W pozycji inwigilującego już prościej byłoby wymusić (prawnie) aktywne podpisywanie swoich mitm certów przez urzędy certyfikacyjne (np niech wystawią do tego api) (chociaż nie wszystkie podlegają jurysdykcji eu to nadal byłoby łatwiejsze do wymuszenia). Temat bardzo ładnie opisany, chociaż akurat wątpię by powstało państwowe ca - każdy by sobie taki ca cert mógł wywalić jak zauważyłeś + takie MITM byłoby łatwo wykrywalne -> odrazu wiesz o inwigilacji. Chciałbym zauważyć że o ile ta kwestia jest nieco pokręcona ale wyobrażamy sobie jak mogliby to zrobić, to kompletnie nie wyobrażam sobie jak rozwiążą kwestie połączenia na warstwie trzeciej. User nadal łączy się do ip zwroconego przez dns a odpowiedź podpisana może być przez dnssec, by zrobić w tym miejscu atak mitm trzeba byłoby albo współpracować ze wszystkimi podmiotami telekomunikacyjnymi w kraju (by rejestrowały ruch klienta na życzenie), albo majstrować przy bgp (tu znowu atak byłby do wykrycia, choćby z wykorzystaniem mtr). Ten zestaw proponowanych regulacji to pokaz niekompetencji, rozwala je choćby rekord CAA, o którym wszyscy najwyraźniej zapomnieli. Cokolwiek nie wymyślą, na każdy dziwny inwigilacyjny pomysł wymyślimy rozwiązanie - toć też dlatego te regulacje nie mają sensu. Żadnej penalizacji nie będzie bo każdy soft może sobie własnego chaina i certy przynieść do użytkownika i z nich korzystać (np firefox), użytkownik nic na ten temat wiedzieć nie musi więc dlaczego miałby za cokolwiek odpowiadać. Btw, prawdopodobnie w przyszłości urzędy certyfikujące znikną jako takie i blockchain w jakiś sposób je zastąpi. Szacun że korzystasz z deep packet inspection i ng firewala w domu, ekscentrycznie! Z gorszych scenariuszy, przychodzi mi do głowy taki że państwowe ca mogłoby nie być wyświetlane na liście systemowej lub imitować inne ca, dostaniemy update (np do windowsa z microsoftu) i nikt się nawet nie zorientuje co weszło. Dlatego też tfu na windowsa, jabłko i inne mainstreamowe zamknięto źródłowe systemy, cholera wie czy już teraz coś tam w ukryciu nie siedzi, nie znam nikogo go reversował tlsa w locie do tego stopnia. Na linuxie jeszcze dałoby radę mieć pewność ale takia winda to czarna skrzynka.
Zadna forma publicznej wymiany informacji nie jest mozliwa bez "bocznych furtek" dla sluzb specjalnych. Kiedys smieli sie ze mnie ze przesadzam a okazuje sie, ze kazdy smartfon bez wyjatku moze stac sie mikrofonem z podsluchem ;) Brak wymiennych akumulatorów zapewnia ciagle zasilanie ukladów.
"mEJnstrim" nie jest zainteresowany swoją prywatnością, ani tym jak działają te ich telefoniki. Są kretyni, którzy powiedzą: "fajna inwigilacja, nie mam nic do ukrycia".
W pozycji inwigilującego już prościej byłoby wymusić (prawnie) aktywne podpisywanie swoich mitm certów przez urzędy certyfikacyjne (np niech wystawią do tego api) (chociaż nie wszystkie podlegają jurysdykcji eu to nadal byłoby łatwiejsze do wymuszenia). Temat bardzo ładnie opisany, chociaż akurat wątpię by powstało państwowe ca - każdy by sobie taki ca cert mógł wywalić jak zauważyłeś + takie MITM byłoby łatwo wykrywalne -> odrazu wiesz o inwigilacji. Chciałbym zauważyć że o ile ta kwestia jest nieco pokręcona ale wyobrażamy sobie jak mogliby to zrobić, to kompletnie nie wyobrażam sobie jak rozwiążą kwestie połączenia na warstwie trzeciej. User nadal łączy się do ip zwroconego przez dns a odpowiedź podpisana może być przez dnssec, by zrobić w tym miejscu atak mitm trzeba byłoby albo współpracować ze wszystkimi podmiotami telekomunikacyjnymi w kraju (by rejestrowały ruch klienta na życzenie), albo majstrować przy bgp (tu znowu atak byłby do wykrycia, choćby z wykorzystaniem mtr). Ten zestaw proponowanych regulacji to pokaz niekompetencji, rozwala je choćby rekord CAA, o którym wszyscy najwyraźniej zapomnieli.
Cokolwiek nie wymyślą, na każdy dziwny inwigilacyjny pomysł wymyślimy rozwiązanie - toć też dlatego te regulacje nie mają sensu.
Żadnej penalizacji nie będzie bo każdy soft może sobie własnego chaina i certy przynieść do użytkownika i z nich korzystać (np firefox), użytkownik nic na ten temat wiedzieć nie musi więc dlaczego miałby za cokolwiek odpowiadać.
Btw, prawdopodobnie w przyszłości urzędy certyfikujące znikną jako takie i blockchain w jakiś sposób je zastąpi.
Szacun że korzystasz z deep packet inspection i ng firewala w domu, ekscentrycznie!
Z gorszych scenariuszy, przychodzi mi do głowy taki że państwowe ca mogłoby nie być wyświetlane na liście systemowej lub imitować inne ca, dostaniemy update (np do windowsa z microsoftu) i nikt się nawet nie zorientuje co weszło. Dlatego też tfu na windowsa, jabłko i inne mainstreamowe zamknięto źródłowe systemy, cholera wie czy już teraz coś tam w ukryciu nie siedzi, nie znam nikogo go reversował tlsa w locie do tego stopnia. Na linuxie jeszcze dałoby radę mieć pewność ale takia winda to czarna skrzynka.
"Regulation" jest w prawie UE tłumaczone na polski jako "rozporządzenie".
Oczywiście ze dyskusji na ten temat w mainstream nie będzie… Naiwny ten, który uważa ze media nie są kontrolowane…
Zadna forma publicznej wymiany informacji nie jest mozliwa bez "bocznych furtek" dla sluzb specjalnych. Kiedys smieli sie ze mnie ze przesadzam a okazuje sie, ze kazdy smartfon bez wyjatku moze stac sie mikrofonem z podsluchem ;) Brak wymiennych akumulatorów zapewnia ciagle zasilanie ukladów.
"mEJnstrim" nie jest zainteresowany swoją prywatnością, ani tym jak działają te ich telefoniki. Są kretyni, którzy powiedzą: "fajna inwigilacja, nie mam nic do ukrycia".
35:50 to co "delete" :]
na taką masę certów w windowsie kto tam dojdzie któy to :(