id: Гость   вход   регистрация
текущее время 14:22 28/10/2021
создать
просмотр
редакции
ссылки

10. Выводы и будущие исследования


В этой работе мы представили атаку создания сертификатов по принуждению и привели тревожащие свидетельства, показывающие, что власти действительно подрывают инфраструктуру открытых ключей, основанную на УЦ. В стремлении защитить пользователей от этих могущественных противников мы представили легкое защитное приложение для браузера, которое выявляет эти атаки и защищает от них. В конце мы использовали редуктивный анализ легальных возможностей властей в рамках модели противника для данной атаки и предложенной нами защитной технологии.


Наше приложение к браузеру в настоящий момент всего лишь прототип и мы планируем улучшить его в будущем. Во первых, наш существующий предупреждающий диалоговый текст далёк от идеала и может быть значительно улучшен с помощью экспертов по удобству пользования ПО. Мы также планируем изучить возможность расширения модели использования стран до регионов, таких как Европейский Союз, где например жители Франции могут доверять испанским УЦ. Наконец, мы рассматриваем возможность пользователям добровольно отправлять потенциально подозрительные сертификаты на центральный сервер, где они могли бы быть изучены экспертами. Возможность такого рода, до тех пор пока она только опциональна, не собирает никаких идентифицирующих данных о пользователе и срабатывает, только когда раскрываются потенциально фальшивые сертификаты, что имеет мало или никаких проблем с приватностью.


В конечном итоге угрозы, представляемые атакой создания сертификатов по принуждению, не могут быть полностью исключены только с помощью приложения к браузеру. Система УЦ неполноценна на фундаментальном уровне и должна быть пересмотрена. DNSSEC может играть важную роль в решении данной проблемы, по крайней мере в уменьшении количества субъектов, которые могут быть принуждаемы к нарушению пользовательского доверия. Неважно какая система в конечном итоге заменит текущую, сообщество безопасности должно рассматривать атаку создания сертификатов по принуждению, осуществляемую для сотрудничества с властями, как реалистичную угрозу и гарантировать, что решение должно быть устойчиво к такой атаке.


Назад | Оглавление | Дальше


 
— Гость (07/04/2010 09:06)   <#>
Какие надежные средства защиты от этой атаки могут быть предложены?!
— unknown (07/04/2010 09:24)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664
[K. O. mode]
Как минимум те, которые рассмотрены в данной работе.
[/K. O. mode]
— Гость (07/04/2010 09:28)   <#>
Меры вдобавок к тем, которые уже предложены в самой статье: /comment38383, /comment38437.
— Гость (07/04/2010 13:11)   <#>
Как минимум те, которые рассмотрены в данной работе

Минимум кажется черезчур минимальным, не?
P. S. А кто-нибудь уже юзал их плагин?
P. P. S. Если я регулярно удаляю весь кэш в браузере, будет ли он работоспособным? И не смогут ли, наоборот, злонамеренные сайты вычислять мой профиль по файлам отпечатков сертификатов, если я не буду чистить?
— unknown (07/04/2010 16:52)   профиль/связь   <#>
комментариев: 9796   документов: 488   редакций: 5664

Ни один человек в мире в данное время, так как это концепт-прототип. K. O., опять же.
Какой именно кэш? Обыный со страницами, или тот, который имеет отношение к сертификатам?
А зачем вам хранить сертификаты от злонамеренных сайтов, вы же их наоборот чистите?
Подразумевается, выбрать важные сайты и для них хранить сертификаты.
Вот только отсутствие общераспространённого сертификата при установлении соединения с каким-то сайтом дествительно изменит профиль (вы про Tor? Это чтобы злонамеренный Exit подсовывал фрейм с известными сайтами и смотрел на результат по разбору SSL-сессии для составления профила анонима?).
— Гость (01/05/2010 15:52)   <#>
А вот и он, DNSSEC на 13 головных DNS-серверах c 5-го мая.
Cписок серверов можно получить по команде:

Warning: Why your Internet might fail on May 5
— Гость (01/05/2010 17:56)   <#>
Гость (01/05/2010 15:52), спасибо за ссылку. Теперь я знаю, что дома у меня инет не будета вот на работе будет: хотя не ясно, 3843 – это
reply size limit of less than about 4,000
или нормально? Проверил по ssh на 3ёх разных провайдерах – все возвращают 3843.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3