SSL jest do bani
Popularny standard SSL i jego rozwinięcie TLS bazują na mechanizmach, które w praktyce uniemożliwiają szybkie rozpoznawanie wadliwych certyfikatów i nie pozwalają sprawnie zarządzać zaufaniem. W efekcie prawie każda agencja wywiadowcza świata może mieć dostęp do naszych danych.
- #
- #
- #
- #
- #
- #
- #
- 10
Komentarze (10)
najlepsze
Niby miejscami autor ma trochę racji, np. to że producenci oprogramowania niekiedy bardzo swobodnie podchodzą do tego co jest np. w RFC. Standardy jako takie są w miarę dopracowane i w jako-tako działają (mimo
"Z kolei SSL/TLS to już konkretny mechanizm, który jest jednym z wielu sposobów realizowania PKI."
Mam poważne wątpliwości co do tego sformułowania. Rzuć okiem do RFC 5246 - kwestia sprawdzania ważności certyfikatów jest tam potraktowana po prostu po macoszemu. Ot, są certyfikaty bierzemy z nich klucze i jedziemy. Jest parę wiadomości dotyczących certyfikatów ale SSL/TLS to przede wszystkim protokół komunikacyjny i skupia się na tym jak (nie)bezpiecznie (-; przesłać dane przez
Ale właśnie to jest kwestia definicji. PKI to po prostu kryptosystem bazujący na kluczu publicznym, nawet nie na certyfikacie. Z kolei SSL/TLS to już konkretny mechanizm, który jest jednym z wielu sposobów realizowania PKI. W przypadku SSL/TLS używa się X.509 do przesyłania informacji związanych z certyfikatami i kluczami. Więc PKI nie jest winna, tylko ta jej konkretna implementacja jest winna.
Oczywiście w każdym PKI pojawi się kwestia zarządzania zaufaniem do klucza,