Oprettet tor. d. 13. maj 2010 kl. 18:05:06

30 point uddelt | 32 kommentarer

gooky (13.275 point. Point ude: 110)

Hvor sikkert er HTTPS

Hej

Er det muligt udefra at laese hvad der bliver sendt over HTTPS?

Er det muligt for en ISP at laese hvad der bliver sendt over HTTPS til deres server?

Tak paa forhaand.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:14:43| #1

arne_v (1.004.158 point)

Nej.

Hvis du finder en mulighed, så vil internet handel bryde sammen.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:15:31| #2

ksoren2 (6.735 point)
Den falske administrator

Nej, ikke umiddelbart.

Ved man-in-the-middle angreb vil din browser kunne se, om nogen har sat sig imellem.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:23:30| #3

gooky (13.275 point)

Dette link siger at det er muligt... hvis brugeren er en "normal" internet bruger.
http://r00tsecurity.org/ (...)

Derudover, hvis en ISP bruger programmerne Charles og Fiddler paa deres server... saa kan de se hvad det er man sender...

Er dette virkelig sandt?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:30:08| #4

arne_v (1.004.158 point)

Hvis nogen hijacker din DNS server eller router og goer at din trafik til www.dinbank.dk ryger til www.hacker.cn, saa vil din browser fortaelle dig at certfikatet ikke passer. Hvis du vaelger at ignorere det, saa har du et problem.

Det goer ogsaa ondt at slaa sig selv i hovedet med en hammer. Men man kan jo lade vaere.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:34:38| #5

gooky (13.275 point)

Er det korrekt antaget at ved brug af Charles og Fiddler, saa ser brugeren ikke noget i sin browser?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:35:41| #6

gooky (13.275 point)

, saa ser brugeren ikke noget i sin browser?

>>

,saa ser brugeren ikke nogen meddelelse om hacking i sin browser?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:37:47| #7

arne_v (1.004.158 point)

Det er korrekt, men de kan ikke bruge HTTPS traffik til noget.

Hvis de har en milliard computere og 10000 aar kan de brute force cracke det.

Men hvad saa.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:46:50| #8

gooky (13.275 point)

Efter lidt mere laesning, saa ser det udtil at baade fiddler og charles bruger "man-in-the-middle" tricket. I begge tilfaelde vil browseren fortaelle at certfikatet ikke passer.

En konklusion herpaa er at det ikke kan lade sig goere, mm. en internet bruger accepterer trods advarslen fra browseren.

Svar => point.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 18:50:05| #9

TorbenVeise (3.995 point)
www.veise.dk

Man må i øjnene at der ikke er noget her i verden der ikke vil kunne hackes!
Man kan så gøre alt hvad man kan for at sikre sig imod det, men det er helt sikkert at helt sikkert bliver det aldig!!

Men kryteringen i HTTPS protocollen er så sikker så bla. banker og E-handel anser den for sikker nok til at de laver forretninger via den protecol over internettet..

Men vil man være helt sikker, så er det af med ens internet forbindelse, frem med blyant og papir igen, og kvit dankort og andre betalingskort, og kun have en bankbog..

Så kan man ikke gøre mere ;-)

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 19:57:28| #10

jonah.hex (18.200 point)

man kan nemt se indholdet af HTTPS men en TMG firewall
Den kan dekrypter HTTPS, inspicer trafikken, krypter det igen og sende til klienten.
I modsætning til ISA 2006, som kun kunne dekrypter publicerings regler, kan en TMG også gøre det ved udgående trafik

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:00:54| #11

ksoren2 (6.735 point)
Den falske administrator

Ikke uden at klienten opdager det

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:04:59| #12

arne_v (1.004.158 point)

Lidt misvisende.

Det er ikke anderledes en andre in the middle systemer.

Brugeren skal acceptere certifikat fra TMG som vaerende valid.

(produktet bruges nok mest i sammenhaenge hvor IT afdelingen traeffer det valg for folk)

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:09:52| #13

jonah.hex (18.200 point)

#12
Brugeren skal da ikke accepter noget, hvis du har din PKI på plads og cerrifikater er trustet. Jeg som administrater bestemmer om brugeren skal have noget af vide.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:12:22| #14

arne_v (1.004.158 point)

Ja. Men det er ikke et HTTPS problem. Når du er admin på brugerens maskine, så kan du acceptere certfikater, logge alle hans keystrokes etc. uden at han opdager det.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:18:46| #15

ksoren2 (6.735 point)
Den falske administrator

Det er ligesom at have en trojan installeret. Det kan man ikke rigtig gøre noget ved.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:19:03| #16

jonah.hex (18.200 point)

#14
gik søårgsmålet ikke på om man kunne se indholdet af en HTTPS session

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:24:08| #17

arne_v (1.004.158 point)

Nej.

Spoergsmaalet gik paa om det er muligt **UDEFRA** at se HTTPS indholdet.

Normalt regner man ikke admin som vaerende udefra.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:25:37| #18

jonah.hex (18.200 point)

tjaa
ISP som ikke har en Admin ????

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:30:18| #19

ksoren2 (6.735 point)
Den falske administrator

Normalt kommer ens ISP ikke og installerer software på kunderens computere. TDC har i hvert fald ikke været forbi mig.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:32:00| #20

jonah.hex (18.200 point)

#19
som sædvanlig uvidende

Der skal jo ikke installeret noget, for at trafikken går gennem en TMG firewall

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:32:22| #21

arne_v (1.004.158 point)

Enhver ISP har masser af admins, men de er ikke admins for brugernes PC'ere og kan derfor ikke installere det certfikat som goer at brugeren undgaar advarsel.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:34:37| #22

jonah.hex (18.200 point)

#21
du forstår det jo ikke

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:36:39| #23

ksoren2 (6.735 point)
Den falske administrator

Jonah, så forklar os uvidende mennesker hvordan ens udbyder kan bryde ind i en HTTPS session uden at browseren får nys om det.

Hvordan skal udbyderen opfange krypteringsnøglen?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:47:11| #24

jonah.hex (18.200 point)

TMG, som skervet tiderlige

mht til certifikat
Hvis jeg køber et certifikat af eksempelvis VeriSign, som er en trustet CA vil du ikke få noget advarsels. Det er derfor du ikke får en certifikat advarsels når du går på https://www.danskebank.dk som har købt deres af VeriSign. Det koster omkring 3000kr.

Man kan se de trustet CA via MMC
1.Click Start, and then click Run.
2.In the Open box, type mmc, and then click OK.
3.In the File menu, click Add/Remove Snap-in.
4.In the Add/Remove Snap-in box, click Add.
5.In the Available Standalone Snap-ins list, click Certificates, and then click Add.
6.Click Computer Account, and then click Next.
7.Click the Local computer (the computer this console is running on) option, and then click Finish.
8.Click Close, and then click OK.

og under
trusted root certificate authority

nye kommer heletide til og bliver opdateret via windows update

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:50:41| #25

jonah.hex (18.200 point)

og jeg siger ikke at ISP gør det, men kan det

præsis jeg, eller måske dig, kan gøre det i firmaet hvis man har en TMG

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:51:10| #26

ksoren2 (6.735 point)
Den falske administrator

Så du fortæller mig, at jeg kan købe et certifikat for danskebank.dk af VeriSign? Det tror jeg ikke.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 20:52:48| #27

jonah.hex (18.200 point)

nej

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 21:30:14| #28

gooky (13.275 point)

ksoren2>>

Vil en admin fra ISP'en til danskebank kunne se den ukrypteret data jeg sender via https (evt. vha. en TMG eller lign)?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tor. d. 13. maj 2010 kl. 21:35:01| #29

gooky (13.275 point)

For lige at afklare tingene... den foerste del af spg. er vist besvaret. Det er ikke muligt udefra at se HTTPS traffik uden brugeren faar det at vide.

Men den anden del af spg. er om en ISP kan laese HTTPS trafikken til deres server. Er dette muligt uden at brugeren laegger maerke til det?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tir. d. 10. august 2010 kl. 17:54:40| #30

gooky (13.275 point)

svar => point...

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet ons. d. 11. august 2010 kl. 16:42:09| #31

gooky (13.275 point)

er der nogen der er interesset i pointene?

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Skrevet tir. d. 14. september 2010 kl. 20:22:23| #32

Accepteret svar!30 point tildelt

gooky (13.275 point)

lukker spg.

Anmeld misbrug

Skriv et svar | Skriv en kommentar

Log ind

Opret bruger | Glemt adgangskode

Seneste spørgsmål

Rewrite af URL, fra subdomæne.

Oprettet den 2. februar 2012 kl. 22.02

neo3000 giver 30 point for svar | Giv et svar »

FTP server ikke synlig

Oprettet den 4. januar 2012 kl. 09.53

thenuttyprofessor giver 30 point for svar | Giv et svar »

webdav og win 7

Oprettet den 3. januar 2012 kl. 20.03

micromak giver 60 point for svar | Giv et svar »

Seneste guides

Den gode bruger

30. januar 2012 kl. 04.45 | Læs »

Adgang til NAS-server via WAN

23. januar 2012 kl. 11.55 | Læs »

Photoshop CS5 tutorial: Glossy knap til dit website

22. januar 2012 kl. 18.23 | Læs »

Kollektion af Batch tutorials (FJERNET)

22. januar 2012 kl. 15.09 | Læs »

Tilpas din YouTube afspiller

15. januar 2012 kl. 11.54 | Læs »

Se alle guides »

Seneste nyheder

Apple retter hele 51 sikkerhedshuller i Mac OS X

3. februar 2012 kl. 13.45 | Læs »

Så mange millioner tjener TDC om dagen

3. februar 2012 kl. 09.31 | Læs »

Samsung Galaxy S III på vej

3. februar 2012 kl. 09.02 | Læs »

Universitet: Derfor kan WiFi ikke erstatte vores kabler

3. februar 2012 kl. 09.00 | Læs »

Ubuntu-firma advarer: Her skal du passe på i cloud'en

3. februar 2012 kl. 08.32 | Læs »

Se alle nyheder »

Tips & Tricks fra PC World

Sådan fjerner du pladskrævende metadata fra dine fotos

Det er langt fra altid, at dine billeders metadata såsom kameramodel og geografisk placering er vigtige at bevare. JPG & PNG Stripper kan luge ud i billedfilerne, så de fylder meget mindre....

Læs mere »

Anmeldelser fra PC World

Test: Superlet bærbar med mange muligheder

Toshiba har med Satellite Z830 skabt en af verdens letteste ultrabooks. Den vejer 1,1 kilo, og computeren på 13 tommer ser på papiret ud til at være en oplagt rejsekammerat. Men den lave vægt har...

Læs mere »

Seneste blogindlæg

Tvangslukke spørgsmål: Hvad er den bedste løsning?

Hej Vi har mange åbne spørgsmål på Eksperten. Vi ville gerne tvangslukke dem - så et spørgsmål efter f.eks. 6 måneder lukkes. Men der er et par uklarheder som ville være gode at få lidt input til:...

Læs mere »