках для этой проверки зашито.
Это означает только то, что данный сервер желает получить имя заправшиваемого домена в SNI, и не более. На одного айпи хостится несколько доменов и несколько SSL сертификатов. Дешифровать трафик SSL не имея приватного ключа и сертификата домена невозможно. Послан нахуй, Степан, учи матчасть обезьяна.
Ща спою (ц). Афтор песдуй на хабр со своей АНАЛитикой и блядь паранойей.
автор типа умный сильно? ну го к нам на зарплатку, поработаешь и мы тебя кинем, чтоб подостыл.
Cogniance HR, перелогиньтесь
Че за гавно.
а мне понравилось
Сука, не пали контору! Пусть и дальше думают, шо хттпс и впн — секьюрно шо пиздец. А то перекочуют все в даркнеты, а у нас пуканы бомбанут от невозможности вычислить по айпи.