Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Mozilla, Cloudflare, Fastly и Apple работают над применением..., opennews (?), 16-Июл-18, (0) [смотреть все] мурзила, огрызок и прочие гиганты индус-трии ниасилили замахнуться переделать у, пох (?), 22:14 , 16-Июл-18, (1) –36 // Жаров, перелогиньтесь Мы-то знаем, что шифрование SNI - как серпом по яйцам дл, AnonPlus (?), 22:23 , 16-Июл-18, (4) +31 // серпом по яйцам им было бы выкидывание этого урода в помойку заодно с trusted , пох (?), 22:33 , 16-Июл-18, (6) +5 // Согласен полностью Коллега, а что нам собственно стоит взять какой-нибудь хроми, Аноним (8), 23:03 , 16-Июл-18, (8) МОдер, удали эту ересь выше , Sw00p aka Jerom (?), 23:30 , 16-Июл-18, (23) +2 почему ересь Туннели через обратный ssh известны со времен царя гороха Другое , Аноним (-), 14:38 , 17-Июл-18, (86) +1 Конечно невозможно Пофигу, как легко написать - важно, как легко внедрить А на, Crazy Alex (ok), 00:14 , 17-Июл-18, (26) +2 Последние лет 10 так в вебе и делают Поэтому и имеем гигантскую пирамиду из к, Аноним (28), 00:20 , 17-Июл-18, (28) +4 Естественно так и делают Потому что по-другому не взлетит вообще, Crazy Alex (ok), 01:17 , 17-Июл-18, (32) +2 Внедрить легко, если не вместо, а рядом HTTPS много лет был не вместо HTTP и то, Аноним (8), 00:33 , 17-Июл-18, (30) Вот потому и пролез в конце концов, что много лет рядом был и наросла критическ, Crazy Alex (ok), 01:23 , 17-Июл-18, (33) Помимо серверной стороны предстоит решить вопрос с контекстами выполнения JS, по, Аноним (8), 01:52 , 17-Июл-18, (35) Избыточен твой контроль целостности и аутентификация, когда и так есть https Бу, Аноним (37), 02:40 , 17-Июл-18, (37) –2 HTTPS свою задачу не выполняет, пока используются CDN, терминирующие TLS Cloudf, Аноним (8), 04:37 , 17-Июл-18, (40) +2 И какое ты решение предлагаешь По типу SSH Как себе представляешь Откуда ты в, Аноним (37), 07:17 , 17-Июл-18, (46) Согласование фаз между зашифрованным DNS и HTTP HTTPS DNS и BGP должны быть вклю, Аноним (56), 09:24 , 17-Июл-18, (56) откуда ты берешь ключи ssh Лично бегаешь по всем хостам, или все же предполагае, нах (?), 11:04 , 17-Июл-18, (69) –1 из блокчейна emercoin это умеет, Aknor (?), 09:23 , 21-Июл-18, (176) уже есть https en wikipedia org wiki Subresource_Integrity, Нанобот (ok), 09:27 , 17-Июл-18, (58) то есть гугл, один штука да, отказ от возврата в результатах поиска неправильн, нах (?), 10:31 , 17-Июл-18, (63) он не платит ничего платят только лохи он угрожает дать по башке, отобрать ден, Товарищ Подполковник (?), 11:37 , 20-Июл-18, (169) HTTPS был рядом потому, что использовать SSL было дорого йа бы сказал супер-пуп, Анотоним (?), 08:37 , 17-Июл-18, (52) AES-NI FPGA pcie-card, Аноним (56), 09:26 , 17-Июл-18, (57) ты сам то понял что сказал , Анотоним (?), 21:16 , 17-Июл-18, (121) мой сертификат startssl ныне покойного стоил мне 0 extended validation thawt, нах (?), 10:43 , 17-Июл-18, (66) зачем уютному персональному бложику или лавочке по продаже second-hand кондомов , Анотоним (?), 21:52 , 17-Июл-18, (123) в стране, где сажают за лайк, вы серьезно спрашиваете у тебя какие-то другие ден, нах (?), 11:17 , 18-Июл-18, (130) –1 и как SSL на это повлияет следователь не увидит лайка ему будет показываться к, Анотоним (?), 20:13 , 18-Июл-18, (149) увидит, но не сможет просто так выяснить кто его поставил,когда нет возможности , нах (?), 11:34 , 19-Июл-18, (162) Проблема в том, что без trusted authorities невозможно защищенно связаться с н, Аноним (74), 11:59 , 17-Июл-18, (74) +4 возможно невозможно убедиться что он тот, за кого себя выдает - но чаще всего э, нах (?), 13:24 , 17-Июл-18, (77) В случае банка, биржи и любого другого финансового учреждения важно как раз имен, Аноним (74), 14:57 , 17-Июл-18, (88) +3 а делают они это вот этими самыми руками https mobile twitter com levelsio sta, пох (?), 22:24 , 16-Июл-18, (5) +1 Ой какой же ты дуpак, ну дуpаааак Забаньте уже всех этих пoxов , наxoв , и , Николай Панкратов (?), 11:37 , 17-Июл-18, (73) +11 Наконец-то Тогда и DNS и SNI будут шифрованны, шикарно , Аноним (37), 22:20 , 16-Июл-18, (3) // dnscrypt, не , Аноним (-), 12:15 , 19-Июл-18, (164) мазила до сих пор резолвер TTR Trusted Recursive Resolver , предоставляющего во, Аноним (7), 22:40 , 16-Июл-18, (7) // Зато клаудфлара смогла , dimqua (ok), 23:10 , 16-Июл-18, (12) В 61 уже нормально работает DoH В 60 крашил браузер Сейчас мне не хватает толь, Аноним (37), 23:55 , 16-Июл-18, (25) +5 // Как удалось завести У меня и в 61 0 не работал - , dimqua (ok), 15:13 , 17-Июл-18, (90) // Просто 3 префа https gist github com bagder 5e29101079e9ac78920ba2fc718aceecne, Аноним (152), 22:55 , 18-Июл-18, (152) А с гугловским сервером работает У меня теперь тоже заработало, но только с moz, dimqua (ok), 02:34 , 19-Июл-18, (157) боже это слишком сложно один маленький управляемый сбой -- и всё это откаты, Xasd (ok), 23:04 , 16-Июл-18, (9) –1   // Это не 171 всего-навсего просто 187 , лол И по твоей логике ничего не надо д, Аноним (37), 23:18 , 16-Июл-18, (16) +9   // Да, в теории многое можно, но на практике не всегда все это реализуется , dimqua (ok), 23:22 , 16-Июл-18, (19)   не смогут убрать потому что кроме www-браузера если и обычные библиотеки делающе, Xasd (ok), 23:27 , 16-Июл-18, (20) +2   // И почему верится с трудом Вот был 2004 год, и всё кроме браузера, да и даже сам, Аноним (37), 23:40 , 16-Июл-18, (24) +2   Уж из браузеров убрать - запросто, хоть и поэтапно, Crazy Alex (ok), 00:20 , 17-Июл-18, (29)   целых две, не считая форков Ну так одну вон уже эммм антимат отрефактор, нах (?), 10:54 , 17-Июл-18, (68)   Не то чтобы я хотел опровергнуть что-то из вами сказанного, просто напомнить, чт, Тузя (ok), 16:55 , 17-Июл-18, (103)   Разве это так уж просто сделать , dimqua (ok), 23:19 , 16-Июл-18, (17)   // ну как Телеграм - , Xasd (ok), 23:29 , 16-Июл-18, (22) +5   Вообще-то да Это обычный HTTPS трафик, провайдер его видит шифрованым, ну если , Аноним (42), 06:03 , 17-Июл-18, (42)   // Так ведь перебанить _все известные_ DOH сервера невозможно, а блокировать весь h, dimqua (ok), 15:19 , 17-Июл-18, (93)   Станут Госбезопасность шерифа волнует, а проблемы индейцев - нет , Аноним (122), 21:40 , 17-Июл-18, (122)   Как раз нормально Как отладят внедрят - браузеры для начала станут всё, что так, Crazy Alex (ok), 00:19 , 17-Июл-18, (27)   мурзила - уже может, полутора оставшимся пользователям уже все равно , нах (?), 10:46 , 17-Июл-18, (67) –1   блокировать DNS-over-HTTPS DNS-over-TLS ну как минимум популярные серверы , Аноним (111), 19:25 , 17-Июл-18, (111)   Вопрос, мягко говоря, перезрел , xm (ok), 23:13 , 16-Июл-18, (14) +2 // Рыба уже давно уже сгнила с головы, они ток задумались Тут бы проблемы DNSSec и , Аноним (31), 00:36 , 17-Июл-18, (31) +1 // 100500Сегодня DNSSEC DANE DNS-over-TLS должно стать первоочередной задачей , xm (ok), 01:41 , 17-Июл-18, (34) +1 // Как выше писали, DoT не имеет такого уж большого смысла, если имя хоста передаёт, dimqua (ok), 15:24 , 17-Июл-18, (94) +1 Во-первых, не вижу где А, во-вторых, и это главное, не вижу связи На кой, собс, xm (ok), 16:54 , 17-Июл-18, (102) Не вместе с DoT, а при обращении к сайту по HTTPS, будет передаваться SNI , dimqua (ok), 19:58 , 17-Июл-18, (118) В DNS-over-TLS внезапно никакого HTTPS нет , xm (ok), 22:39 , 17-Июл-18, (126) Внезапно при установлении TLS соединения со SNI, твой DNS-over-TLS теряет смысл,, Аноним (179), 10:12 , 22-Июл-18, (179) Да бизнес это никогда не внедрит Вы же видели - Mozilla и Amazon закрыли domain , Аноним (122), 01:58 , 17-Июл-18, (36) // Чушь Бизнесу нет причин это бойкотировать И есть причины это внедрять Ибо ина, Аноним (37), 02:52 , 17-Июл-18, (38) +2 Да, могут и так поехать Что сказать-то хотел Могут ещё проще государственный , Аноним (37), 02:55 , 17-Июл-18, (39) +1 // амазона и гугля, как видите, волнует самый богатый человек мира потому и самый , нах (?), 15:08 , 17-Июл-18, (89) –1 // Это весьма непростая медийная история Если выкидывать, то есть репутационные ри, DPDKguy (?), 19:29 , 17-Июл-18, (114) оно там специфичное - пока не затрагивает сами Штаты, особо ни на что не влияет , нах (?), 11:22 , 18-Июл-18, (131) Нужно Нужно Нужно , нона (?), 05:15 , 17-Июл-18, (41) +1 Получается, прокси - как анонимайзеры, так и корпоративные - при таком раскладе , Аноним (43), 06:53 , 17-Июл-18, (43) +1 // Похоже на то Я во всяком случае не очень понимаю, как в таком случае прокси буд, Аноним (43), 14:56 , 17-Июл-18, (87) // Как это как определять А айпишник в пакете для чего указан Вот пусть прокся и , Аноним (152), 23:04 , 18-Июл-18, (154) // Затем, что прокси еще и для фильтрации трафика используются Лол В такой ситуаци, Аноним (43), 10:39 , 19-Июл-18, (161) Чего там шифровать С каких сайтов тянешь ad блоки по текущему гнезду да уж вел, Аноним (44), 07:02 , 17-Июл-18, (44) // И какой же в этом плюс без шифрования SNI Вот скрыл ты днс шифрованием, а всё р, Аноним (37), 07:14 , 17-Июл-18, (45) +1 // дружок, я про то что реализация веба на сегодня исключительно косячна, эти нараб, Аноним (44), 07:35 , 17-Июл-18, (47) –1 // Хотят лечить вебом флаг Какой флаг И зачем его лечить Это какой-то молодёжный, Аноним (50), 07:58 , 17-Июл-18, (50) этому сленгу лет за писят уж Это вообще моя планета , Аноним (44), 08:18 , 17-Июл-18, (51) Запятые нужно ставить , Ю.Т. (?), 09:30 , 17-Июл-18, (60) +1 эти наработки из прошлого века Сегодня пользоваться уже почти невозможно с , Аноним (62), 09:55 , 17-Июл-18, (62) +1 QUIC шифрует SNI еще надежнее, единственное что там из заголовка можно получить , Аноним (31), 07:35 , 17-Июл-18, (48) // У лидеров рынка NIH-синдром же , Аноним (49), 07:56 , 17-Июл-18, (49) Сначала не умели Т е идя на сайт по ip X X X X клиент ожидал там сертификат по, КО (?), 08:57 , 17-Июл-18, (53) +1 // и это была чудовищная глупость Настолько вопиющая, что начинаешь сомневаться, ч, нах (?), 11:18 , 17-Июл-18, (71) –2 // Почему нахрен Ну на Украину, ну и что сразу так - , А. Алког (?), 01:59 , 19-Июл-18, (156) На шаред хостинге овер 1000 хостов на одном IP Так каждому клиенту портянку в X, Аноним (179), 00:36 , 21-Июл-18, (175) ну и поведай -- как же в QUIC происходит обмен ключами для SNI точнее говоря --, Xasd5 (?), 09:03 , 17-Июл-18, (54) да ну нафиг лишняя сложность, плюс дополнительная точка отказа, Нанобот (ok), 09:20 , 17-Июл-18, (55) +1 // DNS устарел, HTTP устарел, BGP без BGPsec устарел Нас нужны новые интернет , Аноним (56), 09:30 , 17-Июл-18, (59) +4 // https duckduckgo com q pied piper new internethttps duckduckgo com q pied , Andrey Mitrofanov (?), 09:46 , 17-Июл-18, (61) // похоже на какое-то бла-бла, Maxim (??), 10:35 , 17-Июл-18, (64) +1 whois говорит, что duckduckgo хостится в ирландии, а все мы знаем, что по ирланд, Аноним (-), 13:33 , 17-Июл-18, (79) –2 Айяйяй, Как же мне спрятать мои поисковые запросы, которые я выложил на опенет , Andrey Mitrofanov (?), 14:07 , 17-Июл-18, (83) ФБР не работает за границей USA Ты бредишь , Аноним (125), 22:28 , 17-Июл-18, (125) Работает, в тех случаях, когда преступление, разрабатываемое ФБР, предполагает д, IRASoldier (?), 18:51 , 18-Июл-18, (144) Навскидку по теме - https ria ru society 20051012 41752859 html, IRASoldier (?), 18:53 , 18-Июл-18, (145) Также ФБР может проводить оперативно-розыскные мероприятия за рубежом и в отноше, IRASoldier (?), 18:57 , 18-Июл-18, (146) Какая точка, какого отказа Без DNS всё равно у вас HTTPS ни , Аноним (111), 19:28 , 17-Июл-18, (112) +1 народ не понимает, что это делают не для их безопасности, а для финансовой безоп, Аноним (65), 10:43 , 17-Июл-18, (65) –3 // Никто тебе не мешает поднять собственный прокси и блочить всё что угодно на уров, Аноним (70), 11:14 , 17-Июл-18, (70) Финансовая безопасность Лол , Аноним (72), 11:35 , 17-Июл-18, (72) уж не буду говорить про то что ни кто тебе не мешает наложить на исходный код бр, X4asd (ok), 18:28 , 17-Июл-18, (107) +2 А не похер бы, если всем это в плюс , Аноним (111), 19:28 , 17-Июл-18, (113) Хорошая штука, если действительно вбедрится и будет стабильно работать Но Боже,, Cradle (?), 12:02 , 17-Июл-18, (75) +6 // где там sni и зачем он нужен умному дому ключи от всего у кого-то поумнее чем , Аноним (78), 13:28 , 17-Июл-18, (78) // серьёзные IoT сейчас работают с облаком через SSL TLS, SNI необходим чтобы трафи, Cradle (?), 13:41 , 17-Июл-18, (81) +1 // в том смысле что заточенное под IoT облако обеспечивает N сервисов виртуальных , Cradle (?), 13:51 , 17-Июл-18, (82) +1 вы что-то пургу несете Какой именно промышленный балансер работает на основании, Аноним (78), 15:15 , 17-Июл-18, (91) –1 может здесь лучше объяснят https aws amazon com de blogs aws new-application-, Cradle (?), 15:34 , 17-Июл-18, (95) нет, здесь не лучше - у них sni используется по прямому назначению, чтобы напиха, Аноним (78), 16:22 , 17-Июл-18, (100) именно по тому же назначению организующая свое облако компания или арендующая , Cradle (?), 17:02 , 17-Июл-18, (104) DNS-over-HTTPS или DNS-over-TLS - АНБ радо Оно и будет держать под колпаком те, Ivan_83 (ok), 13:40 , 17-Июл-18, (80) –5 // Потихоньку растёт число DoH DoT серверов от энтузиастов из разных стран , dimqua (ok), 15:35 , 17-Июл-18, (96) +3 // А ты прямо вот так доверяешь всем незнакомцам на улице ключи от хаты , Ivan_83 (ok), 15:41 , 17-Июл-18, (98) –4 А что, вы таки уже внедрили свою альтернативу DNS, как водится, с блекджеком и ш, xm (ok), 17:16 , 17-Июл-18, (105) +1 // Мне не требуется скрывать факт обмена информацией с сайтами А если потребуется я, Ivan_83 (ok), 17:58 , 17-Июл-18, (106) –4 // Ещё один честный человек которому нечего скрывать , xm (ok), 18:33 , 17-Июл-18, (108) Не так Все эти навороты излишни и бессмысленны У меня свой unbound но я не включ, Ivan_83 (ok), 18:56 , 17-Июл-18, (109) вспомните об этом пожалуйста когда станете покупать какие-нибудь радио-включаемы, Cradle (?), 20:42 , 17-Июл-18, (120) я об этом каждый раз вспоминаю, когда выясняется, что еще один поставщик модулей, нах (?), 11:35 , 18-Июл-18, (132) Я такой хлам никогда не куплю, разве что на запчасти У меня даже смарт телеку ин, Ivan_83 (ok), 13:13 , 18-Июл-18, (139) не зарекайся, не зарекайся телек-то еще может работать без интернета А эти хоме, нах (?), 17:52 , 18-Июл-18, (143) это всётаки как-то больше у маркетологов и продуктманагеров мозги так заточены, , Cradle (?), 18:59 , 18-Июл-18, (147) правильно, чтобы мы сразу увидели, что к тебе надо заглянуть на огонек Весь смыс, товарищ майор (?), 12:42 , 18-Июл-18, (135) –1 И как они представляют себе работу виртуальных хостингов в таких условиях , Аноним (84), 14:10 , 17-Июл-18, (84) // Элементарно Вывешивается фронтинг, далее балансер как анализировал SNI, так и п, Аноним (179), 00:34 , 21-Июл-18, (174) Без SNI тоже можно понять что там хостят, отсутствие SNI не панацея ISP будет а, Legushatnic (?), 14:38 , 17-Июл-18, (85) –3 // понять можно, пришить к делу нельзя , товарищ майор (?), 15:16 , 17-Июл-18, (92) +1 Сколько сайтов висит на одном IP от cloudflare - , dimqua (ok), 15:37 , 17-Июл-18, (97) +1 // MITM от FSB не проблема , Аноним (110), 18:59 , 17-Июл-18, (110) –2 // Истеричный государственный бомбеж Телеграма говорит как раз об обратном Если бы , Аноним (-), 22:42 , 18-Июл-18, (150) нуну А дальше alt-svc quic www example com 443 , DPDKguy (?), 19:34 , 17-Июл-18, (116) Вот единственное, что реально во всём этом пугает - всё нарастающая сложность Н, Аноним (74), 15:53 , 17-Июл-18, (99) +2 // 1 Невозможно доверять технологии слишком сложной для понимания , Аноним (124), 22:02 , 17-Июл-18, (124) // доверять причём во всех смыслах Даже если делали без закладок, в сложной куда в, Аноним (74), 22:44 , 17-Июл-18, (127) +1 В чём сложность В необходимости прочитать один public key с DNS , Аноним (111), 09:01 , 19-Июл-18, (159) –1 о чем вы, я вас умоляю Никому обратная совместимость не нужна в современном мир, нах (?), 11:40 , 18-Июл-18, (133) –1 // Ага, а почему тогда почему нельзя спроектировать протокол с нуля, без реликтов и, Аноним (137), 13:01 , 18-Июл-18, (137) // можно, там выше в теме есть пример Просто мозила не хочет, а вам не дадут спрое, нах (?), 17:48 , 18-Июл-18, (142) А который из серверных ключей, если имя сервера клиент ещё не указал , Аноним (101), 16:41 , 17-Июл-18, (101) // Имеется в виду пара к esni public , Аноним (111), 19:33 , 17-Июл-18, (115) Но вот для всяких автаркий типа известных блокировщиков телеграма это будет ре, Аноним (111), 19:35 , 17-Июл-18, (117) –1 Для отбитых идиотов поясняю 1 Кто хотел что-то скрывать - давно скрывает и дела, Аноним (134), 12:04 , 18-Июл-18, (134) // бестолку Тут и условно-вменяемые радуются, пляшут и поют - и очень навряд л, нах (?), 12:47 , 18-Июл-18, (136) –2 // И этот оже работает И тоже на прекрасных людей Цветы цветут, какие сомнения-, Andrey Mitrofanov (?), 13:11 , 18-Июл-18, (138) +1 // этот может быть искренне верующим, такое случается В отличие от того, который с, нах (?), 17:45 , 18-Июл-18, (141) Пусть блочит по IP Подмена адресов в заблоченных доменах очень быстро отучи, Аноним (111), 22:55 , 18-Июл-18, (151) +1 // Ну и общий эффект от таких блокировок будет уже приличным Не вижу особой беды, Аноним (111), 22:58 , 18-Июл-18, (153) Не отучила Они уже составили белый список из 3-ёх IP, президент ру, 127 0 0 1 , Andrey Mitrofanov (?), 09:28 , 19-Июл-18, (160) // Так это вообще отлично , Аноним (179), 00:33 , 21-Июл-18, (173) Да ничему не научит Есть решение суда, есть запись в реестре РКН согласно это, Аноним (134), 10:32 , 20-Июл-18, (165) –2 // Ну и отлично Нет, так нет, значит будете стрелять себе в ногу до упора , Аноним (179), 00:30 , 21-Июл-18, (171) Половые проблемы конкретной гондурасии - не повод всем остальным зацикливаться н, Аноним (179), 00:31 , 21-Июл-18, (172) Ты чё в спячке был последние 4 месяца Почти 20 миллионов айпишников было в блок, Аноним (152), 23:16 , 18-Июл-18, (155) +1 // дружище, ну а тебе-то зачем зарплату платят Тебе надо детально разжевать, что ну, нах (?), 11:39 , 19-Июл-18, (163) Ты мне-то не рассказывай - Я это своими глазами видел - А-ха Откуда вы,, Аноним (134), 10:43 , 20-Июл-18, (166) // Забыл туда ещё добавить domain-mask 2810, которые тоже в перспективе станут ip i, Аноним (134), 10:44 , 20-Июл-18, (167) Охеренно получится Может хоть до кого-то дойдёт, что масштабные блокировки - зл, Аноним (179), 00:29 , 21-Июл-18, (170) Что же получится 60-100-300 тысяч айпишников добавятся в блокировку Ух, как ст, Аноним (178), 18:20 , 21-Июл-18, (178) -D Парадокс в том, что мелкие себе просто DPI позволить не могут - Крупные к, Аноним (134), 10:46 , 20-Июл-18, (168) –2 // Это не так DPI приходится покупать всем И как говорится в видео выше, мелкие п, Аноним (178), 17:54 , 21-Июл-18, (177) 1,3,7,9,14,36,41,43,44,48,55,65,75,80,84,85,99,101,117,134

Сообщения

[Сортировка по времени | RSS]

9. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	–1 +/–
Сообщение от Xasd (ok), 16-Июл-18, 23:04
> При использовании ESNI имя хоста (поле server_name) также передаётся в ClientHello, но в зашифрованном виде. Для шифрования используется секрет, вычисленный на основе ключей сервера и клиента. Для расшифровки перехваченного или полученного значения поля ESNI необходимо знать закрытый ключ клиента или сервера (полюс открытые ключи сервера или клиента). Информация об открытых ключах передаётся для серверного ключа в DNS с использованием TXT-поля "_esni", а для клиентсного ключа в сообщении ClientHello. Расшифровка также возможна при помощи согласованного в процессе установки TLS-соединения общего секрета, известного только клиенту и серверу. Для скрытия обращения к DNS клиентом может применяться DNS-over-HTTPS или DNS-over-TLS. боже! это слишком сложно! один маленький (управляемый?!) сбой -- и всё это откатывается на старый дырявый протокол :-) .. провайдеры лишь всего-навсего просто будут: * блокировать DNS-over-HTTPS/DNS-over-TLS [ну как минимум популярные серверы]. * перенаправлять все DNS запросы -- на свой DNS-сервер. * вырезать из DNS -- DNSSEC-структуры и _esni-структуры . * как и прежде -- подслушивать-и-реагировать на старый добрый нешифрованный SNI! это даже будут делать не сами провайдеры (по якобы своей воле) -- а по-средствам типового DPI-софта который будет навязываться им (провайдерАМ) для обеспечения законов РКН-и-Яровой. -------------------------------------------------- клиентский софт -- будет от безысходности откатываться на старое поведение и делать всё по старинке. а из-за того что _esni-структуры требуют ручное вмешательство -- то это не получит должного распространения среди сайтов. (будет использовано как обычно только на twitter и gmail.. ну и плюс на полтора сайтах хакера-васи :)) из-за отсутствия популярности инициативы среди сайтов -- Мозилла-и-другие-браузеры НЕ смогут заявить типа "внимание! теперь мы будем работать только с ESNI-сайтами! остальные открываться не будут!" и это как замкнутый круг приведёт к том что про esni со временем просто забудут как очередная неудачная попытка наладить шифропорядок в web-паутине
Ответить | Правка | Наверх | Cообщить модератору

	16. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+9 +/–
	Сообщение от Аноним (37), 16-Июл-18, 23:18
	> провайдеры лишь всего-навсего просто будут: Это не «всего-навсего просто», лол. И по твоей логике ничего не надо делать, ведь всё равно могут интернет открубить. Зачем нам трафик TLS шифровать? Ведь могут просто заблочить и вынудить http юзать. Но нет, уже не могут так сделать. Максимум — по IP и SNI мешать устанавливать соединение. Зачем VPN существует? Ведь легко протокол детектится в 98% случаев. Но чёт только в Китае более-менее пытаются, да и там люди продолжают использовать. Более неумело в Иране пытаются. Усложнять работу цензурятам всегда есть смысл. Даже чуток. Это задел на будущее. Старый открытый SNI потом уберут из браузеров и другого софта. Напомню, что некоторые маргинальные браузеры и сейчас поддержки SNI не имеют, и в них даже что-то частично работает. А блочащие DoH просто выставят себя как дикие страны (у передовых другие методы есть, им это не нужно). Которым можно и санкций подкинуть, мотивируя правами человека.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от dimqua (ok), 16-Июл-18, 23:22
	Да, в теории многое можно, но на практике не всегда все это реализуется.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+2 +/–
	Сообщение от Xasd (ok), 16-Июл-18, 23:27
	> Старый открытый SNI потом уберут из браузеров и другого софта не смогут убрать! потому что кроме www-браузера если и обычные библиотеки делающее свои дела через tls. и вот представь себе -- ты хочешь написать утилиту которая делает запрос. ты подрубаешь TCP-сокет -- затем хочешь апгрейдить его на TLS-сессию и вдруг тебе становится для этого нужен уже какой-то чёртов esni-ключ! ты уже будешь обязан ещё и DNS-запрос отправить на получение этого ESNI-ключа! ну теоретически есть вероятность что рано или поздно придёт культура которая будет это поощьрять... типа каждый программист-будущего будет даже без заиканья (разбуди его ночью ото сна!) говорить "ну конечно чтобы заапгрейдить на TLS нужно сделать DNS-запрос!" ...но сейчас в веритьcя с трудом. :-) .. хотя и возможно -- кто знает.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	24. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+2 +/–
	Сообщение от Аноним (37), 16-Июл-18, 23:40
	И почему верится с трудом? Вот был 2004 год, и всё кроме браузера, да и даже сами браузеры в большинстве случаев, юзали плейн хттп. И библиотеки все твои. И вот однажды, постепенно, требование TLS возросло до такой степени, что ты теперь не пишешь: вот раньше я мог открыть tcp-сокет и начать просто слать хттп запросы, а теперь мне нужно какой-то tls ещё реализовывать/брать другую библиотеку, заворачивать всё в шифрование, ужас какой! Или может ты не застал до-tls эру. Вот как ты сейчас tls без особой проблемы реализуешь, так и с ESNI будет. В чём проблема? Ничему новому не хочешь учиться? Ну иди кодь под win98 и старый линух, а то ведь сколько всего напихали нового за эти десятилетия.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Crazy Alex (ok), 17-Июл-18, 00:20
	Уж из браузеров убрать - запросто, хоть и поэтапно
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	68. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от нах (?), 17-Июл-18, 10:54
	> потому что кроме www-браузера если и обычные библиотеки делающее свои дела через tls. целых две, не считая форков? Ну так одну вон уже... эммм...антимат... отрефакторили! > и вот представь себе -- ты хочешь написать утилиту которая делает запрос. как и сейчас - тянешь через интуитивно-приятную обертку openssl, ну может - первое время - придется использовать какой-нибудь ее клон, кто у нас там сегодня модно, boring? Вот ее и пользуй. Там еще опасТные протоколы выпилены и сборка под опасТные операционные системы (все что не линукс) поломана, сплошные бонусы! Если он не дотянулся до этого дурацкого esni - возвращаешь пользователю БОЛЬШОЕКРАСНОЕОКНО - внутрь можешь что-нибудь из /dev/random процитировать, все равно пользы от этого никакой.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	103. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Тузя (ok), 17-Июл-18, 16:55
	Не то чтобы я хотел опровергнуть что-то из вами сказанного, просто напомнить, что в SSL/TLS есть очень www-ориентированные штуки, которые за пределами вебсервера не очень-то и работают в массе своей. Из них сходу вспоминаются 2: - само SNI, которое поддерживается даже не в каждом вебклиенте, браузеры и большие библиотеки - это да, но в TLS может оказаться не только вебня и вот там всё грустно. - Wildcard, опять же, применение которого тоже ограничено в протоколах. - Их сочетание. Я понимаю, что для посылки веб-запроса по идее надо бы иметь SNI, в общем случае. Но многие не парятся, а убирать поддержку расширения, которое гарантировано работает только в браузерах и больших популярных библиотеках из "другого софта" очень просто, ведь его и не завезли. ESNI туда тоже не завезут, сложно. Да, на фоне ESNI само SNI выглядит просто, но народ решает оба вопроса (SNI/Wildcard) посредством обязывания покупать сертификат содержащий SAN.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	17. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от dimqua (ok), 16-Июл-18, 23:19
	>блокировать DNS-over-HTTPS Разве это так уж просто сделать?
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	22. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+5 +/–
	Сообщение от Xasd (ok), 16-Июл-18, 23:29
	>>блокировать DNS-over-HTTPS > Разве это так уж просто сделать? ну как Телеграм :-)
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Аноним (42), 17-Июл-18, 06:03
	Вообще-то да. Это обычный HTTPS трафик, провайдер его видит шифрованым, ну если не пойти и не перебанить все известные DOH сервера.
	Ответить | Правка | К родителю #17 | Наверх | Cообщить модератору

	93. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от dimqua (ok), 17-Июл-18, 15:19
	Так ведь перебанить _все известные_ DOH сервера невозможно, а блокировать весь https трафик никто не станет в здравом уме.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Аноним (122), 17-Июл-18, 21:40
	Станут. Госбезопасность шерифа волнует, а проблемы индейцев - нет.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Crazy Alex (ok), 17-Июл-18, 00:19
	Как раз нормально. Как отладят/внедрят - браузеры для начала станут всё, что такие штуки не реализует, показывать как недоверенный сайт (точнее, сначала так будет происходить для какого-то известного набора, как для HSTS, например). А потом - тупо перестанут работать в несекьюрном режиме без адских плясок. Ну а что в Россиях это могут тупо административно побить - так с тем же успехом могут и вовсе шифрование трафика запретить. Это не проблема мейнстримных решений, борьба со свихнувшимися властями - это к даркнетам.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	67. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	–1 +/–
	Сообщение от нах (?), 17-Июл-18, 10:46
	> из-за отсутствия популярности инициативы среди сайтов -- Мозилла-и-другие-браузеры НЕ смогут > заявить типа "внимание! теперь мы будем работать только с ESNI-сайтами! остальные открываться не > будут!" мурзила - уже может, полутора оставшимся пользователям уже все равно.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	111. "Mozilla, Cloudflare, Fastly и Apple работают над применением..."	+/–
	Сообщение от Аноним (111), 17-Июл-18, 19:25
	> провайдеры лишь всего-навсего просто будут: * блокировать DNS-over-HTTPS/DNS-over-TLS [ну как минимум популярные серверы]. * перенаправлять все DNS запросы -- на свой DNS-сервер. * вырезать из DNS -- DNSSEC-структуры и _esni-структуры . А, кардеры им будут очень благодарны.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема