https://mobile.opennet.me/openforum/vsluhforumID3/108955.html Уязвимость в WoSign, одном из крупнейших китайских удостоверяющих центров, позволила (http://www.percya.com/2016/08/chinese-ca-wosign-faces-revocation.html) злоумышленникам получить корректно заверенные сертификации для многих известных сайтов, допускающих размещение пользовательской информации на поддоменах. В частности, удалось выписать фиктивные сертификаты для сайтов GitHub (https://www.google.com/transparencyreport/https/ct/#domain=github.io&incl_exp=false&incl_sub=false), Microsoft (https://www.google.com/transparencyreport/https/ct/#domain=cloudapp.net&incl_exp=false&incl_sub=false) и Alibaba (https://www.google.com/transparencyreport/https/ct/#domain=alicdn.com&incl_exp=false&incl_sub=false).<br><br><br><br>Проблема вызвана недоработкой в системе верификации заявки. Для получения сертификата WoSign следует подтвердить владение сайтом, для чего достаточно разместить на сайте специально предоставленный проверочный ключ. Суть уязвимости, что злоумышленник может запросить сертификат для поддомена и заодно получит https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#125 Fri, 08 May 2020 07:11:40 GMT Обходились как-то до этого без всяких сертификатов, сейчас приходится бегать по всяким Хострадарам с выпученными глазами, разыскивать хостинг с дешёвым или бесплатным SSl.<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#124 Sat, 08 Jul 2017 09:48:55 GMT Больной совсем?<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#123 Fri, 02 Sep 2016 16:59:35 GMT &gt; Ну, то есть хреново жили <br><br>Хреново было, когда не было nic.ua и pp.ua, и зарегистрировать бесплатный домен в зоне org.ua было очень геморно и почти нереально. И от провайдера получить реальник было геморно и дорого. А сейчас, 2 клика, смс-ка или код в телеграмме и бесплатный домен в зоне pp.ua, с бесплатным dns готов. А Триолан аж 2 реальника даёт бесплатно.<br>А на https было просто насрать, да и сейчас он нужен лишь для галочки, что бы пользователи видя зелёный замочек испытывали чувство защищённости. Хотя, если бы http2 работал бы без него, и input type="password" не ругался бы на его отсутствие, то срал бы на него до сих пор.<br>А вот если Китайцев выкинут из списка доверия, то вот теперь-то и будет хреново.<br>Но думаю, разбирутся, как и с Комодо.<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#122 Fri, 02 Sep 2016 07:16:54 GMT так уж-ж.<br>помаленьку начиная с 38 версии - выпиливают XUL покомпонентно и втаскивают Bink туда(правда форкнутый лихо).<br>применительно к креведке это где-то 2.11/2.12 версия, например, про тандерберд и прочие проекты(оттуда тоже XUL выпихивают но с меньшим нажимом и кое-где - решилми оставить, например в средствах для разработки веб-а).<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#121 Fri, 02 Sep 2016 04:23:23 GMT Думаю всем тем, кто редко пользуется китайскими сайтами, лучше всего отключить его самим, не дожидаясь пока в Мозилле раздуплятся, и в Хроме и в IE тоже...<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#120 Thu, 01 Sep 2016 22:35:24 GMT Ну, то есть хреново жили<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#119 Thu, 01 Sep 2016 17:08:26 GMT &gt;&gt; И на что заменить? Ну хотя бы чтобы соседский Вася трафик не <br>&gt;&gt; смотрел и это не требовало никаких действий от пользователя?<br>&gt; Вот сейчас при всём разнообразии и изобилии "доверенных удостоверяющих центров" пресловутый <br>&gt; соседский Вася трафик смотрит, да ещё и посмеивается над всеми этими <br>&gt; индикаторами защищённости...<br>&gt; Это не беспокоит?<br><br>Иллюзия безопасности хуже отсутствия безопасности (с) Брюс<br><br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#117 Thu, 01 Sep 2016 17:04:34 GMT &gt; Удивляюсь, что так долго ждали: 14 месяцев.<br><br>Ты хоть когда-нибудь работал в коллективе свыше 50 чел? Не в Рога-И-Копыта-Инкорпорейтед?<br> https://mobile.opennet.me/openforum/vsluhforumID3/108955.html#116 Thu, 01 Sep 2016 14:53:35 GMT &gt; Я вообще не понимаю как люди жили до появления Let's Encrypt, это <br>&gt; была катастрофа!<br><br>Ты не поверишь, или вообще не использовали https, или использовали само подписанные сертификаты на 10 лет.<br>