Кузница SSL руководящие принципы для большей безопасности

Новости, которые недавно были опубликованы в Интернете и опубликованы на многих веб-сайтах до сих пор является новость о подделке большого числа SSL сертификаты авторитетных сайтов хакерской группы, которые могут поставить под угрозу безопасность тысяч людей.

Учитывая размеры дела, эксперты, которые имеют больше знаний по этому вопросу даст экспертное руководство в этом отношении, однако, я также напишу историю только в надежде, что эта информация, каким бы ограниченным, может быть полезным, пожалуйста, если вы найдете это письмо или часть его полезным, опубликовать его своим друзьям, а также.

Інтернет-мошенничество

Як заявляет правительство Нидерландов; группа хакеров(Скорее всего, правительство Ирана) с помощью проникновения в одну голландскую компанию; выдало большое количество SSL-сертификатов и в течение некоторого времени использовало особый метод для получения информации от людей в Иране, о котором я объясню подробнее ниже

Компания, подвергшаяся проникновению, является одной из десятков компаний, которые занимаются выдачей SSL-сертификатов. к организациям, которые имеют право выдавать SSL-сертификаты, часто называют «авторитетные сертификационные центры» или сокращенно «CA» SSL-сертификаты, выданные этими организациями, имеют только одно свойство: они признаются браузерами, такими как Firefox, Safari, Opera, Internet Explorer, Chrome и. в противном случае, если вы попадете на страницу по SSL-адресу, на которой установлена SSL-сертификация другого домена или SSL-сертификат «предыдущего сертификата», или вообще нет SSL-сертификата на этом домене, ваш браузер отобразит ошибку, и это означает, что мы не можем подтвердить безопасность соединения по этому адресу… Два примера ошибок SSL на Chrome и Firefox. Ошибка SSL на Firefox

Ошибка SSL на Chrome

Что такое SSL и каково его применение

В тех случаях, когда эти данные не имеют значения, например, когда вы читаете новости сайта или вставляете общий комментарий; раскрытие этих данных не может иметь серьезных последствий, но давайте предположим, что вы хотите купить товар по кредитной карте или проверить свой банковский счет в Интернете; в таких случаях раскрытие данных кредитной карты или банковского счета или личной информации может создать проблемы и это именно тот случай, для которого SSL был разработан для более безопасных соединений примерно два десятилетия назад

Когда вы заходите на сайт по адресу 80 или по адресу «HTTP», если хакер сумеет проникнуть между вашим компьютером и сервером сайта или даже между вашим интернет-провайдером, они могут получить доступ к обмену данными, но если вы заходите на сайт по адресу HTTPS, соединение между вашим компьютером и сервером сайта будет зашифровано, и этот шифр практически не поддается взлому, а любые данные, передаваемые между ними, будут доступны только на сервере сайта или на вашем компьютере, то есть, если ваш интернет-провайдер или даже правительство хотят проверить ваши соединения, они не смогут получить доступ к этим данным, пока не получат доступ к вашему компьютеру или серверу сайта. Чтобы установить безопасное соединение с сайтом, вместо «HTTP» в начале адреса сайта должно быть «HTTPS»

Этот символ «S» в начале адреса сокращение слова «Secure», что означает «безопасный», и данные, передаваемые по этому адресу, будут зашифрованы

Как войти на веб-сайт с помощью SSL

Для безопасной связи с веб-сайтом вместо «HTTP» в начале адреса веб-сайта следует писать «HTTPS». Этот знак «С» в начале адреса сокращение слова «СЕКУР» означает «БЕЗОПАСНЫЙ» и информация, передаваемая через этот канал, будет зашифрована. Чтобы домен Интернета мог иметь адресу с SSL, ему необходимо купить у компании «СИ» (такой же компании, как нидерландская, которая подверглась нападению) сертификат SSL и установить его на сервер сайте

Если вы покупаете через Интернет с кредитной карты, обязательно нужно ввести информацию о кредитной карте на странице SSL; лучший способ покупок в Интернете — использовать «Пейпал», принадлежащий компании «Эй Би», который автоматически передает информацию безопасно

HTTPS://www.paypal.com/

Использование Пейпала полностью бесплатно и, кроме того, страхует ваши покупки, но если Пейпал не доступен, вы должны ввести чувствительную информацию только на странице SSL

Кроме того, передача денег, а также передача информации имеет одинаковую и даже большую важность. Например, когда вы хотите войти на сайт, который требует пароля, лучше ввести логин и пароль на странице SSL. Многие сайты автоматически делают свои страницы безопасными (Как, например, PayPal, ссылка на который у меня есть) На некоторых сайтах доступ к обоим страницам SSL и обычным доступен, и это зависит от настроек, установленных администраторами сайта. Помните, что наличие сертификата SSL не означает безопасную передачу информации, и если вы вошли на сайт, имеющий адрес SSL, но не использовали безопасный адрес, сайт не отличается от других сайтов. В некоторых случаях сайт, доступный как по SSL, так и по обычному адресу, позволяет вам активировать опцию SSL или SSL на постоянной основе в браузере

Как купить сертификат SSL

Это компании, которые продают сертификаты SSL владельцам сайтов. Эти компании получают информацию от покупателя, чтобы знать, что сертификат будет выдан для действительного сайта

Некоторые сертификаты, выданные некоторыми, более надежны и выдаются только для компаний, и эти сертификаты называются «Эй Ви» имеют только одно отличие: в них также подтверждается регистрация компании, и при входе на сайт адреса браузера также становится зеленым. Некоторые сертификаты не имеют никакой ценности и любой владелец сайта, имеющий доступ к настройкам сервера, может выдать сертификат, называемый «Self-Signed», и этот сертификат (имеет недостаток в том, что не распознается браузерами и при входе )отображается сообщение об ошибке, но все типы сертификатов одинаковы по функциональности

Если у вас есть сайт и вы хотите использовать адрес SSL только для безопасности при подключении к серверу, вы можете сказать браузеру, чтобы он исключил страницу SSL и при повторном входе на сайт после сообщения об ошибке и нажатия кнопки «Продолжить» сообщение об ошибке не будет отображаться. Однако этот тип сертификата не подходит для сайтов общего доступа. С точки зрения функциональности все SSL-сертификаты одинаковы и не имеют различий, поэтому единственная обязанность компаний, выдающих сертификаты, — подтвердить действительность покупателя.

В прошлом только надежные компании могли иметь SSL-сертификаты на своем сайте, но с течением времени, как и любая другая технология, использование SSL- сертификатов стало более распространенным, так что теперь любой владелец сайта может при необходимости купить и установить SSL-сертификат. Если у вас есть сайт и вы используете общий хостинг, вы можете обратиться к вашему провайдеру хостинга и попросить его купить и установить SSL-сертификат для вас. Кроме того, для каждого домена или субдомена, на котором установлена SSL-сертификат, вам нужно получить отдельный IP-адрес. Если вы управляете своим сервером, у вас есть больше вариантов выбора, и вы можете напрямую обратиться к выдачи SSL-сертификата и попросить их выдать вам SSL-сертификат

Недавний случай злоупотребления

Каждому пользователю, который хочет подключиться к интернету из Ирана, приходится использовать государственные интернет-услуги. Это означает, что исламский режим имеет доступ ко всем переданным данным с обычных страниц, но с помощью сервисов, таких как «Джеймейл», фактически было возможно, чтобы пользователи могли передавать свои данные и исламский режим не мог проверить и контролировать эти данные, и поэтому исламский режим faced с этой ситуацией три пути

Первый путь - это то, что, как и все свободные страны мира, уважают личные права своих граждан и не ведут слежку за их частной жизнью. что, конечно, не соответствует сути исламского режима

Второй путь - это отключение доступа к сервисам, таким как Google, которые, как кажется, сочли это неуместным в текущей ситуации и с учетом негативного воздействия рекламы на них и отказались от этого

Остается третий путь, который является обманом и обманом и полностью соответствует сути исламского режима. Для этого они проникли в одну из компаний, выдающих SSL-сертификаты, и сначала создали несколько поддельных SSL-сертификатов, исключительно с целью того, чтобы браузеры пользователей в Иране не показывали ошибку при встрече с этими сертификатами и признали их как действительные, а затем с помощью одной из технологий, называемой «Майтм» или человеком в середине, вместо того, чтобы расшифровывать зашифрованные данные, что фактически невозможно, они заменили данные пользователя на свои собственные то есть фактически пользователь с поддельным SSL-сертификатом подключился к серверу исламского режима и вместо того, чтобы зашифровать данные на сайте, он зашифровывал их на сервере исламского режима, а поскольку поддельный сертификат был выдан компанией, которая находится в списке разрешенных браузерами, браузер не показывал ошибку, а сервер исламского режима, как обычный пользователь, шифровал и расшифровывал данные одновременно с сервером, который был целью пользователя, и только скорость передачи данных была снижена. Конечно, этот метод не работал для всех сайтов, которые используют протокол SSL, и только несколько сайтов были подвержены этому. Список сайтов, для которых выданы SSL-сертификаты, и количество поддельных SSL-сертификатов

CN=*.*.com От здесь Вы можете увидеть

CN=*.*.org 1

CN=*.10million.org 1

CN=*.JanamFadayeRahbar.com 2

CN=*.RamzShekaneBozorg.com 1

CN=*.RamzShekaneBozorg.com 1

CN=*.SahebeDonyayeDigital.com 1

CN=*.android.com 1

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.comodo.com 3

CN=*.digicert.com 2

CN=*.globalsign.com 7

CN=*.google.com 26

CN=*.logmein.com 1

CN=*.microsoft.com 3

CN=*.mossad.gov.il 2

CN=*.mozilla.org 1

CN=*.skype.com 22

CN=*.startssl.com 1

CN=*.thawte.com 6

CN=*.torproject.org 14

CN=*.walla.co.il 2

CN=*.windowsupdate.com 3

CN=*.wordpress.com 14

CN=Comodo Root CA 20

CN=CyberTrust Root CA 20

CN=DigiCert Root CA 21

CN=Equifax Root CA 40

CN=Глобальный корневой сертификат GlobalSign 20

CN=Корневой сертификат Thawte 45

CN=Корневой сертификат VeriSign 21

CN=addons.mozilla.org 17

CN=azadegi.com 16

CN=friends.walla.co.il 8

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=twitter.com 19

CN=wordpress.com 12

CN=www.10million.org 8

CN=www.Equifax.com 1

CN=www.balatarin.com 16

CN=www.cia.gov 25

CN=www.cybertrust.com 1

CN=www.facebook.com 14

CN=www.globalsign.com 1

CN=www.google.com 12

CN=www.hamdami.com 1

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

CN=www.update.microsoft.com 4

Чек с пустой подписью

Два первых сертификата, которые они сами выдали, на самом деле являются чеком с пустой подписью

CN=*.*.org 1

CN=*.10million.org 1

в действительности для любого домена «кам» или «арги» с этими двумя сертификатами можно было бы получить доступ. конечно, риск использования этих двух сертификатов высок, и при проверке, ошибка становится очевидной. возможно, эти два сертификата были выданы только для уверенности, поскольку в противном случае не было бы необходимости выдавать множество сертификатов

серверы Соловьевых

из среди фальсифицированных сертификатов эти несколько, вероятно, были сделаны для скачивания модифицированных программами пользователей Ирана и обновления старых программ пользователей Ирана

CN=*.android.com 1

CN=*.microsoft.com 3

CN=www.update.microsoft.com 4

CN=*.mozilla.org 1

CN=addons.mozilla.org 17

если вы внутри Ирана используете услуги компании Майкрософт, например, Windows Vista, Sun или Internet Explorer, и не отключили автоматическое обновление; также если вы используете операционную систему Android Google и браузеры Firefox и Chrome; вы должны знать, что в течение последних нескольких месяцев вместо компании Майкрософт, государственные серверы Ирана занимались обновлением программ на вашем компьютере, и, конечно, неизвестно, что именно они обновили, но, возможно, это было только настройка сертификата SSL или установка программы слежения; к сожалению, это пока неизвестно, но они даже проверили раздел плагинов и расширений

На линии провинции

Эти несколько сертификатов принадлежат сервисам ведения блогов, социальным сетям или почтовым сервисам, которые, вероятно, сохраняли всю информацию об иранских пользователях, включая пароли и личные сообщения

CN=www.facebook.com 14

CN=www.google.com 12

CN=wordpress.com 12

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.logmein.com 1

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=www.cybertrust.com 1

CN=www.Equifax.com 1

CN=*.skype.com 22

Gmail, Yahoo и AOL — компании, предоставляющие услуги электронной почты, и, следовательно, лучше не передавать через эти сервисы важную информацию

Facebook, Twitter, Dnevnik и Svobodnaya, сайты для обмена ссылками и социальные сети. сертификат сайта WordPress также был фальсифицирован, и, возможно, информация пользователей была украдена; хотя это не имеет отношения к системе управления содержимым WordPress или сайтам, которые используют программу WordPress. Они подделали несколько сертификатов для интернет-чат-сервиса, прокси и онлайн-сервиса хранения файлов

Честные SSL

некоторым сертификатам также были выданы для компаний, выдающих сертификаты SSL, вероятно, они хотели получить доступ к некоторым сертификатам SSL или получить информацию о них

CN=Comodo Root CA 20

CN=CyberTrust Root CA 20

CN=DigiCert Root CA 21

CN=Equifax Root CA 40

CN=Глобальный корневой сертификат GlobalSign 20

CN=Корневой сертификат Thawte 45

CN=Корневой сертификат VeriSign 21

кто должен быть обеспокоен в настоящее время?

если вы просто обычный пользователь одного из сайтов выше и время от времени также занимаетесь вредительством; нет повода для беспокойства. поскольку сейчас почти все иранцы делают это, и, хотя бы предположим, что они хранят информацию о пользователях Ирана, нет способа различать и извлекать информацию о нескольких миллионах пользователей. пугать обычных людей — это основная цель этого дезинформационного нападения

кто должен быть обеспокоен в настоящее время?

1. Если вы активист культуры или политики и вы думаете, что ваша связь может быть под контролем; к сожалению, с возникшей ситуацией есть хороший повод для беспокойства
2. Если вы отправили информацию в министерство иностранных дел Израиля или на сайты, такие как десять миллионов дот эрг, лучше всего будет найти для себя новый адрес. Относительно отправки чека в размере десяти миллионов долларов израильтянами по старому адресу вы не должны беспокоиться, поскольку точно так же вероятно, что правитель Израиля даст вам десять миллионов долларов, как и Исламская республика может инвестировать в ваше дело и получить прибыль!
3. Если вы шпион и отсылаете информацию из внутри Ирана в любой из этих форм, вы тоже нуждаетесь в скором выходе! Кроме того, вы должны найти работу, в которой вы сможете проявить свою способность, поскольку никто здравомыслящий человек не будет отсылать информацию из Ирана на эти сайты

HTTPS://www.cia.gov/cgi-bin/comment_form.cgi

HTTPS://www.mossad.gov.il//persian/ContactUs.aspx

HTTPS://www.sis.gov.uk/form/

CN=*.mossad.gov.il 2

CN=www.cia.gov 25

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

Как быть?

К сожалению, нет надежного решения, ни сейчас, ни в будущем. Технологии, такие как «Эс Эс Эл», созданы только для того, чтобы предотвратить атаки хакеров при оплате или предотвратить раскрытие личной информации, и, вероятно, создатели не предполагали, что правитель другой страны сможет получить контроль над всеми инфраструктурами и интернетом и похитить информацию десятков миллионов своих граждан

Наши предки в эпоху конституционной революции имели только один телеграфный канал, который часто отключался и при подключении не давал возможность прочитать все сообщения; они использовали шифрованные сообщения в Тегеране, Реште и Тебризе, чтобы организовать политическую революцию. В предреволюционной эпохе условия не сильно изменились, и эти революционеры, независимо от левых, исламистов и муджахидов, время от времени изобретали удивительные методы связи и в некоторых случаях платили высокие суммы за простое сообщение. Однако если вы политический активист и ожидаете, что вы сможете связаться с политической организацией или организацией по защите прав человека так же, как вы отправляете сообщение своей тети, вы должны учитывать основные проблемы, вызванные вашей чрезмерной оптимизмом и желанием. В любой эпохе истории человека такого количества возможностей для связи не было, как сейчас, даже если вы учитываете только то, что вы подключены к интернету (С учетом любого количества ограничений, которые могут быть применены) Это означает, что у вас есть доступ к целому миру знаний и возможностей

В дальнейшем я постараюсь написать несколько кратких рекомендаций, и если читатели этого текста хотят добавить что-то или исправить мою информацию, они могут сделать это в разделе комментариев

Используйте серверы зеркального отражения для скачивания файлов. Как вы уже поняли, были подделаны сертификаты для Google, Firefox и Microsoft. Следовательно, если вы находитесь в Иране, лучше не скачивать никакие программы с этих серверов и не обновлять никакие программы с помощью этих серверов. Если вы действительно нуждаетесь в использовании продуктов этих компаний, вы можете поискать альтернативные сервера; возможно, сотни и тысячи других веб-сайтов на интернете имеют безопасные адреса и хранят эти программы на своих серверах, например, вы можете скачать последнюю версию Firefox с множества веб-сайтов, кроме сайта Firefox.

Для чувствительных операций используйте операционные системы, отличные от Windows.. К сожалению, часто забывается тот факт, что в Иране используются крэкированные программы.. Среди операционных систем, которые установлена на большинстве персональных компьютеров в Иране, есть Windows, которая в большинстве случаев не покупается у компании-разработчика.. Помните, что эти программы крэкируются в Иране, и исламский режим имеет хорошие возможности для манипулирования и распространения их.. Нам пока неизвестно, были ли недавние атаки только для предотвращения обновления браузера Internet Explorer для поддельных сертификатов или они также пытались установить программы на вашу систему. . Если вы действительно нуждаетесь в использовании Windows, вы можете скачать версию через сервер, не являющийся иранским и не являющийся Microsoft.(даже если это не будет Microsoft) После установки рекомендую вам отключить автоматическое обновление и установить антивирус и файрвол других компаний.. Список некоторых бесплатных программ файрвола и антивирусов.. В отношении операционной системы существует более эффективный способ - использование операционных систем, отличных от Windows. Здесь Доступны

Помните, что вы можете установить до 28 операционных систем на одном ПК и использовать другую операционную систему для более безопасных задач, а Windows для повседневной работы.. Системы на основе Linux, помимо того, что они бесплатны, имеют и более высокую безопасность.. Один из этих хороших программ - это Linux, который бесплатен, не требует крэка и может быть использован в режиме LiveCD.. Есть и другие бесплатные операционные системы, которые не требуют установки и могут быть запущены с CD или флеш-накопителя. Убунту ОС Использование LiveCD имеет преимущество в том, что ничего не будет записано в историю вашего компьютера.. Используйте методы, веб-сайты и программы, которые не используются всеми. Здесь представлены как не требующие установки, и могут быть запущены с одного CD и/или «флеш-памяти». використання програми цього типу має перевагу в тому, що нічого не зберігається в історії комп'ютера

используйте методы, веб-сайты и программы, которые не используются всеми. Как вы знаете, сервис Gmail, вероятно, является лучшим поставщиком бесплатных и общедоступных почтовых услуг. Один из главных недостатков этого системы в том, что большинство людей используют его, и поэтому первыми, кто попробует подделать его сертификаты, были. Однако десятки сайтов и бесплатных почтовых сервисов с безопасными адресами и аналогичными возможностями есть, которые большинство людей не знают о них. Список этих сайтов можно найти Здесь Или Здесь См.. Например, этот сайт «FastMail.fm» который не использует популярные домены, такие как .com или .org, но доступен через SSL-адреса в стране; возможно, это не самый плохой выбор или аналогичные сервисы, которые вы сможете найти, просматривая Google, например. Это, конечно, не означает, что вы не должны использовать Gmail, но лучше иметь в виду другие варианты, кроме личных и повседневных дел. Аналогично, лучшие веб-браузеры Firefox и Chrome тоже не лучшие, поскольку их сертификаты часто подделываются, но в списке подделанных сертификатов нет компании Apple, поэтому браузер Safari Apple может быть неплохим выбором . Говорят, что Safari был последним браузером, который отменил поддельные сертификаты, а Chrome был первым, который их распознал. Хотя позднее распознавание лучше, чем никогда не распознавать! Оперный браузер Есть еще один браузер, который вы, возможно, не знаете. Netscape принадлежит компании AOL, но, к сожалению, ее название также находится в списке сайтов с поддельными сертификатами

Это еще несколько адресов других браузеров, которые, возможно, вы не знали. Некоторые из этих браузеров имеют очень хорошие программы

http://kmeleon.sourceforge.net/

http://www.avantbrowser.com/

http://www.konqueror.org/features/browser.php

http://www.dillo.org/download.html

Если вы владелец сайта или владелец личного веб-сайта, то лучше обновляйте с сервера из-за границы. Факт, что фальсификаторы SSL-сертификатов сайтов WordPress показывают, что фальсификаторы очень заинтересованы в информации блогеров-иранцев, и это, конечно, также относится к личным сайтам

Сайты, которые отображают содержимое с помощью динамических и динамичных страниц; или используют систему личного управления содержимым; или, в большинстве случаев, используют системы, разработанные другими программистами . Многие дизайнеры сайтов малого размера или обычные пользователи используют систему управления содержимым WordPress из-за безопасности и возможностей( что не имеет отношения к сайту блогов WordPress). دو «سی ام اس» یا برنامه مدیریت محتوای مبتنی بر«پی اچ پی» دیگر، جوملا و دروپال می باشند وهر سه این سیستمها خوشبختانه برای کاربران فارسی زبان به فارسی ترجمه شده اند

Без того, чтобы обвинить тех, кто беззаботно работает и бесплатно переводит эти системы для иранских пользователей; к сожалению, существует потенциальная возможность использования этих систем на сайте персидского языка для публикации измененных файлов. Если вы пользователь одной из этих систем, вы легко можете просто взять несколько килобайтов файла переведенного файла из последней версии системы на сайте WordPress персидского языка или Joomla персидского языка и Drupal, и просто перенести несколько килобайтов файла переведенного файла на свой сайт. В следующем этапе с помощью добавления одной строки команды в файл конфигурации, панель управления сайта будет персидским языком; без того, чтобы нужно было взять все файлы с иранского сервера. Для обновления этих систем, когда появляется новая версия, используйте сервера основных систем. В виду того, что большинство провайдеров хостинга сайтов находятся за границей, и их интернет-соединение находится под контролем; поэтому, если системы обновляются с помощью серверов основных систем WordPress или Joomla и Drupal, то не будет никаких проблем