Michal Kolodziejczyk <m...@w...pl> writes:

> Nie ulegaj zludnemu poczuciu bezpieczenstwa, taki atak jak najbardziej
> jest mozliwy! Choc wiecej z nim zachodu - ktos musialby postawic wlasny
> serwer www (a raczej proxy) na ssl i podpisac go wlasnym kluczem
> (przegladarki zwykle nie "potwierdzaja" u zrodla prawdziwosci
> certyfikatow, robisz to sam "na oko" - wiekszosc ludzi po prostu klika).
> Jest z tym wiecej zachodu, ale jest to mozliwe.

Jest mozliwe ale w inny sposob niz napisales - przegladarki, nawet
jesli nie wykorzystuja CRL (co nie jest tu istotne), musza sprawdzac
sciezke certyfikatow - od jednego ze swoich "trusted root CAs" do
certyfikatu serwera WWW. Jesli nie ma takiej poprawnej sciezki, to
przegladarka powinna ostrzec, ze nie da sie zweryfikowac certyfikatu
serwera (i normalne przegladarki z pewnoscia to robia).

To powoduje, ze trzeba:
a) posiadac certyfikat (wraz z kluczem prywatnym) dla nazwy
np. www.mbank.com.pl, lub
b) w jakis sposob spowodowac, by przegladarka wyswietlila inna strone
niz powinna, i miec dla niej certyfikat (ten latwo uzyskac).

Uzyskanie (a) nie jest trywialne, ale stopien trudnosci mozna oszacowac
ogladajac np. liste root CA wlasnej przegladarki.
Uzyskanie (b) jest dosc proste jesli uzytkownik wpisuje http://www...
zamiast https://.
--
Krzysztof Halasa