id: Гость   вход   регистрация
текущее время 20:05 28/03/2024
Владелец: SATtva (создано 04/03/2007 23:29), редакция от 04/03/2007 23:32 (автор: SATtva) Печать
Категории: приватность, прослушивание коммуникаций, сайт проекта, стандарты, ssl
http://www.pgpru.com/Новости/2007/03-04-ДоступКСайтуPgprucomОтнынеЗащищенШифрованиемSSL
создать
просмотр
редакции
ссылки

04.03 // Проект // Доступ к сайту pgpru.com отныне защищен шифрованием SSL


То, что все так долго ждали и о чем многие столько просили, наконец-то случилось: доступ к сайту теперь защищен с помощью SSL. Что это означает?


  1. Весь трафик между вами и сервером https://www.pgpru.com зашифрован, то есть наблюдатель на канале связи не сможет установить, что вы читаете и какие страницы сайта просматриваете.
  2. Злоумышленник не сможет перехватить ни ваш пароль к сайту, ни авторизованную сессию. (Отмечу, что теоретическая возможность захвата сессии существует посредством т.н. XSS-атак на движок сайта, но такие уязвимости по возможности стараемся ликвидировать.)
  3. Больше нет риска работы с сайтом через сеть Tor, где имеется потенциальная угроза перехвата паролей, cookie и другой критической информации замыкающими узлами (exit-nodes) цепочек.

В скором времени на сайте появится ряд дополнительных сервисов, в полной мере задействующих потенциал этих возможностей.


Наш fileSSL-сертификат (fileЭЦП) выдан свободным удостоверяющим центром CAcert.org. Как ни странно, корневые сертификаты этого УЦ отсутствуют в браузерах Mozilla, поэтому, чтобы не получать постоянные предупреждения, установите сертификат УЦ с официального сайта или из fileнашей копии (fileЭЦП).


Источник: https://www.pgpru.com


 
На страницу: 1, 2 След.
Комментарии [скрыть комментарии/форму]
— ntldr (02/02/2008 12:40)   профиль/связь   <#>
комментариев: 371   документов: 19   редакций: 20
Результат проверки с разными версиями IE:
IE6 (default) – нет
IE6 (last updates) – нет
IE7 (last updates) – нет
— unknown (02/02/2008 21:08, исправлен 02/02/2008 21:21)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
Кстати, с недавних пор отпечаток сертификата поменялся.

Старый был:



А новый стал с 24 января:



и его срок действия заявлен до 22.07.2008.

Как-то может такие вещи анонсировать и аутентифицировать для тех кто не
доверяет CAcert?
— SATtva (02/02/2008 21:19, исправлен 02/02/2008 21:19)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Ну, раз в полгода сертификат приходится заменять. Впредь буду объявлять, если без этого никак не возможно. Вот текущий отпечаток:
A0:D5:C1:71:5A:44:1B:DC:7D:57:F6:BE:BC:F4:8D:6B:75:E9:A8:27
— Constantine___ru (06/02/2008 21:53)   <#>
Саттва, заметил счас проблему:
Захожу на сайт – все хорошо, https и сертификат. Но ссылки на сайте... например ссылка на комментарии и форму ответа дана как http:// – и все идет открыто. И остальные не секурные... иил это лишь у меня глюк?
— SATtva (06/02/2008 22:03, исправлен 06/02/2008 22:05)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Извините, не могу воспроизвести Вашу проблему. Вы точно зашли по HTTPS? В этом случае все ссылки и формы тоже должны быть https (собственно, формы всегда сабмитятся по https, даже если просматриваете страницы по http).
— Гость (06/02/2008 23:26)   <#>
Так же как у Constantine___ru. Если зайти через https на страничку "Последние коментарии", то все ссылки на ней уже приводятся в http. На главной вроде нормально.
— SATtva (07/02/2008 17:51)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Я не могу воспроизвести. Ни под гостем, ни залогиневшись. Как вы этого добились, мне непонятно. (К слову, даже если по какому-то чудовищному недоразумению пользователь пройдёт по внутренней http-ссылке, это не повлечёт компрометацию сессии, если браузер соблюдает secure-бит в cookie.)
— abcd (07/02/2008 21:07)   <#>
Удаляю все куки, кэш и т.д., набираю в адресной строке https://www.pgpru.com/forum. Почти все ссылки – http.
— Гость (08/02/2008 01:27)   <#>
SATtva, у меня так же!
Захожу под оперой.
Кто и что сломал?!
— SATtva (09/02/2008 18:40)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Причина ясна. Кэширующий модуль не проверяет URL-схему, поэтому если один человек открыл страницу по http (это приведёт к кэшированию отрисованной страницы), а спустя короткое время другой зайдёт туда же по https, документ будет взят из кэша — с http-ссылками.

Исправлять код я не буду (дело не только в том, что трогать код openSpace мне не особо приятно). Снижу только срок кэширования. (Включать принудительный https тоже не стану, поскольку это может не устроить каких-то пользователей с фильтрующими локальными прокси.)
— Гость (10/02/2008 00:08)   <#>
Включать принудительный https тоже не стану, поскольку это может не устроить каких-то пользователей с фильтрующими локальными прокси.

Мне всегда казалось что правило хорошего тона redirect 80 -> 443.
— SATtva (10/02/2008 18:11)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Здесь не банковский сайт. Посмотрите на тот же torproject.org, он ведь не перенаправляет принудительно на https.
— ygrek (16/02/2008 22:37)   профиль/связь   <#>
комментариев: 98   документов: 8   редакций: 10
Посмотрите на тот же torproject.org, он ведь не перенаправляет принудительно на https.

перенаправляет
— SATtva (16/02/2008 22:41)   профиль/связь   <#>
комментариев: 11558   документов: 1036   редакций: 4118
Точно, раньше такого не было. Ладно, последуем примеру...
На страницу: 1, 2 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3