HTTPS - лобковые волосы
Здравствуй, ебаное Айти! Доброго времени суток, ебаные читатели, редакция и все прочие патриоты! Данная статья посвящается сугубо IT (наконец-то, ёбаный в рот!). Речь пойдет о такой замечательной пизде хуйне, как HTTPS.
Итак, что вы вообще знаете об HTTPS? Нам всем втирают, что это безопасность. Это защита от прослушки трафика, это гарантия того, что вас не выебет в жопу какой-нибудь Вася Хуякерович. Что тут говорить, на фоне всеобщего бреда по поводу перевода ресурсов на HTTPS даже появились такие сервисы, как Let’s Encrypt. Какая красота, лЯпота блять, даже платить не надо, всё бишплатно без регистрации без смс. Что конкретно представляет из себя HTTPS? Это ёбаное расширение протокола HTTP для поддержки шифрования в целях повышения твоей безопасности. Но на чем основана эта безопасность и защита? Защита HTTPS полностью основана на Рутах (ROOT CA), то есть вы доверяете свою нигерскую жопу неким третьим лицам. Эммм, какая это еще нахуй безопасность? А если произойдет взлом сервера рута и будет произведена MITM атака, то в этом случае вся эта ваша безопасность пойдет по пизде, вспомните печальку с DigiNotar. Да даже без всяких там взломов рутов ваша так называемая безопасность всё равно идёт по пизде! На стороне любого провайдера работает механизм Splice, который без всяких подмен сертификатов позволяет видеть, какие ресурсы вы посетили, чего бывает во многих случаях достаточно, чтобы взять кого-то за стоячий хуй. К тому же, есть такая хуйня, как Connection Probing. И оно на хую вертело ваш HTTPS.
В настоящее время стали как никогда популярны VPN сервисы. Везде так и лезет реклама с мольбами купить ёбаный VPN. Друзьяшки вы мои, неужели вы думаете, что ваш VPN нельзя заблокировать? VPN блокируется на раз-два, как и ваши ёбаные SOCKS. Есть такая хуйня, как DPI, который работает на транспортном уровне, и ему до пизды вообще на ваш VPN и SOCKS. Есть сигнатуры этих протоколов, и сигнатуры никуда не деть, и в случае чего оно будет блокироваться. Все эти ваши HTTPS, SOCKS, VPN — это иллюзия безопасности, нихуя это не панацея.
Не так давно довелось мне увидеть комменты к этому посту, где один пиздострадатель утверждает, что HTTPS = end-to-end. Шта, блеать? В каком он месте, ебанаврот, end-to-end? HTTPS с доверенными CA — ну никак ни разу не end-to-end, блять. А вот как раз истинный end-to-end обеспечивает безопасность, к примеру SSH.
Самой охуенной штукой можно считать обфускацию трафика. Когда происходит обфускация, то никакой DPI не поймет нахуй, че там у тебя происходит, че ты там используешь, смотришь ли голых тян на юпорне. Хороший пример — работа Tor в Китае. Вам могли сыпать в глазишки пылинки, что в Китае Tor не работает, а вот и нихуя, работает он там как миленький с помощью obfs4. Сигнатуры на него нет и не будет, так что оно вполне успешно работает даже в китайнете. Есть непубличные obfs4 мосты, которые не анонсируются нигде, да и к тому же, раз уж в сети так много тем насчет того, чтобы «прикупить за бугром простенький vps и поднять там vpn», гораздо умнее, если уж так хочется, поднять на таком сервачке obfs4 бридж, приватный бридж. свой блять, и никому его не палить, профит же. Какие блять, в жопу нахуй, VPN, который палится без проблем на любом DPI??? Так что, россияне, я бы рекомендовал вам уже сейчас вдуматься в то, что в скором времени по пизде пойдет весь российский Интернет, и настанет эпоха Чебурнета. Нужно заранее быть готовым, нужно на досуге получать обновленные списки бриджей Tor, и сохранять, чтобы на случай, когда ты утром встал и захотел подрочить на любимых порномоделей на любимом сайтике, а на экране не вылез вместо неё товарищ Майор. И никогда не доверяйте голому HTTPS свою безопасность, ведь это не больше, чем волосишки на вашем лобке.
Всем защекоинов и попутного ветра в сраку.
Коментарі (228)
даже не читал, какая-то блевотина задротская в стиле уебищьного Хабра
PS меня тут на тостере забанили, Привожу переписку:
Служба поддержки «Тостер»
——Исходное сообщение——
От: *********
Sent: 07.08.2018 10:09:23
> ********** (https://toster.ru/user/**********) обратился в службу поддержки
> со следующим сообщением: Могу я узнать,
> почему был удален мой ответ из темы
> https://toster.ru/q/552486 ?
Вторник, 7 августа 2018, 10:24 +03:00 от «Тостер»: служба поддержки :
Здравствуйте!
Ответ был удален поскольку вы опять принялись за старое (флуд, мат, оскорбления). Мы знали, что вы создали новый аккаунт для обхода санкций, но не ограничивали ваш доступ к ресурсу, поскольку надеялись, что вы уже усвоили, что на наших ресурсах, такое поведение запрещено. Однако, вы вновь начали допускать те же нарушения, за которые были заблокированы ваши предыдущие аккаунты и нам пришлось вновь ограничить ваш доступ к Сервису.
Вторник, 7 августа 2018, 10:40 +03:00
Я не удивлен вашими действиями.
Ваш сайт — говно. Не в техническом плане, а в идеологическом, Он не терпит инакомыслия. Совсем. Ваше поведение очень похоже на поведение среднестатистического айтишника не удовлетворенного жизью — проявить свою силу и волю в…. интернете! Заблокировать. Почувствовать себя сильными, хоть на время, хоть чуть-чуть. Ведь в жизни все по другому, верно? Это называется «синдром вахтера». Это когда человек в жизни никто и ничто и реализует себя в мире виртуальном.
Если честно, меня последний раз банили в интернете лет 10 назад. И да — я тоже имею свои веб-сайты, личные, которые я делал лет 10 назад. И представте — я там тоже никого не блокирую, хотя мне зачастую не нравится, что иногда кто-то выражает точку зрения отличную от моей.
И всё же я хочу объяснений — за что именно меня забанили? За оскорбления? Я кого-то оскорбли? Разве только что Хабрахабр — я назвал его «помойкой», потому что статья, которая обозначена в топике https://toster.ru/q/552486 — не профессиональна и вредна. Первый пункт статьи — это мусор и типичные заблуждения.
Но поскольку вы не имеете ни мозгов понять это, ни совести, ни чести — вы и отправили меня в бан. Потому, что кто-то назвал ваш убогий Хабр помойкой. А он действительно помойка, очень жаль, что вы этого не видите.
Значете что самое главное? Мне похуй на ваш ресурс. Я там чисто развлекался.
А вы как были мудаками, так ими и останетесь.
> даже не читал, какая-то блевотина задротская в стиле уебищьного Хабра
Ты слишком хорошего мнения об этом высере
> Значете что самое главное? Мне похуй на ваш ресурс. Я там чисто развлекался.
Поверь, администрации сайта точно так же похуй на тебя. Впрочем, не только администрации.
А причина бана вовсе не в инакомыслии, а в уровне твоей аргументации своих мыслей (написано же: флуд, мат, оскорбления)
Автор, ты тупо ебанат, который нихуя не шарит в нетворкинге, прошел курс на юдеме за 40 гривен и пиздишь хуйню про МІTM, а сам по тексту судя, в душе не ебешь, как это работает и что это такое. так что иди нахуй, пенетрейшн тестер. даун. удалите нахуй эту поебень дегенартивного джуниора.
Автор меня пиздец от тебя бомбануло. Именно ты тупо лашак такой ебаный. Скажи, радной, а ты знаешь, что даже при мэн ин зэ мидл атаке, весь твой трафик, будет закриптован и как раз тот самый ключ для декода есть только у трастед рута, лашара ебаная, или на курсах за 40 гривен это не рассказывали?
Даже если ты сделаешь DNS-Spoofing с трастед сервером, ты все равно нихуя не сможешь сделать с SSL-вськими ключами. Так что ИДИ ТЫ НАХУЙ. Хотел блеснуть умом, а упал ебалом в грязь и спалился, что ты лох цветочный блядь.
А при чем тут вообще VPN я в душе не ебу, хотя хуй знает, что творится в мозгах даунов хтмлнькых, которым в руки попали верхушки айсберга нетворкинга. все. пшел нахуй.
>>даже при мэн ин зэ мидл атаке, весь твой трафик, будет закриптован
Ты олень или как? Тот же Squid, осуществив SSL Bump с помощью iCAP и eCAP легко и просто МОДИФИЦИРУЕТ трафик, и более того, может весь передаваемый контент сбрасывать куда надо. А Весь отмампенный трафик попадает в кеш В ОТКРЫТОМ виде, ебанат ты хуев. Бомбануло тебя от того, что ты слишком часто за щеку берешь. Любой реверс-прокси способен хранить ВЕСЬ проходимый через него трафик в открытом виде, что и будет сделано для всего, что можно, в ближайшее время (закон Яровой, тащемта). Так что иди мочи попей и попкорна в жопу себе запихни 🙂
>>> SSL Bump с помощью iCAP и eCAP
Из этого следует что у тебя есть IM серт выпущенный доверенным CA (или вообще доверенный всеми дистрибутивами корневой серт) с возможностью подписи endpoint сертов.
Ты же понимаешь, что без пруфов более хорошо относиться к тебе не будут?
Могу привести пример нашей корпы в которой стоит некий blue coat, понятное дело поскольку всем пришлось принять рутовый серт, у blue coat есть подписанный IM. Может blue coat о чем-то не знает? Все-таки у них 2 года разницы со дня основания. Или с подменой серта всегда так? Понятное дело, что на это можно не отвечать. Ждем пруфов.
Кстати, снизу страницы появился еще один подменщик сертификатов. К чему бы это?
В качестве доказательства сгодтися подписанный серт для CN http://www.facebook.com, который пройдет верификацию на стандартном дистре. Можешь сразу его и в Фейсбук отправить со своим резюме.
Больше не придется сидеть на ебаном. Не благодари.
>>К чему бы это?
А я откуда знаю?
>>Пруфы
Пруфы чего? Давай я дам тебе пруф. Здесь обсуждали Viber, на тебе про Viber.
curl -v https://media.viber.com:443 Что даёт? Смотрим:
via: 1.1 090eea4e92e1941ecd945eb93b8b45bb.cloudfront.net (CloudFront) — это раз.
subjectAltName: host «media.viber.com» matched cert’s «*.viber.com» — это два, более даже смысла нет.
Что строки означают? Первая означает, что там стоит прокси. Via меняется форвардинговыми прокси — это требование RFC.
Вторая означает, что это WildCard сертификат, которым можно подписать любой домен в пределах *.viber.com. Им можно подписать внутренний форвардинговый прокси, например. Прокси видит в открытом виде весь проходящий HTTPS, и перешифровывает. И здесь даже не надо добавлять доверенный сертификат в хранилище, потому что он уже выдан доверенным Рутом. SSL Bump сертификат прячется за вайлдкардом, кросс-подпись никто не отменял, так-то. Subordinate подписывает *.viber.com WildCard, и он же подписывает какой-нибудь hui.viber.com (сам прокси), который ресолвится во внутреннее имя форвардингового прокси с SSL Bump. И снаружи ничего не заметит никто, единственное что выдает вышеперечисленное дерьмо — это заголовок Via. Ты видишь, что система ругается на media.viber.com? Я нет, и никто не видит, и не увидит, но наличие прокси никто не отменяет, это видно явно. Cloudfront есть в России, и по закону серверы для жителей РФ располагаются в России, в курсе? А теперь подумай, коли прокси с бампом видит в открытом виде трафик media.viber.com, является ли это безопасным?
Достаточно подробно разъяснил?
До кучи:
curl -v https://web.whatsapp.com:443
….
CN=*.whatsapp.net
….
via: HTTP/1.1 169.55.74.40:443 (fwdproxy2/70c0490af00c4f1aae86246cec32f4af 69.171.225.27)
Красота, здесь даже решили не заморачиваться и прям так и назвали — fwdproxy. И снова мы видим WildCard, и форвард прокси с перешифровыванием. Достаточно?
Не, ток конструктивный пруф. Условия описаны тут:
/forum/https-pubic-hair.
Либо докажешь, либо двойка.
А собственно, при чём здеся твой фейзбух, и всякие реверсные\форвартинговые\защекойновые прокси? Ты включи свою единственную извилину, и подумай. Раз у вайбера и ватсапа есть такие прокси, то и трафик оттуда вполне так себе собирается, учитывая что по закону серверы для расиян стоят в рашке, и учитывая всякие законы яровых… Не доходит до тебя? Пруфы тебе выше уже скинули, тебе может еще коллекцию порнухи скинуть с защекоинами в конвертике?
Нахуя на фейсбух использовать реверс прокси? Оно итак переписьки с потрохами даст, если надо. Фкантахте то же самое. Нахуя ты в пример ставишь это гамно?
Бесполезно доказывать местным обезьянам 😉 Не удручайся.
Семён, плиз, уже слишком смешно.
Ну ты и тупой, хуй. У тебя вместо мозгов там залупа, чтоле? Ты хотя бы сам понял, что написал? Ты только что жидко обосрался, голубок ты мой
щас бы юайщики тут расказывали про реверс-прокси.
> Скажи, радной, а ты знаешь, что даже при мэн ин зэ мидл атаке, весь твой трафик, будет закриптован и как раз тот самый ключ для декода есть только у трастед рута, лашара ебаная, или на курсах за 40 гривен это не рассказывали?
Дальше лень было разбирать твою ересь, иди учи матчасть,
>>при мэн ин зэ мидл атаке, весь твой трафик, будет закриптован
Может ты и такие как ты хотя-бы педивикию откроете и прочитаете, что такое HTTPS, TLS, и MITM? Какой трафик? Что там у тебя закриптовано? Я ICAP или ECAP модулем, которые работают в разрыве SSL Bump легким движением руки модифицирую трафик или солью всё передаваемое в открытом виде в определенный каталог. Диванный аналитик хуев.
>>нихуя не сможешь сделать с SSL-вськими ключами
А мне ничего и делать не надо, друг. Всё сделает SSL Bump и i(e)CAP.
>>А при чем тут вообще VPN я в душе не ебу
Ну иди еби что-то другое, коли думалка испортилась. При том, что (о чем сказано в статье) в текущей ситуации очень сильно разогрелась реклама VPN сервисов, которые якобы обеспечивают приватность и безоговорочный доступ туда, куда надо, несмотря на (глюки)блокировки провайдеров по зову РКН. Перевести всех на VPN очень удобно, так как по первому слову власти VPN блокируется на уровне протокола. Да и в более, чем половине процентов случаев VPN не обеспечивает приватности, никак. Почему?
а) используются слабые алгоритмы шифрования, из-за чего трафик может быть прочитан.
б) VPN сервисы, даже несмотря на красивую рекламу, очень даже хранят историю посещений.
>>попали верхушки айсберга нетворкинга
Ты будешь разочарован, но айсберг мне виден полностью.
Ты, судя по тексту своему, тупая залупа, которой место возле параши (ухохохохохо)
а як же ssl pinging?
Cert pinning предохраняет от mitm, да. Но где он есть? Очень проблематично админить ресурсы с пиннингом, поэтому от него уже отказываются, Гугл например. Это не то всё. Проблема не только в пиннинг или его отсутствии
PINGing? Что-то новенькое. Случаем, не на Ангуляре написано?
Pinning — спорная штука, хоть и не дает сделать бамп. Однако, уже сказано, что обслуживать его сложно.
Алсо, этого не хватит для безопасности. Нету проверки контента на подлинность, а она нужна. MITM — это лишь один из способов залезть в туннель и модифицировать его содежимое
Что за хуйню я прочел? Чувак тут рассуждает о гипотетических проблемах с HTTPS (считай, TLS), толком не разобравшись в теме, а потом скатывает все к каким-то блокировкам сайтов в говностранах.
А чего тьі ожидал на йобаном?
Какие блокировки сайтов, ты о чем? Речь идет про то, что скоро трафик всего и вся будет как на ладони у товарищей Майоров. Тебе оно надо? Аффтару нет, мне тоже
Так скоро будет или уже? Вы уж определитесь, господа параноики…
А вообще, читать очередное нытье в духе «мы все умрем» — чрезвычайно скучно. Где технические подробности? Впрочем, от столь «компетентного» автора их ждать не приходится…
Ты действительно хочешь технические подробности? Ок. Следующая статья будет с полными техническими подробностями и доказательствами.
«компетентного автора» — куда уж мне до сеньора путон девелопера.
охуеть, месье соизволит к следующему разу технически подготовиться
А хуле ему готовиться? Тут сплошные обезьяны, которые ноют от статей чуть сложнее уровня Танечки или Маринки. Лучше не надо а то пуканы бомбанут у местных ангулярщиков
> Это ёбаное расширение протокола HTTP
ты еблан
> А если произойдет взлом сервера рута
ты еблан и не читал про certificate pinning
> На стороне любого провайдера работает механизм Splice, который без всяких подмен сертификатов позволяет видеть, какие ресурсы вы посетили
и снова ты еблан, видимо путаешь со SNI
> Есть такая хуйня, как DPI, который работает на транспортном уровне, и ему до пизды вообще на ваш VPN и SOCKS. Есть сигнатуры этих протоколов, и сигнатуры никуда не деть, и в случае чего оно будет блокироваться.
ты еблан, никто не запрещает затуннелировать это дело в любом другом протоколе
> Шта, блеать? В каком он месте, ебанаврот, end-to-end?
ты еблан и не читал про perfect forward secrecy
> Сигнатуры на него нет и не будет
какой же ты все-таки еблан
Уася, у тебя горит пукан из-за переизбытков спермы во рту
а кого ебут проблемы козломордых ? еще и кетай приплел.. все в прогнившем ватном духе — типа мы вместе с братьями кетайцами будем и дальше и вместе и выше. да иди нахуй дальше жрать свое гавно в своем ебучем мордоре
Тебя ебут твои проблемы, так и иди лесом.
Какой в пизду splice, каким хуем тут connection probing? HTTP инкапсулируется в TLS и если в распоряжении кулхацкера нет нейтронной звёзды окружённой сферой Дайсона размером с жопу твоей мамы, то нихера он не сможет получить твой закрытый ключ.
То что сертификаты подписываются рутами это стандартная практика и если ты не ебаный параноик ищущий чипы АНБ у себя в жопе, то тебя это волновать не должно.
Какой в пизду DPI блять в контексте VPN? VPN это низкоуровневая инкапсуляция на протоколах высокого уровня и ебаный шлюз не видит разницы между проном с понями и заседанием верховной рады, если только это не сраный TLS туннель с подменой сертификата.
Так что мои ебаные параноики, надевайте шапочки из фольги и обматывайте комнату проволокой, а я вам лично заварю двери и отрежу весь доступ наружу, чтоб жидорептилоиды никогда не узнали, после какого видео вы закрываете вкладку порнхаба.
==Какой в пизду splice
Ты ужинкоинов обожралсё, или как?? Тот же Squid с помощью Peek and Splice без подмены сертификатов спалит, куда ты, юный дрочер, лазиешь. А выше тут вообще сказали про форвардинговые прокси…
Прочитай, что такое Connection Probing (он есть, к примеру, в Ufbdguard) и поймешь, что даже тут ты обгадился.
==Какой в пизду DPI блять в контексте VPN?
Такой, блять, тупоголовое жЭвотное.
==если в распоряжении кулхацкера нет нейтронной звёзды
А в статье речь не о хакерах, а о госструктурах, дебил
>>> Squid с помощью Peek and Splice без подмены
https://wiki.squid-cache.org/Features/DynamicSslCert
Что придумаешь насчет этого?
А че ты пихаешь раздел, относящийся к SSL Bump? При Peek and Splice не надо ничего генерить, SNI только проверяется без вмешательства в туннель, мамкин инженер хуев
Очевидно к тому, что насрать на твой sni, который можно вырубить в libssl и не передавать, дальше ты упрешься в экспоненциальную стену. Построишь рядом да пойдешь нахуй, вместе со своими гос. структурами.
Ты сам понял, чо сказал, балбес? «низкоуровневая инкапсуляция на протоколах высокого уровня» = макромир в микромире, ты прикалываешься? Иди учебники читай, тупоголовое отродие матроса диванных войск
Нахуя задротская статья уровня Хабра на ебаном айти? Это говно унылейшее.
Ну так песдуй в другое место, хуль ты забыл на «айтишном» сайте, ойтишник хуев?
Господа, если вы проносите технологию, то проносите, блять, правильно.
HTTPS не придумывался для анонимности и защиты от обнаружения при помощи DPI. В прочем, это сразу минус, блять, треть всей статьи :))
Да. Домен он сливает, но никак не URL. Это правда.
Да. Есть зависимость на третьих лиц. Но есть и Certificate Transparency, который постепенно введут.
HTTPS не end 2 end? HTTPS end 2 end до сервера. С поправкой на доверенные руты, что правда. Но есть DNS CAA, HPKP, и упомянутый уже Certificate Transparency. А так правильно настроенный — Forward Secrecy, и т.д.
Итого — статья HTTPS не пронесла.
А вот про РЕАЛЬНО страшные атаки за последние годы все как-то упомянуть забыли. Кому не лень — гуглите DROWN, SSL Stripping, Heartbleed, Cloudbleed, и несколько CVEх в OpenSSL. И посмотрите статистику по количеству реально правильно настроенных серверов от qualys ssl labs. И вот от этого уже реально становится страшно, и руки начнут тянуться к VPN.
>>механизм Splice
Это что-то связаное с ДНК? 🤔🤔🤔🤔
Лол. Даже не думал что в этой клетке с орангутангами будет знающий за сплайсинг человек.