[KacperSzurek]

Certyfikat SSL sprawia, że ruch pomiędzy naszą przeglądarką a serwerem jest szyfrowany – czyli nasz operator internetowy nie wie, co przesyłamy.
Ale co w przypadku, gdy ten certyfikat wygasł i nie jest ważny?
Czy możemy bezpiecznie zaakceptować wyjątek bezpieczeństwa? #od0dopentestera

Aby połączenie było szyfrowane każdy serwer musi posiadać swój unikalny klucz.
Ten klucz musi być jakoś powiązany z nazwą domeny.
Tylko, że każdy może wygenerować swój klucz i stwierdzić, że należy on do domeny x.
Dlatego też powstały główne urzędy certyfikacji – firmy, których dane są zapisane w przeglądarce i systemie operacyjnym.
Ich zadaniem jest stwierdzenie, czy dana osoba bądź podmiot posiada prawo do posługiwania się daną domeną.
Jeżeli tak – potwierdzają ten fakt swoim podpisem.
Czyli urzędy te to tacy internetowi notariusze.
Na tej podstawie przeglądarka wie, że dany klucz powiązany jest z konkretną domeną.

Podobnie jak dowód osobisty, certyfikat ma określony czas ważności.
Dlaczego? Ponieważ domena może zostać sprzedana lub też może wygasnąć.
Jeżeli właściciel witryny nie odnowi certyfikatu w odpowiednim czasie, przeglądarka wyświetli nam odpowiedni błąd.
Wtedy, wejście na taką stronę jest możliwe jedynie gdy zaakceptujemy wyjątek bezpieczeństwa.
Problem w tym, że podobny komunikat wyświetla się w kilku różnych sytuacjach.

Expired – certyfikat wygasły
Był on prawidłowy w przeszłości, ale najprawdopodobniej ktoś zapomniał go odnowić.
Wrong host – zła nazwa
Serwer zwrócił certyfikat, który należy do innej domeny.
Czyli wchodząc na domenę x otrzymaliśmy coś, co należy do y.
Self-signed oraz untrusted root
Dane w certyfikacie nie zostały potwierdzone przez zaufany urząd certyfikacji.
Revoked – unieważniony
Certyfikat został unieważniony. Jednym z powodów może być kradzież klucza prywatnego, używanego do szyfrowania.

Więcej informacji na blogu.
Materiału możesz również posłuchać w formie podcastu na Google i Apple Podcasts oraz Spotify i Anchor.
Subskrybuj kanał na YouTube
Masz pytanie na temat security? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany do podobnych wpisów na Mirko dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security

[KacperSzurek]

Wołam zainteresowanych (124) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak @balor @elpredatoro @notoniewiem @czechu @arba @Wroneczek @xDRpl @umiarkowany_ekstremista @bartex121 @madox @porbono @Ravciu @brudny @luznoluzno @phund @int @sebekk23 @Melisandre @kintoro @Narrorek @Lizbona

[KacperSzurek]

[KacperSzurek]

[henk]

@KacperSzurek: wiem, że to materiał "popularnonaukowy" ale mówisz, że tylko serwer docelowy może odczytać, to co do niego wysyłamy. A nie jest to do końca prawdą, bo to, co wysyłamy może odczytać każdy, kto posiada klucz prywatny, a często w internecie właściciel serwera intencjonalnie dzieli się swoim kluczem prywatnym z innymi podmiotami, i te podmioty także mogą (i robią to) odczytać ruch.

[Texit]

@KacperSzurek: fajnie że coś takiego robisz, ale wydaje mi się że jakbyś to robił szybciej i zwięźlej (5m np.) to byś miał znacznie więcej odbiorców, i ewentualnie możesz nagrywać dłuższe filmiki dla bardziej zainteresowanych tematami. Taka tylko sugestia do rozważenia :)

[KacperSzurek]

@Texit: Tworze materiały różnej długości. Chociażby seria od 0 do pentestera, gdzie filmy trwają około 6 minut.
Niestety, nie wszystko da się wytłumaczyć w takim czasie.
Niektóre treści tworzone są jako podcast – stąd ich nieco dłuższa forma.
Jeżeli dla kogoś to za długo zawsze może przeczytać transkrypcję do wideo bądź też przeskoczyć do interesującego wątku przy użyciu sygnatur czasowych w opisach pod filmem.
Mocno skrócone wersje publikuje również na