Rząd amerykański chce móc odszyfrowywać SSL [ang]
Rząd amerykański czyni starania by uzyskać tak zwane master encryption keys które służą ochronie prywatności komunikacji milionów użytkowników sieci.
m.....q z- #
- #
- #
- #
- 58
Rząd amerykański czyni starania by uzyskać tak zwane master encryption keys które służą ochronie prywatności komunikacji milionów użytkowników sieci.
m.....q z
Komentarze (58)
najlepsze
utrzymują pozory :)
Edit: Nawet coś takiego znalazłem: https://github.com/digitalbazaar/forge/
http://pl.wikipedia.org/wiki/Security_through_obscurity
Nie ma rozwiązania idealnego, zwłaszcza biorąc pod uwagę fakt, że służby chcą byśmy traktowali drugą stronę komunikacji jako niezaufaną.
Można użyć komunikatora PSI i szyfrować GPG, to wiem. Dość trudna instalacja i konieczność używania mało popularnego PSI powoduje, że nikogo do tego nie namówię. Za to szyfrowanie w AQQ... byłoby super. Jest nawet wątek na forum tego komunikatora, jakiś koleś się za to zabrał, ale nigdy nie udostępnił niczego i prace są najwyraźniej ws3mane.
Również jest plugin do WTW - wtwCrypto - szyfrowanie AES-256 w trybie ECB.
Dodatek do Pidgina, ktorego sobie chwale. Nie sprawdzalem ale wyglada ciekawie. Niezalezny od transportu, czyli moze dzialac i po gadu, i (teoretycznie) po fejsie nawet.
A teraz do ekspertów mam kilka pytań bo sam jestem raczej słaby w temacie a mnie (i mam nadzieję innych) interesuje bezpieczeństwo:
1) Jak otrzymają klucz do SSL'a od Googlowej (czy MSowej) poczty to będą mogli sobie ją czytać przechwytując transmisję u providerów.
2) Jak zażądają masterkey od VeriSign to co będą mogli
Nie, patrz niżej
a) podpisać ,,lewy'' certyfikat i zrobić udany atak man-in-the-middle?
Zakładając, że mają dostęp do głównych kluczy prywatnych VeriSign (lub Go Daddy, Microsoftu, Go Daddy itd.) to mogą tworzyć poprawne klucze praktycznie każdej strony WWW. Oznacza
Gdyby je znał to pasywny MiM byłby banalny.
Inną rzeczą jest to, że jeśli dostaliby swój klucz główny (opisany przeze mnie drugi czy trzeci poziom) to mogliby postawić sobie serwer do phishingu z prawidłowym z tak samo wartościowym kluczem. Jednak już teraz mogą