On 4/3/2016 5:56 AM, J.F. wrote:
> Dnia Wed, 30 Mar 2016 09:45:47 +0200, Marek napisał(a):
>> On Wed, 30 Mar 2016 01:09:23 +0200, "J.F." <j...@p...onet.pl> wrote:
>>> A skad niby jakis pracownik w USA czy Chinach ma wiedziec, ze oprocz
>>> mbnak istnieje w Polce popularny mbank ?
>>> Albo, ze w ogole trzeba szukac w Polsce, a nie w com ...
>>
>> Rotfl, widać nie masz pojęcia jak wygląda procedura uzyskania cert.
>> extended :)
>
> Nie mam, ale wiem ze swiat jest wielki, a Polska malutka.

W przypadku informatyki nie ma to znaczenia,
To wszystko jest jedna globalną wioską.

>
> Mieliby sprawdzac podobne nazwy we wszystkich krajach ?
> A skad wiedza, ktore banki sa popularne gdzies na zadupiu ?
>

Nie wiedzą i nie sprawdzają.
Masz przedstawic dokumenty uwiarygadniające, że ty to ty.
W jednym kraju procedury są bardziej skomplikowane i ostrzejsze w innym
mniej, ale podstawa w kazdym przypadku jest taka sama.

do góry

> Nie wiedzą i nie sprawdzają.
> Masz przedstawic dokumenty uwiarygadniające, że ty to ty.
> W jednym kraju procedury są bardziej skomplikowane i ostrzejsze w innym
> mniej, ale podstawa w kazdym przypadku jest taka sama.

czyli wystarczy obskoczyć z 50 bantustanów i w co najmniej jednym z nich (na dane
jakiegoś bezdomnego żula z Ukrainy zmarłego wczoraj) zarejestrować "swoje własne"
PKOBP albo mBank i...

będziemy mieli "kłódkę w przeglądarce" :)

dobrze zrozumiałem?

do góry

Dnia Wed, 30 Mar 2016 16:24:33 -0500, witek napisał(a):

>> http://www.infoworld.com/article/3008422/security/wh
at-you-need-to-know-about-dells-root-certificate-sec
urity-debacle.html
>
> po to so listy CRL

https://news.slashdot.org/story/16/04/01/0121226/php
-python-and-google-go-fail-to-detect-revoked-tls-cer
tificates

--
Borys Pogoreło
borys(#)leszno,edu,pl

do góry

Dnia Thu, 31 Mar 2016 21:17:56 +0200, Krzysztof Halasa napisał(a):

> Może być. Np. wiele CA sprawdza, czy ma do czynienia z właścicielem
> domeny, wysyłając mail na adres w rodzaju "admin@domena" itp. Trywialne
> do przechwycenia jeśli np. mamy dostęp do routera np. providera, przez
> którego to przechodzi.

Tylko w przypadku certyfikatów DV. OV i EV wymagają weryfikacji podmiotu,
dla EV ("z zielonym paskiem") to jest istna ścieżka zdrowia.

--
Borys Pogoreło
borys(#)leszno,edu,pl

do góry

Dnia Tue, 29 Mar 2016 22:32:12 +0200, janek z pola napisał(a):

> W outpucie będziesz miał też certyfikat tego serwera - zapisz sobie do
> jakiegoś pliku - np. ja sobie zapisałem do mbank.crt, potem takie polecenie:
> openssl x509 -in mbank.crt -noout -text

Można też kliknąć w kłódkę na pasku adresu przeglądarki i wyświetlić
szczegóły certyfikatu, zamiast grepować kernele ;)

--
Borys Pogoreło
borys(#)leszno,edu,pl

do góry

Dnia Sun, 3 Apr 2016 11:14:08 -0500, witek napisał(a):
> On 4/3/2016 5:56 AM, J.F. wrote:
>> Dnia Wed, 30 Mar 2016 09:45:47 +0200, Marek napisał(a):
>>>> A skad niby jakis pracownik w USA czy Chinach ma wiedziec, ze oprocz
>>>> mbnak istnieje w Polce popularny mbank ?
>>>> Albo, ze w ogole trzeba szukac w Polsce, a nie w com ...
>>>
>>> Rotfl, widać nie masz pojęcia jak wygląda procedura uzyskania cert.
>>> extended :)
>>
>> Nie mam, ale wiem ze swiat jest wielki, a Polska malutka.
>
> W przypadku informatyki nie ma to znaczenia,
> To wszystko jest jedna globalną wioską.

>> Mieliby sprawdzac podobne nazwy we wszystkich krajach ?
>> A skad wiedza, ktore banki sa popularne gdzies na zadupiu ?
>>
> Nie wiedzą i nie sprawdzają.
> Masz przedstawic dokumenty uwiarygadniające, że ty to ty.

Toz przeciez przedstawie. Zaloze spolke Modreno, wysle skany
potrzebnych dokumentow, nawet jak polski partner sprawdzi KRS, to
zobaczy ... i gdzie na swiecie szukac firmy Modreno pod ktora chce sie
podszyc? A moze nie Modreno tylko Moderno, Midreno, Nodreno ....

J.

do góry

On 04/04/2016 02:02 AM, n...@p...pl wrote:
>> Nie wiedzą i nie sprawdzają. Masz przedstawic dokumenty
>> uwiarygadniające, że ty to ty. W jednym kraju procedury są bardziej
>> skomplikowane i ostrzejsze w innym mniej, ale podstawa w kazdym
>> przypadku jest taka sama.
>
> czyli wystarczy obskoczyć z 50 bantustanów i w co najmniej jednym z
> nich (na dane jakiegoś bezdomnego żula z Ukrainy zmarłego wczoraj)
> zarejestrować "swoje własne" PKOBP albo mBank i...
>
> będziemy mieli "kłódkę w przeglądarce" :)
>
> dobrze zrozumiałem?

Może. W certyfikatach EV jest cała nazwa firmy + kraj, czyli na przykład
"PKO Bank Polski SA (PL)".

Więc z rejestracją może być problem, bo raz, że pewnie wyjdzie ci "PKO
Bank Polski SA, Ltd.", a dwa, że krajem nie będzie (PL), tylko (PA) czy
(KI).

O ile wcześniej nikt z firmy wystawiającej certyfikaty nie wpisze w
wyszukiwarkę "PKO BANK Polski SA" żeby zobaczyć, co to jest.


Tomasz Chmielewski
http://www.ptraveler.com

do góry

Dnia Mon, 4 Apr 2016 13:38:11 +0900, Tomasz Chmielewski napisał(a):
> On 04/04/2016 02:02 AM, n...@p...pl wrote:
> Może. W certyfikatach EV jest cała nazwa firmy + kraj, czyli na przykład
> "PKO Bank Polski SA (PL)".
>
> Więc z rejestracją może być problem, bo raz, że pewnie wyjdzie ci "PKO
> Bank Polski SA, Ltd.", a dwa, że krajem nie będzie (PL), tylko (PA) czy
> (KI).

Przy dlugiej nazwie sie wyswietli kraj czy nie ?

Ale:
-citi wyswietla US ... to nie dziwi, ale i inne moga nie dziwic.
-mozna sie zarejestrowac w Belize. Bank Zachodni (BZ)

> O ile wcześniej nikt z firmy wystawiającej certyfikaty nie wpisze w
> wyszukiwarkę "PKO BANK Polski SA" żeby zobaczyć, co to jest.

pare $ i google pokaze co wlasciwy link na pierwszej stronie :-)

J.

do góry

> > O ile wcześniej nikt z firmy wystawiającej certyfikaty nie wpisze w
> > wyszukiwarkę "PKO BANK Polski SA" żeby zobaczyć, co to jest.

mam nadzieję że Arabia Saudyjska ("właścicielka" domeny SA)
nie rejestruje zbyt łatwo firmy o nazwie zawierającej słowo bank

bo jeśli rejestruje, to w przeglądarce zobaczymy
"PKO Bank Polski (SA)" i to może zmylić bardzo wiele osób.

do góry

Użytkownik napisał w wiadomości grup
dyskusyjnych:b9e566a2-b55a-4fb9-a6d7-848ebea58c7a@go
oglegroups.com...
>> > O ile wcześniej nikt z firmy wystawiającej certyfikaty nie wpisze
>> > w
>> > wyszukiwarkę "PKO BANK Polski SA" żeby zobaczyć, co to jest.

>mam nadzieję że Arabia Saudyjska ("właścicielka" domeny SA)
>nie rejestruje zbyt łatwo firmy o nazwie zawierającej słowo bank

Nie bylbym taki pewny.

>bo jeśli rejestruje, to w przeglądarce zobaczymy
>"PKO Bank Polski (SA)" i to może zmylić bardzo wiele osób.

Zawsze mozna sie ograniczyc do "PKO (SA)". Czy "Pekao (SA)".

J.

do góry