Új hozzászólás Aktív témák
-
Ligend
tag
"csak ha te generálod, biztos lehetsz benne, hogy nem adták le az nsa-nak a titkos kulcsot."
Ezt szerintem pontosítsuk, mert félreértésekhez vezet. A 3rd party CA-nak, aki a certificate request aláírását (hitelesítését) végzi, nincs birtokában a privát kulcs. Azt minden esetben az igénylő birtokolja, és nem adja ki. A request mindössze a publikus kulcsot tartalmazza, illetve értelemszerűen a tanúsítvány tárgyát (subject) és egyéb technikai adatokat (verzió, használt algoritmusok megnevezése, hash, attribútumok, stb.).
Nyilvánvalóan egy RSA publikus kulcsból elő lehet állítani annak privát párját, ez azonban rendkívül számításigényes. A prímfaktorizációs algoritmusok fejlettsége és a jelenleg elérhető számítási kapacitások miatt már az 1024 bites RSA kulcsok nem számítanak biztonságosnak, 2048 bites kulcspárok használata javasolt. Amennyiben a privát kulcsot tartalmazó szervert nem kompromittálják egy 0-day vagy ismert sérülékenység kihasználásával (pl: Heartbleed), és szerzik meg róla a privát kulcsot, meglehetősen komoly kihívás egy SSL kommunikációt lehallgatni és visszafejteni.
Ahogy korábban is írták többen, a vállalati környezetben alkalmazott SSL-képes proxy megoldások beékelődéses megoldással működnek. Ennek azonban feltétele, hogy a kliensek hitelesnek fogadják el a proxy által titkosított kommunikációt, vagyis rendelkezzenek azzal a CA tanúsítvánnyal, mely a proxy tanúsítványát hitelesítette, és megbízhatónak tartsák azt. Out-of-box ezt nem tartalmazzák a böngészők, külön telepítést igényel.
[ Szerkesztve ]
Az ostobaság ellen az istenek is hiába hadakoznak.
Új hozzászólás Aktív témák
it A cég biztonsági törekvéseit most némi erőszakkal nyomja át: ha valaki nem használja a biztonságosabb sémát, számíthat arra, hogy hátrébb kerül a keresőben.
