Dnia 30.03.2016 witek <w...@g...pl> napisał/a:

> Rownie dobrze można uzytkownikowi zarzuć niedbałość za samo pracowanie
> na koncie z uprawnieniami administratora.
>
> Ręka do góry kto tego nie robi. Linuxowcy i jemu podobni sie nie
> odzywaja. :)

A czy Linuksowiec na maszynie z Windows się liczy? ;-)

--
Dominik Ałaszewski (via raspbianowy slrn)
"Wszyscy chcą naszego dobra. Nie dajmy go sobie zabrać." (S.J. Lec)
Wyrażam wyłącznie prywatne poglądy zgodnie z Art. 54 Konstytucji RP
Pisząc na priv zmień domenę na gmail.

do góry

witek <w...@g...pl> writes:

[...]

> Rownie dobrze można uzytkownikowi zarzuć niedbałość za samo pracowanie
> na koncie z uprawnieniami administratora.
A to pod Windą da się inaczej? [1]

KJ
[1] pomijając komputery korporacyjne
--
http://stopstopnop.pl/stop_stopnop.pl_o_nas.html
Don't confuse things that need action with those that take care of themselves.

do góry

Użytkownik "witek" <w...@g...pl> napisał w wiadomości
news:ndhg34$f9a$1@dont-email.me...

> Ręka do góry kto tego nie robi.

Miałem kiedyś zamiar (pod XP professional) nie pracować na koncie z
uprawnieniami administratora.
Zainstalowałem Buildera 5 i się okazało, że na koncie bez uprawnień nie
działa.
P.G.

do góry

Dnia Tue, 29 Mar 2016 17:46:53 +0200, Piotr Gałka napisał(a):

> Wiadomo, że generator jest wystarczająco dobry?

Zwróć uwagę, że standardy SSL są rozwijane i stare wersje przestają być
używane. Właśnie dlatego, że w pewnym momencie przestały być
wystarczająco dobre.

do góry

Użytkownik "Kamil "Jońca"" napisał w wiadomości grup
dyskusyjnych:8...@a...kjonca...
witek <w...@g...pl> writes:
>> Rownie dobrze można uzytkownikowi zarzuć niedbałość za samo
>> pracowanie
>> na koncie z uprawnieniami administratora.
>A to pod Windą da się inaczej? [1]
>KJ
>[1] pomijając komputery korporacyjne

IMO - da.
Poza tym od pewnego czasu Windows ma wydzielone konto administratora i
wymaga potwierdzenia co bardziej niebezpiecznych operacji.

J.

do góry

witek <w...@g...pl> writes:

> Certyfikat SSL można dostać za parę groszy.
> Natomiast przejść sprawdzenie dokumentów nie bedzie już takie proste.

Ale w dalszym ciągu proste.
Dlatego w niektórych zastosowaniach nie używa się listy tamtych CA.

> Tylko co ci to da.
> Musiałbyś jeszcze przekierować ruch na twój serwer zamiast prawdziwy.

No ale jeśli zakładamy, że nie można tego zrobić, to po co nam to całe
PKI.


Po prostu - to podnosi poprzeczkę, nie daje całkowitego bezpieczeństwa.
--
Krzysztof Hałasa

do góry

witek <w...@g...pl> writes:

> 1. nie bedziesz mial w certyfikacie mBank ul Senatorska 18, no i nie
> bedzie pod adresem mbank.com.pl

Może być. Np. wiele CA sprawdza, czy ma do czynienia z właścicielem
domeny, wysyłając mail na adres w rodzaju "admin@domena" itp. Trywialne
do przechwycenia jeśli np. mamy dostęp do routera np. providera, przez
którego to przechodzi.
--
Krzysztof Hałasa

do góry

On 2016-03-29 17:46, Piotr Gałka wrote:
> Przyznam, że liczę na odpowiedź od Sebastiana.

Trole nie udzielają odpowiedzi, tylko generują dyskusję.

> Kiedy i jak ten proces się kończy?

Czasem tutaj:

http://www.computerworld.com/article/3007981/securit
y/what-you-need-to-know-about-dells-root-certificate
-security-debacle.html

http://www.computerworld.com/article/3008521/securit
y/a-second-dangerous-dell-root-certificate-discovere
d.html

Ibecyli nie brakuje bez względu na wielkość korpo w których pracują.

> Opis na Wiki "Zasada działania SSL" jest tak napisany, jakby problem
> weryfikacji dostarczonego klucza publicznego nie istniał.
> Czego nie wiem?

Jesli dostarczą Ci zły klucz publiczny, to dane nim zaszyfrowane nie
zostaną poprawnie odtworzone przez klucz prywatny. Czyli nie ma nic
groźniego w podmianie klucza - najwyżej nie zadziała.

> Wiadomo, że generator jest wystarczająco dobry?

Ptaszki ćwierkają że dobre exploity NSA będą bazować (bazują?) na
popsutych generatorach. Warto też wiedzieć że problem jest na tyle
istotny, że można znaleźć kawalki hardware generujące liczby losowe w
sposób bazujący na szumie termicznym, radiowym, inpucie usera itd,
gdzieś widziałem dongla w USB poprawiającego /dev/random.

Ogólnie mieszasz dwa problemy: klucze prywatny/publiczny pozwalają na
bezpieczną komunikację w sytuacji gdy ktoś podsłuchuje. Certyfikaty
natomiast pozwalają usunąc ataki Man in the Middle które bez nich były
by trywialne. Problem w tym że jest to na tyle magiczne że doprowadziło
do debilizmów jak na przykład mój bank twierdzi że wystarczy mieć kłódkę
w przeglądarce i będziemy bezpieczni. Nie tak dawno widziałem lewą
stronę która miała favicon.ico w wiesz-jakim-kształcie...

PS. W tej dyskusji padło chyba już wszystko, więc nie bedę się produkować.

do góry

On 3/31/2016 2:48 PM, Sebastian Biały wrote:
> Warto też wiedzieć że problem jest na tyle istotny, że można znaleźć
> kawalki hardware generujące liczby losowe w sposób bazujący na szumie
> termicznym, radiowym, inpucie usera itd, gdzieś widziałem dongla w USB
> poprawiającego /dev/random.

aha
https://en.wikipedia.org/wiki/Fortezza

do góry

Użytkownik "Sebastian Biały" <h...@p...onet.pl> napisał w wiadomości
news:ndjv1o$ug0$1@node2.news.atman.pl...
>
>> Opis na Wiki "Zasada działania SSL" jest tak napisany, jakby problem
>> weryfikacji dostarczonego klucza publicznego nie istniał.
>> Czego nie wiem?
>
> Jesli dostarczą Ci zły klucz publiczny, to dane nim zaszyfrowane nie
> zostaną poprawnie odtworzone przez klucz prywatny. Czyli nie ma nic
> groźniego w podmianie klucza - najwyżej nie zadziała.

Nie chodziło mi o błąd w kluczu, tylko celowo podłożony klucz Mana in the
Middle.
P.G.

do góry