Цитата
BillyBones пишет:
Что за сертификаты предлагается установить? Насколько это безопасно? Возможны ли будут подмены и MITM-атаки, если эти сертификаты установить?
----------
Современная практика такова, что сертификационные центры выдают конечные сертификаты вообще кому попало за 20 баксов. Поэтому подмены и MITM-атаки возможны независимо от того, будете вы что-то устанавливать дополнительно или нет.
Это всё на уровне детских разборок в песочнице. Ах, ты плохой, я у тебя ведёрко отберу. Содержательного смысла не имеет.
Цитата
wad910 пишет:
Современная практика такова, что сертификационные центры выдают конечные сертификаты вообще кому попало за 20 баксов. Поэтому подмены и MITM-атаки возможны независимо от того, будете вы что-то устанавливать дополнительно или нет.
Это всё на уровне детских разборок в песочнице. Ах, ты плохой, я у тебя ведёрко отберу. Содержательного смысла не имеет X
----------
При чем тут конечные сертификаты? речь идет о корневых сертификатах.
Цитата
Oleg5673 пишет:
При чем тут конечные сертификаты? речь идет о корневых сертификатах.
----------
Вы ж не корневыми сертификатами подписываете трафик-то, а именно конечными.
Смысл корневого сертификата изначально задумывался в том, что удостоверяющий центр будет проверять соответствие личности заявителя указанной им информации в конечном сертификате. По факту этого в мировой коммерческой цепочке сертификации нет. И смысла тоже, соответственно, нет, кроме сбора баксов за воздух.
Какой-нибудь Thawtee отозвал сертификат у вполне надёжного с точки зрения удостоверения подлинности банка ВТБ, однако хакеру Васе он сертификат выдаст, и майору-in-the-middle сертификат на адрес сервера google (или сходный с ним до степени неразличимости) тоже выдаст.
Цитата
BillyBones пишет:
Что за сертификаты предлагается установить?
----------
Если очень не хочется ставить корневики в систему, то можно просто в том же яндекс-браузере (на отдельной виртуалке, если требуется, или у соседа списать) на конкретный ресурс смотреть хэш-сумму, сверять с суммой в любом другом браузере и добавлять в исключения. Проблема в том, что в случае отзыва сертификата об этом событии не узнать, и повторять эту процедуру надо будет после каждого обновления сертификата.
То есть просто его вносить, как самопальный.
Даже в случае больших опасений с установленным корневиком всегда можно на сертификаты посторонних ресурсов внимательно смотреть. Не появился ли там внезапно другой сертификат с отечественным корневиком.
Незаметные подмены возможны только в случае установки корневика в систему в софте, где нельзя посмотреть сертификат.
При этом нужно смотреть, доверяете ли вы поставщику браузера, в случае с яндексом. Браузер может показывать не совсем валидную информацию, диванно-теоретически. Это если в шапочке из фольги переживать за местных правоохранителей.
Но в общем случае, установка своего корневика с давних пор была влажной мечтой не только локального правительства/органов. В Казахстане была история, зафакапленная в итоге, насколько помню. А тут прямо естественным путём всё идёт.
Цитата
Sayd пишет:
Если очень не хочется ставить корневики в систему, то можно просто в том же яндекс-браузере (на отдельной виртуалке, если требуется, или у соседа списать) на конкретный ресурс смотреть хэш-сумму, сверять с суммой в любом другом браузере и добавлять в исключения.
----------
Или ещё проще.
Не ставить всякие помойные не имеющие аналогов в мире браузеры.
А поставить обычный Firefox, сделать там отдельный профиль для Госуслуг и конкретно в этом профиле установить вручную российский корневой сертификат.
Цитата
orcus vulgaris пишет:
Почему-то не упомянут самый очевидный вариант: пользоваться яндекс.браузером или мейлрушным атомом только для сайтов, которые и так связаны с государством - госуслуги, госбанки.
----------
Потому что браузер - это приложение, имеющее доступ ко всем данным пользователя (а не только к просматриваемым через него сайтам).
Цитата
Migel12 пишет:
Потому что браузер - это приложение, имеющее доступ ко всем данным пользователя (а не только к просматриваемым через него сайтам).
----------
Чего конкретно боимся - что товарищ майор примется через браузер Яндекса шастать по всему вашему диску и увидит, какие картинки вы храните для личного пользования? А того, что агент Смит через хром или фаерфокс проведет с вашего аккаунта на госуслугах атаку на сайты электронного правительства РФ, не боимся?
Если первый вариант кого-то действительно волнует, можно поставить под другим юзером или на виртуалке, но вообще-то здесь лучше поступить наоборот: очень-очень личные данные держать зашифрованными по умолчанию.
Цитата
orcus vulgaris пишет:
Чего конкретно боимся - что товарищ майор примется через браузер Яндекса шастать по всему вашему диску и увидит, какие картинки вы храните для личного пользования? А того, что агент Смит через хром или фаерфокс проведет с вашего аккаунта на госуслугах атаку на сайты электронного правительства РФ, не боимся?
----------
В отличие от популярных браузеров, у местных аналогов репутации нет вообще.
Они могут творить что угодно, а потом просто сделать ребрендинг, и все всё забудут.
Ну и за проделками Firefox-а и Chrome-а следят сотни миллионов пользователей по всему миру, часть из которых достаточно квалифицирована, чтобы отследить сомнительную активность.
А что творят местные поделки - знают только их разработчики (и неподкупный товарищ майор).
----------
Цитата
Если первый вариант кого-то действительно волнует, можно поставить под другим юзером или на виртуалке
----------
1. Создать профиль в Firefox-е намного проще.
2. Многие программы при установке запрашивают права администратора (и пользователи, не задумываясь, эти права выдают). Так что запуск под другим пользователем не поможет.
----------
Цитата
но вообще-то здесь лучше поступить наоборот: очень-очень личные данные держать зашифрованными по умолчанию.
----------
Зашифрованными от кого? От ещё одной запущенной на том же компьютере программы?
Цитата
Migel12 пишет:
В отличие от популярных браузеров, у местных аналогов репутации нет вообще.
Они могут творить что угодно, а потом просто сделать ребрендинг, и все всё забудут.
Ну и за проделками Firefox-а и Chrome-а следят сотни миллионов пользователей по всему миру, часть из которых достаточно квалифицирована, чтобы отследить сомнительную активность.
А что творят местные поделки - знают только их разработчики (и неподкупный товарищ майор).
----------
Знаменитая ОС Убунту (линукс, опенсорс, свобода!) прославилась в том числе и тем, что с помощью фаерфокса сливала данные юзеров в Амазон. Убунте это ничем не повредило. (Ну ладно, Торвальдс ругался, но он всю жизнь ругается.) Фаерфоксу и Амазону тоже ничем не повредило.
Сама десятая винда (Америка, демократия, капитализм!) несколько лет подряд тащила данные пользователя в свою бигдату. Весь интернет был забит советами, как отучить винду воровать. Софт для этого выпускался специальный. Винде это ничем не повредило.
Вы исходите из того, что существуют какие-то "хорошие" программы. Их не существует. Идея защиты данных в том, чтобы допуск был по белому списку, а не по черному.
Кстати, права администратора (для определенности - под виндой) для расшифровки файлов другого юзера бесполезны.
Цитата
orcus vulgaris пишет:
Сама десятая винда (Америка, демократия, капитализм!) несколько лет подряд тащила данные пользователя в свою бигдату.
----------
Почему "тащила"?
И сейчас тащит.
----------
Цитата
Винде это ничем не повредило.
----------
Среди меня - повредило.
----------
Цитата
Вы исходите из того, что существуют какие-то "хорошие" программы.
----------
Нет.
Я исхожу из того, какие-то программы знают меру в подсматривании.
А какие-то могут творить вообще любую дичь.
----------
Цитата
Кстати, права администратора (для определенности - под виндой) для расшифровки файлов другого юзера бесполезны.
----------
Зависит от того, как их использоваться.
Если втупую читать файлы - то бесполезны.
А если, пользуясь правами администратора, запустить процесс в сессии другого пользователя, то отлично всё читается.
(Не говоря уже о том, что сильно умные программы уже при установке глобально добавляют свои корневые сертификаты.)
Цитата
Migel12 пишет:
А если, пользуясь правами администратора, запустить процесс в сессии другого пользователя, то отлично всё читается.
(Не говоря уже о том, что сильно умные программы уже при установке глобально добавляют свои корневые сертификаты.)
----------
Пароль от другого пользователя все равно потребуется как минимум один раз, и никакие сертификаты здесь не спасут. Поэтому EFS и называют отложенной корзиной - забыли пароль, удалили юзера, переставили винду с новым аккаунтом, и все. Восстановление только брутфорсом.
Цитата
Migel12 пишет:
Другой пользователь введёт его сам, когда будет заходить в свою учётную запись.
----------
И откуда браузер его возьмет? Только руткитом, но обвинять Яндекс в установке руткитов - это все-таки перебор.
Что бы вы попросили у Деда Мороза на Новый год?
Ну что, все готовы? На этой неделе большинство из нас ждут 6 (шесть) рабочих дней, включая субботу 28 декабря, а затем начнутся 11-дневные новогодние каникулы.
В Госдуме призвали сократить "иностранное участие" на российских музыкальных платформах. Депутаты заявили, что "музыка - это пропаганда", она влияет на молодежь. Поэтому, на музыкальных платформах должно быть "не более 20% иностранного участия".
В связи с текущими событиями появилась необходимость иметь дебетовую карту для оплаты зарубежных сервисов.
Где гражданин России может получить карту? Возможно ли оформить её в Армении, Казахстане, Белоруссии или других сопредельных странах?
Здравствуйте Друзья.
на просторах интернета попалась инфа, что можно открыть счёт (завести карту), дистанционно (онлайн)
в банке Тинькофф.
1. На сколько это реально открыть счет онлайн без подписания бумажек и получения физической карты?
2. Есть возможность получить виртуальную карту от Тинькофф?
3. Как это сделать подскажите подробнее пожалуйста.
Гражданство РФ есть, но постоянно проживаю за границей (Германия)
изображение
Собственно, сабж. Как ни искал в интернете, везде только общие слова - мол, подключено то ли 19, то ли 23 российских банка, но более-менее конкретного списка не нашел. Опытным путем обнаружил, что подключен "Открытие", но на этом все. Помогите!
Здравствуйте!
Посоветуйте, пожалуйста полис ДМС и СтрахКомпанию.
Что хочу от полиса:
Полис должен компенсировать визит в частную клинику (Моск. Обл), платные анализы, платные процедуры, лекарства по рецепту врача.
Заранее благодарю.
П. С. 😊 Googol выдал кучу всего. Сложно разобраться.
Всем добрый день!
07.02.2022 в 18:22 внес сумму 81500 через банкомат "Тинькофф"№2227. На этапе "Заберите нераспознанные купюры" банкомат завис. Минут через 5 я позвонил в тех. поддержку банка, где мне сказали: "Не волнуйтесь! Сейчас мы удаленно перезагрузим банкомат и он вернет Вам купюры и зачислит деньги на счет". Банкомат перезагрузили и он начал работать, как ни в чем ни бывало. Но только ничего на счет не зачислил и ничего нераспознанного мне не вернул. Опять позвонил в тех.поддержку, где...
24 марта 2021г я открыла накопительный вклад в ВТБ, 25 марта утром тремя переводами на разные счета были похищены 300 тыс руб через Личный кабинет. сама я после открытия вклада зайти в личный кабинет ни 24,ни 25 марта не пыталась(версия фишингового сайта исключается), данные третьим лицам не сообщала. при этом сообщений от Банка о входе в Лк и снятии ден. Средств не получала. Находясь в неведении я узнала о хищении только 27 января 2022 г, когда обратилась в отделение банка, чтобы переложить...
Получил блокировку от альфы, походу по 115ФЗ, в чате написали, что типа "вам поступил перевод с подозрительного счета". Идите в отделение с документами. Да, переводы были, но это были переводы от меня же, с личных счетов, на них купил долларов и евро пару недель назад. Как здесь с разблокировкой, был может опыт у кого? Прикольно, что вместе с этим пришел пуш, что банк готов одобрить мне кредит на автомобиль ))
В отделении они могут назвать конкретный перевод или операцию, которые вызвали...
Сегодня столкнулся с беспределом Валдбериз, личным кабинетом пользуется бывшая супруга, 27.01.2022 я привязал свою карту для нескольких покупок товаров для ребёнка, после оплаты удалил свою карту. Теперь с моей карты списывают деньги если нет денег на карты жены, звонил в поддержку, они заявляют, что как списали ранее так и будут продолжать списывать, т.к. удаление карты не даёт отказ от согласия списания средств.
В других торговых площадках, Яндекс, Озон, Алиекспресс такого беспредела нет, ес...
Всем доброго дня,
Прошу помощи сообщества и советов.
Несколько дней назад с моих двух карт Тинькофф (кредитная и дебетовая) неожиданно начали списывать деньги. При этом карты находились у меня на руках (я нахожусь в Подмосковье), а списания происходили путем снятия денег в банкоматах города Тольятти (Самарская область). Причем сначала списали чуть более 1000 рублей за покупку в Перекрестке, а потом уже начали снимать крупные суммы в банкоматах. Я увидел это не сразу, а минут через 10 после...