Biztonságos kapcsolaton a Weblabor
Egy soron következő, nagyobb léptékű előzetes előtt néhány rövidebb bejegyzésben szeretnénk bemutatni, mi változott az év eleje óta eltelt időszakban a Weblabor fejlesztés alatt álló új rendszerében.
A közelmúlt lehallgatási botrányai egyértelművé tették, hogy egy olyan világban, ahol a világháló a kommunikáció elsődleges eszközévé vált, a politikai szabadság, gazdasági érdekek és a magánszféra védelmének egyetlen útja a nyilvános adatforgalom egészének titkosítása.
Ugyan szolgáltatásai jellegéből fakadóan a Weblabor nem kezel érzékeny adatokat, a fenti elv jegyében, és mert úgy gondoljuk, felelősségünk a hazai fejlesztői közösségben a figyelem felhívása, a jövőben a Weblabor is biztonságos kapcsolaton lesz elérhető.
A titkosítást hagyományosan költséges eljárásként tartottuk számon, mind a szükséges számítási kapacitás, mind a tanúsítványok árából kifolyólag. A hardverek fejlődésével azonban a titkosításból fakadó processzorterhelés már évek óta elhanyagolható, mostantól pedig a tanúsítvány megszerzése sem akadály többé.
A Weblabor a Let’s Encrypt zártkörű béta programja keretében szerzett tanúsítványt, a nyilvános tesztelés azonban néhány napon belül elindul. A Let’s Encrypt a Mozilla, az EFF és Michigani Egyetem közös kezdeményezése, melynek keretében a tanúsítványok szabadon, térítésmentsen hozzáférhetővé válnak bárki számára.
A paraméterek megválasztásakor a legmagasabb biztonsági követelményeknek való megfelelésre törekedtünk, az SSL Labs szerver tesztjén A+ besorolást kaptunk. Privát kulcsunk 4096 bites RSA (később 521 bites ECDSA) SHA256-os aláírással, a kulcsegyeztetés algoritmusa ECDHE 384 bites görbén. A titkosítás GCM (régebbi klienseknek CBC) módú AES SHA384-gyel (régebbi klienseknek SHA1-gyel), 256 bites szimmetrikus kulcsokkal, TLS 1.2 (régebbi kliensekkel 1.0 vagy 1.1) felett. Az első csatlakozást követően szigorú átviteli biztonság irányelv vonatkozik a kérésekre, tartománynevünkhöz pedig hozzátűzzük nyilvános kulcsunkat.
Miközben a tragédiákat kihasználva a kormányzatok újult erővel igyekeznek hozzáférést szerezni minden kommunikációs csatornához, arra ösztönözzük olvasóinkat, hogy válaszképp titkosítsák végponttól végpontig mindegyiket.
■
Hurra
De erdemi tartalom mar evek ota nincs az oldalon, mert akkora szenvedes az engineben barmit csinalni, hogy senki nem all le vele veszodni. Lehet inkabb azzal kene foglalkozni.
Sajnálom, hogy ilyen
Hááát, én másfél éve
"Jeleztem már máshol is, hogy de igen, úgy gondolom, hogy átfogó változtatásokra van szükség, és ha ez nem is látszik, de dolgozom az ügyön."
Még akkor júliusban indult is egy Weblabor seregszemle nevű kezdeményezés, ami:
"A találkozóra egy későbbi időpontban kerül majd sor."
Nem került rá sor.
Idén februárban jött az "Így készül a Weblabor", ahol is egy redesign koncepciót lehetett elérni két(?) napig. Amiből persze nem lett semmi.
Tehát konkrétan másfél év alatt nem történt semmi, és már előtte is voltak akik próbálták felhívni a problémára a figyelmet, sőt, rengetegen ajánlották fel a segítségüket is.
Namármost másfél év alatt a legnagyobb eredmény, hogy be lett állítva egy ingyenes cert és elköltözött a Weblabor egy másik tárhelyre.
Szeretném, ha nem kellene
1. Akármilyen kényelmetlen is a fentiekhez hasonló megszólalások retorikája szempontjából, de a lap működik. Minden, eddig megjelent tartalom elérhető, a beérkező tartalmak megjelennek, adott a lehetőség a kommentelésre.
2. Akármilyen meglepően hangzik, egy webhely nem üzemel magától. Ez csak úgy lehetséges, hogy valaki hónapról hónapra kifizeti a szerverköltséget, és nap mint nap telepíti a biztonsági frissítéseket, törli a robotokat, adminisztrálja a hirdetéseket, figyeli és, ha kell, moderálja a fórumot, megválaszolja a leveleket. A megjelenő írások – akármennyi is – sem szerkesztik meg magukat.
3. A weblapok nem rozsdásodnak. Semmivel sem rosszabb a szájt állapota ma, mint hét évvel ezelőtt. Ha akkor alkalmas volt a feladatára, akkor ma is az.
4. Az előző pontnak a technológia vagy dizájn fejlődésére hivatkozással történő megkérdőjelezésére megelőlegezve a választ szeretnék rámutatni például a Hacker News kifinomult funkcionalitására és esztétikai kivitelezésére, ami láthatóan előfeltétele a színvonalas tartalomnak, a pezsgő közösségnek és a világhírnek.
5. Ennek ellenére cél az, hogy mind funkcionalitásában, mind megjelenésében megújuljon az oldal, ahogy az újra és újra le van szögezve. Ha ez a szándék nem őszinte, vajon mi lehet erre mégis az indíték? És ha nincs ilyen szándék, akkor mégis ki lenne az a hülye, aki nap mint nap rászánna egy darabot az életéből erre a kilátástalan projektre, és magyarázkodna nem csak hálátlan, de számonkérésre semmilyen alappal nem rendelkező emberek előtt?
6. Az, hogy nincs közzétéve félkész munka, nem jelenti, hogy nem zajlik munka. Amikor azonban valami közzé van téve, akkor se a munka folytatására, se a nyitottabb kommunikációra nem ösztönöz az elégedetlenkedés.
7. A segítségre vonatkozó felajánlásokat nagyra értékeljük. Nap mint nap jelennek meg fontos hírek, amiknek a blogmarkok közt a helye, és rengeteg technológia van, amit egy-egy cikk keretei közt átfogó jelleggel kellene tárgyalni, így akit a szavakon túl is érdekel a lap és a közösség sorsa, az minden bizonnyal megtalálja a módját annak, hogy tegyen érte.
Ha csak nem feltétlen szükséges, nem szeretném folytatni ezt a témát, mert ez nem az a típusú társalgás, ami különösebben motiváló a munkát tekintve.
"Ha csak nem feltétlen
Rendben, tiszteletben tartom a kérésed. Ettől függetlenül csak jelezni szeretném, hogy abszolút rossz oldalról közelíted meg a dolgot: senki nem arra panaszkodik, hogy milyen az oldal, hanem, hogy nincs minőségi content (nem, a blogmark nem az). És ezen lehetne segíteni minimális erőráfordítással, egy sor kódot sem kell írni.
Mikorra
Érzem a kioktatni vágyó
Van
Tördelni
Legutobb
Nem igazán értem, hogy mi a
Nemakarásnak nyögés a vége :
Hány ember működteti az
"2. Akármilyen meglepően hangzik, egy webhely nem üzemel magától..."
Csak az látszik, hogy elég sokan vagytok egy ilyen oldal működtetéséhez:
http://weblabor.hu/weblabor/impresszum
pp
Plusz
1. BARMIKOR szol hogy kell vas vagy uzemeltetni kell, van ra keret es eroforras. Fizetos SSL certre is van.
2. Barmikor probal valaki segiteni a Weblabor mukodeseben, mindig az a valasz jon Adam reszerol, hogy "csinalom, van koncepcio, majd". Igy nehez segiteni.
Barmikor probal valaki
Már pont elégszer felajánlottuk a segítségünket, hogy tisztában legyen azzal, hogy megkapja, ha kéri. Nincs szüksége rá, megoldja egyedül a szabadidejében, ennyi. Felesleges ezen pörögni, rá kell hagyni.
egy vicc jutott eszembe
- Mert Rambónak csúfolnak az oviban.
- Na majd akkor bemegyek, és elbeszélgetek az óvónénivel.
- Ne anya! Ezt a harcot egyedül kell megvívnom...
:D
Elég volna ha csak azt írod:
Csak egy kérdés
Valószínűleg azért, mert így
Valaki nem mond igazat
Erre most megnéztem egy szimpla Chrome 47-ben az így készült, hogy mit ír a lakatra kattintva:
"A(z) igy.keszul.a.weblabor.hu domainnel való kapcsolata elavult kriptográfiával van titkosítva.
A kapcsolat a következőt használja: TLS 1.2.
A kapcsolat a(z) AES_256_CBC használatával lett kódolva, HMAC-SHA1 algoritmussal az üzenethitelesítéshez és ECDHE_RSA algoritmussal a kulcscserélő folyamathoz."
Most akkor kinek lehet hinni? A Chrome legfeljebb fél éves, ennyit változott azóta a világ? Az SHA1 gyanús, azt az SSLtest miért nem veszi észre?
Nem minden teszt működik
Úgy tűnik a "modern"
(egyéként a HMAC-SHA1 teljesen biztonságos, attól függetlenül, hogy maga az SHA1 már "broken")
A komplexitás a biztonság legnagyobb ellensége
Dühítő ez az egész, hogy az internet eldugott bugyraiból kell összevadászni az értékes információkat. Túlságosan el lett bonyolítva ez a titkosításosdi, így nem csoda, hogy egyre sűrűbben derülnek ki a komolyabbnál komolyabb biztonsági hibák.
Ezen elég jól átment:
Mi a gyanús a SHA1-ben?
Az SHA1-et már nem szabad
Ha jól értem a HMAC-SHA1 a
A HMAC egy szimmetrikus
A werkszájton három rejtjel
Mindhárom 256-bites titkosítást használ, mivel ez az elérhető legerősebb, és széleskörűen támogatott, de GCM és CBC mód is választható, mert sok régebbi kliens csak az utóbbit támogatja.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHAA két mód közül a CBC a régebbi, és bár önmagában biztonságos, az algoritmus sajátosságaiból fakadóan könnyű hibásan implementálni. A GCM újabb és robusztusabb.
A Chrome GCM-et akar használni, de érthetetlen módon GCM-ből nem támogatja a 256-bitest, csak a 128-ast, így a CBC-t választja és hisztizik.
Gyenge
Nem. A 128 bites titkosítás
A 256...