«Вы уверены, что наличие HSTS» — в Firefox да, уверен. В других браузерах не могу точно сказать.
«Очистить браузер» — а я и не говорил, что это легко =) Под очисткой подразумевалось много чего: банально зашёл с другого устройства, переустановил систему, браузер, очистил профиль и т. д.
Сейчас тоже самое — если https не работает, пользователь либо пытается зайти на http, либо пытается проигнорировать все предупреждения. Тут уже вопрос к самому пользователю. Это не значит, что защиту не нужно повышать.
Кроме того, никто не отменял HSTS — данный заголовок запрещает игнорировать предупреждения сертификата. Проблема лишь в том, что если пользователь до этого ни разу не заходил на этот сайт или очистил браузер, то и заголовка у него не будет.
Я уже объяснил этот момент: доверять в зависимости от количества доверенных CA.
Например, если они оба используют кросс-подпись Symnatec, и ни один из них не является доверенным, то суммарное количество CA будет равняться 1, поэтому нет, не доверять (браузер вообще не пустит пользователя на такой сайт).
Если же браузер решил, что оба центра Thawte и Geotrust являются самостоятельными и оба заслуживают доверия, то да, тогда доверять.
Также браузер может объединять CA в группы, например, и Thawte, и Geotrust могут являться самостоятельными CA, но браузер знает, что они построены на одной инфраструктуре, поэтому при их совмещении сертификаты будут считаться как за один — тогда снова не доверять.
«Сертификат — часть для организации защищенного канала связи» — как раз про это я и говорю. В данный момент любой центр сертификации может выпустить сертификат на Ваш домен без Вашего ведома. Что очень и очень обидно — Вы никак не можете контролировать этот процесс. Когда же браузеры начнут требовать как минимум два доверенных центра сертификации, то взлом только одного CA ничего не даст.
«Два — это понты» — как раз таки наоборот. Предполагается, что браузер не будет пускать на сайт, который не предоставит хотя бы два сертификата.
«Циферка рядом с замочком пользы особо не имеет» — абсолютно согласен с Вами. Циферка идёт лишь как бонус, поэтому про неё и сказано в самом конце.
«Польза — что их можно добавить для надежности» — это как раз одна из причин. Только не двух сертификатов, а трёх, т. к. сам браузер будет требовать два и один запасной — суммарно три сертификата от разных CA.
«Symnatec с высокой колокольни плевал на правила» — Вы правы, это как раз одна из причин — моя система позволит более безболезненно наказывать такие CA, т. к. сайты будут иметь больше сертификатов, чем нужно, поэтому внезапная отмена доверия не поломает кучу сайтов.
Конечно же, сайты будут иметь право получать больше сертификатов, чем требуется.
Даже более того — сайтам будет настоятельно рекомендоваться получать больше сертификатов, ведь в любой момент любой из CA может перестать быть доверенным в браузере. Чем больше сертификатов, тем выше надёжность, что сайт не отвалится в один из прекрасных дней.
Можно развить идею, и рядом со значком замка писать количество сертификатов. Это даёт дополнительную защиту: если на сайте банка всегда писало число 10, а потом вдруг стало 2, пользователь может почувствовать неладное.
Чтобы это число не колебалось, разработчик может искусственно занизить его, например, предоставить 5 доверенных сертификатов, но рядом с замком будет выводиться число 4. Тогда, если один из CA станет недоверенным, пользователь этого даже не заметит.
Думаю, вводить нужно потихоньку, для начала 2–3 точно хватит, всё-таки чем больше требование, тем больше геморроя владельцам сайтов. Раньше нужно было получать 1 сертификат, а теперь 5 – как Вы себе это представляете =)
Для начала хватит и двух сертификатов, но при этом для НЕдоверенных CA при использовании кросс-подписи определение количества должно быть по первому доверенному CA в цепочке.
Те сайты, которые до сих пор продолжают пользоваться только одним сертификатом — помечать как плохо-доверенные. Спустя года 4 перестать пускать на такие сайты вообще (ситуация, похожая с SHA1). Такой большой срок выбран, чтобы не отпугнуть разработчиков сложностями с сертификатами.
Также сертификаты на компанию (OV SSL-сертификаты) должны считаться доверенными только когда домен дополнительно подписан минимум четырьмя обычными сертификатами. Суммарно компании придётся сделать 5 сертификатов: 1 OV и 4 обычных.
Думаю, нужно отметить, что на картинке «А на самом деле это выглядит вот так» подразумевается, что количество виртуальных ядер равно количеству физических, и кроме памяти нет никаких других shared-ресурсов.
К примеру, если система репортит 90% при 2 потоках на ядро, то на самом деле это порядка 99% нагрузки (полезная + холостая). И это при том, что нет никаких других shared-ресурсов. А они есть (но правда их может частично компенсировать SMI, уменьшая отношение холостой к полезной работе). Как-то так. В общем как минимум всё сложнее, чем на картинке.
Почему ВКонтакте никогда не исправляет ошибки? И реально ли сообщить об ошибке так, чтобы это хоть кто-нибудь прочитал, и был хотя 0.00001% шанс исправления?
«Очистить браузер» — а я и не говорил, что это легко =) Под очисткой подразумевалось много чего: банально зашёл с другого устройства, переустановил систему, браузер, очистил профиль и т. д.
Кроме того, никто не отменял HSTS — данный заголовок запрещает игнорировать предупреждения сертификата. Проблема лишь в том, что если пользователь до этого ни разу не заходил на этот сайт или очистил браузер, то и заголовка у него не будет.
Например, если они оба используют кросс-подпись Symnatec, и ни один из них не является доверенным, то суммарное количество CA будет равняться 1, поэтому нет, не доверять (браузер вообще не пустит пользователя на такой сайт).
Если же браузер решил, что оба центра Thawte и Geotrust являются самостоятельными и оба заслуживают доверия, то да, тогда доверять.
Также браузер может объединять CA в группы, например, и Thawte, и Geotrust могут являться самостоятельными CA, но браузер знает, что они построены на одной инфраструктуре, поэтому при их совмещении сертификаты будут считаться как за один — тогда снова не доверять.
«Два — это понты» — как раз таки наоборот. Предполагается, что браузер не будет пускать на сайт, который не предоставит хотя бы два сертификата.
«Циферка рядом с замочком пользы особо не имеет» — абсолютно согласен с Вами. Циферка идёт лишь как бонус, поэтому про неё и сказано в самом конце.
«Польза — что их можно добавить для надежности» — это как раз одна из причин. Только не двух сертификатов, а трёх, т. к. сам браузер будет требовать два и один запасной — суммарно три сертификата от разных CA.
«Symnatec с высокой колокольни плевал на правила» — Вы правы, это как раз одна из причин — моя система позволит более безболезненно наказывать такие CA, т. к. сайты будут иметь больше сертификатов, чем нужно, поэтому внезапная отмена доверия не поломает кучу сайтов.
Даже более того — сайтам будет настоятельно рекомендоваться получать больше сертификатов, ведь в любой момент любой из CA может перестать быть доверенным в браузере. Чем больше сертификатов, тем выше надёжность, что сайт не отвалится в один из прекрасных дней.
Можно развить идею, и рядом со значком замка писать количество сертификатов. Это даёт дополнительную защиту: если на сайте банка всегда писало число 10, а потом вдруг стало 2, пользователь может почувствовать неладное.
Чтобы это число не колебалось, разработчик может искусственно занизить его, например, предоставить 5 доверенных сертификатов, но рядом с замком будет выводиться число 4. Тогда, если один из CA станет недоверенным, пользователь этого даже не заметит.
Для начала хватит и двух сертификатов, но при этом для НЕдоверенных CA при использовании кросс-подписи определение количества должно быть по первому доверенному CA в цепочке.
Те сайты, которые до сих пор продолжают пользоваться только одним сертификатом — помечать как плохо-доверенные. Спустя года 4 перестать пускать на такие сайты вообще (ситуация, похожая с SHA1). Такой большой срок выбран, чтобы не отпугнуть разработчиков сложностями с сертификатами.
Также сертификаты на компанию (OV SSL-сертификаты) должны считаться доверенными только когда домен дополнительно подписан минимум четырьмя обычными сертификатами. Суммарно компании придётся сделать 5 сертификатов: 1 OV и 4 обычных.
К примеру, если система репортит 90% при 2 потоках на ядро, то на самом деле это порядка 99% нагрузки (полезная + холостая). И это при том, что нет никаких других shared-ресурсов. А они есть (но правда их может частично компенсировать SMI, уменьшая отношение холостой к полезной работе). Как-то так. В общем как минимум всё сложнее, чем на картинке.