2014-11-21 20:13 GMT+01:00 Sergiusz 'q3k' Bazański q3k@q3k.org:
On 11/21/2014 07:52 PM, Radoslaw Szkodzinski wrote:
Jak sprawdzą, że program jest odpalony gdzieś tam na tej domenie przez jej administratora, a nie dowolnego rozbójnika spoofującego pakiety? Albo na przykład przez dziurawy skrypt, lub czy ktoś nie zatruł DNS. Lub <wstaw jeszcze kilka ataków, o których nie pomyślałem>.
Wersja DNS jest słaba. (Czy polegają na i weryfikują DNSSEC?)
Ta wersja HTTPS jest sporo lepsza - rzeczywiście trzeba sterować domeną. Popieram te rozwiązanie.
Te Twoje „ataki” są tak samo możliwe przy obecnych metodach DV - czyli praktycznie w ogóle.
Sure. Pożyjemy zobaczymy.
Obecnie nikomu się nie opłaca atakować wystawiania certyfikatów - zamiast tego łatwiej zaatakować stronę bezpośrednio - lub administratorów. Z wyjątkiem bezpośredniego łamania słabych certyfikatów...