アカウント名:
パスワード:
VPNの傍受というのは、どうやればできるのか何となく想像がつくが、HTTPSの方はどうやればいいんだ？
通信データを全部ログにとって、一連の通信で使われたSSL公開鍵を力技で見つけ出すとか？それとも認証局をハッキングすると何か得られるのか？？
サービスプロバイダと仲良くすればいいだけ。
各サービスプロバイダを懐柔する必要はなくてルートCAに裏で手を回して懐柔すれば正規のルートCAお墨付きの偽造SSL証明書が手に入るので中間者攻撃し放題。
政府がやる仕事なんだからサービスプロバイダ1つ1つに圧力かけて情報提供させるよりもルートCAを1つ落とすほうが楽だと思うよ。
攻撃するなんて面倒じゃない? firehoseでじゃぶじゃぶと。つまり、調査対象によって適材適所でみんなと仲良くしてたんだろうなー。
もしかしてオレオレ証明書の方がまだ傍受されにくいとかー。
逆に言うと、ベリサインの職員なら何でもできるな。
そのうち巨額詐欺事件を起こす奴が出てくるだろう。
SSHみたいに過去の証明書と違う証明書に変わったことを通知する仕組みがやっぱり必要だね。
Firefoxならそれを確認できるアドオンがあるのでどうぞhttps://addons.mozilla.org/en-US/firefox/addon/certificate-patrol/ [mozilla.org]
もしくはHTTPS EverywhereにもSSL Observatoryという似たような仕組みがありますので利用されてみては？https://www.eff.org/observatory [eff.org]
使ってみるね。Observatoryっていうのは、証明書の情報をユーザが提供しあって共有しておいて、初めて訪れるサイトでも、証明書が変わったとか、他の人と違う証明書なのがわかるっていうことなのかな？
>通信データを全部ログにとって、一連の通信で使われたSSL公開鍵を力技で見つけ出すとか？
秘密鍵じゃない？
>それとも認証局をハッキングすると何か得られるのか？？
秘密鍵は認証局も持っていないので、WEBサーバの方かな。POODLEやらheart bleedやらの脆弱性をついて攻撃するか、もしくは裁判所命令で秘密鍵を提出させる、かなぁ。
>裁判所命令で秘密鍵を提出させる
これって裁判所は正しく判断できるんかねぇ。秘密鍵を渡すということはすべてを提出するに等しいと思うけど。犯罪の可能性があるからこの部分の情報を提出させたい、ってことで、実際にその部分の情報を提出させるのか、その情報を取り出すための秘密鍵を提出させるのか。当局「この情報を取り出すためには秘密鍵が必要なんすよ〜」裁判所「出せ」なんて判断にはならないといいけど。
どうでもいいけど、鍵提出した後に新しい鍵に更新するっていうのは違法なのかな？ｗ
詳しく経緯とか知らないけど、似たような話どっかで見たと思って調べたらあった。http://www.geekpage.jp/blog/?id=2013/10/18/1 [geekpage.jp]EメールサービスやってたLadar Levison氏が裁判所に秘密鍵出せって言われて紙で出したって奴。
2012年だとまだまだ脆弱なプロトコル、暗号、鍵交換が沢山使われていた頃だと思う。Perfect Forward Security なんて言葉、この頃使ってなかっただろ?
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常
わからん (スコア:0)
VPNの傍受というのは、どうやればできるのか何となく想像がつくが、HTTPSの方はどうやればいいんだ？
通信データを全部ログにとって、一連の通信で使われたSSL公開鍵を力技で見つけ出すとか？
それとも認証局をハッキングすると何か得られるのか？？
Re:わからん (スコア:1)
サービスプロバイダと仲良くすればいいだけ。
Re: (スコア:0)
各サービスプロバイダを懐柔する必要はなくて
ルートCAに裏で手を回して懐柔すれば
正規のルートCAお墨付きの偽造SSL証明書が手に入るので中間者攻撃し放題。
政府がやる仕事なんだから
サービスプロバイダ1つ1つに圧力かけて情報提供させるよりも
ルートCAを1つ落とすほうが楽だと思うよ。
Re:わからん (スコア:1)
攻撃するなんて面倒じゃない? firehoseでじゃぶじゃぶと。
つまり、調査対象によって適材適所でみんなと仲良くしてたんだろうなー。
Re: (スコア:0)
もしかしてオレオレ証明書の方がまだ傍受されにくいとかー。
Re: (スコア:0)
逆に言うと、ベリサインの職員なら何でもできるな。
そのうち巨額詐欺事件を起こす奴が出てくるだろう。
Re: (スコア:0)
SSHみたいに過去の証明書と違う証明書に変わったことを通知する仕組みがやっぱり必要だね。
Re: (スコア:0)
Firefoxならそれを確認できるアドオンがあるのでどうぞ
https://addons.mozilla.org/en-US/firefox/addon/certificate-patrol/ [mozilla.org]
もしくはHTTPS EverywhereにもSSL Observatoryという似たような仕組みがありますので利用されてみては？
https://www.eff.org/observatory [eff.org]
Re: (スコア:0)
使ってみるね。Observatoryっていうのは、証明書の情報をユーザが提供しあって共有しておいて、初めて訪れるサイトでも、証明書が変わったとか、他の人と違う証明書なのがわかるっていうことなのかな？
Re: (スコア:0)
>通信データを全部ログにとって、一連の通信で使われたSSL公開鍵を力技で見つけ出すとか？
秘密鍵じゃない？
>それとも認証局をハッキングすると何か得られるのか？？
秘密鍵は認証局も持っていないので、WEBサーバの方かな。
POODLEやらheart bleedやらの脆弱性をついて攻撃するか、
もしくは裁判所命令で秘密鍵を提出させる、かなぁ。
Re: (スコア:0)
>裁判所命令で秘密鍵を提出させる
これって裁判所は正しく判断できるんかねぇ。
秘密鍵を渡すということはすべてを提出するに等しいと思うけど。
犯罪の可能性があるからこの部分の情報を提出させたい、ってことで、
実際にその部分の情報を提出させるのか、その情報を取り出すための秘密鍵を提出させるのか。
当局「この情報を取り出すためには秘密鍵が必要なんすよ〜」
裁判所「出せ」
なんて判断にはならないといいけど。
どうでもいいけど、鍵提出した後に新しい鍵に更新するっていうのは違法なのかな？ｗ
Re: (スコア:0)
詳しく経緯とか知らないけど、似たような話どっかで見たと思って調べたらあった。
http://www.geekpage.jp/blog/?id=2013/10/18/1 [geekpage.jp]
EメールサービスやってたLadar Levison氏が裁判所に秘密鍵出せって言われて紙で出したって奴。
Re: (スコア:0)
2012年だとまだまだ脆弱なプロトコル、暗号、鍵交換が沢山使われていた頃だと思う。
Perfect Forward Security なんて言葉、この頃使ってなかっただろ?