Snowdenin paljastukset ovat herättäneet pohtimaan ssl-salauksen turvallisuutta. Vielä ei ole saatu vastausta siihen, onko jokin ssl:n yleisesti käyttämistä salaimista murrettavissa. Joka tapauksessa vähänkin teknisempi ihminen haluaisi tietää, mitä salainta ja miten pitkää avainta selain käyttää silloin, kun osoitepalkissa näkyy lukon kuva.
Jostain syystä IE ei näytä salauksen tietoja lainkaan. Lukon kuvasta aukeaa vain varmenteen perustietojen näyttö:
 |
| IE10 näyttää vain varmenteen tiedot, eikä kerro mitään yhteyden salauksesta. |
IE9 näytti sentään Tietoja-ikkunassa pisimmän tuetun salausavaimen pituuden:
 |
| IE9 näytti sentään avainpituuden. |
Nykyisessä IE:ssä (ja näköjään myös tulevassa 11-versiossa) näyttö on pelkistetympi:
 |
| Mihin on kadonnut tieto avainpituudesta? |
En keksi mitään syytä, miksei IE näytä ssl-yhteyden teknisiä tietoja. Peruskäyttäjä ei tee niillä mitään, mutta tietoturvasta kiinnostuneella tiedoista on hyötyä.
Esimerkiksi Chrome näyttää tiedot selkeästi:
 |
| Chromen näyttämät tiedot. |
Samoin Firefox:
 |
| Firefoxin näyttämät tiedot. |
Google.fi käyttää yleistä RC4-salainta tavanomaisella 128-bittisellä avaimella. RC4-salain on sieltä vanhimmasta ja avain lyhimmästä päästä, mutta niiden antamaa suojaa voidaan nykytiedolla pitää riittävänä.
IE:n kyvyttömyys näyttää salainta ja avainpituutta voisi mahdollistaa tilanteen, jossa ssl-salattu palvelin tarjoaa IE-käyttäjille vain 40-bittistä minimisalausta, joka nykytekniikalla on helppo murtaa. Käyttäjä ei huomaisi asiassa mitään outoa vaan pitäisi istuntoa lukonkuvan ansiosta turvallisena.
Salainten ja avainpituuksien vertailu on kiinnostavaa. Esimerkiksi Solo käyttää 256-bittistä AES:ää -- siitä on nykytiedolla paha panna paremmaksi:
 |
| 256-bittinen AES edustaa tämän päivän turvallisinta salausta. |
Entä kuinka moni on kuullut Camellia-salaimesta?
 |
| Käytössä 256-bittinen Camellia-salain. |
Avainpituus on taatusti riittävä, mutta voiko salaimeen luottaa? Arvatenkin
voi.
Nettiturvallisuuden maailma monimutkaistuu koko ajan. Ennen riitti, että selaimen osoiterivillä näkyi lukon kuva. Nyt lukkojakin on erilaisia, kuten Twitter ja Facebook osoittavat:
 |
| Molemmat ssl-salattuja, mutta jotain eroja näissä on... |
IE10 vaihtaa osoiterivin taustaväriä vain, jos palvelinvarmenne on
EV-tyyppiä, eli sen myöntäjä on tehnyt hakijalle tavallista laajemman aitoustarkistuksen.
Entä miten käyttäjän pitäisi tulkita palvelua, jossa näkyy https-protokolla mutta ei lukkoa lainkaan?
 |
| Hetkinen: https-salaus mutta ei lukkoa? |
Muokattu 5.8.2013 klo 15:45
Lisäys 10.9.2013:
IE näyttää sittenkin SSL-tiedot, kunhan tietää mistä etsiä.
Muistanko nähneeni vai muistanko väärin, että https vaimenteen root on peräisin NSA:lta? Eli NSA aukoo liikenteen, olipa kyseessä 40bit tai 128bit salaus..
VastaaPoistaOi niitä aikoja. Ennen kaikki data (kontaktit yms.) oli koneella, eikä niitä oikein saanut siirrettyä minnekkään. Nyt kaikki data on "pilvessä" ja ihan epähuomiossa monien tahojen saatavilla. Välinpitämättömyys asian korjaamiseen NYT, johtaa vielä laajempaan urkintaan!
Muistat väärin.
VastaaPoistaErikoista touha ja herättää kyllä tiettyjä epäilyjä.
VastaaPoistaOnko tarkoitus käyttää tätä hämärää merkintää hyväksi?
Mitenkä on Safarin laita?
Onko sillä asiat kunnossa?
Sekin on ison Amerikkalaisen firman tuote.
Mobiiliselaimissa näkyy vain lukko, ssl-tietoja ei saa. Tosin kaikkia mobiiliselaimia en ole testannut.
VastaaPoistaTämmöisen löysin Safarin ohjeesta:
VastaaPoistaOsoite- ja hakukentän vasemmassa reunassa oleva suojauspainike osoittaa, että verkkosivusto käyttää HTTPS-protokollaa ja että sillä on digitaalinen varmenne. Tiedot suojataan salaamalla ne, kun niitä lähetetään verkkosivuston ja sinun välillä.
Suojauspainike, jossa on lukkokuvake, voi olla harmaa tai vihreä.
Harmaa suojauspainike tarkoittaa, että verkkosivustolla on normaali varmenne.
Vihreä suojauspainike tarkoittaa, että verkkosivustolla on Extended Validation (EV) -varmenne, joka vaatii kattavamman identiteetin varmistuksen kuin normaali varmenne. Vihreä suojauspainike näyttää EV-varmenteen omistajan nimen.
Jos haluat katsella verkkosivuston varmenteen sisältöä, osoita suojauspainiketta.
Androidin Chrome ainakin näyttää kaikki samat informaatiot kun pöytvetsiokin.
VastaaPoistaMielenkiintoinen linkki:
VastaaPoistahttps://www.grc.com/ssl/ev.htm
Gibson kertoo, että vihreä palkki (extended validation) ei ole luotettava Internet Explorerissa. Se on sitä kaikissa muissa selaimissa, mutta Microsoftin selaimessa se on tarkoituksella tehty spoofattavaksi.
Gibsonin mukaan se on sitä Firefoxissa ja Chromessa, Safari ja Opera ovat vielä avoin kysymys. Microsoft on ehkä ajatellut, että isoilla yrityksillä on tarve päästä työntekijöiden ssl-salatun surffauksen väliin tietoturvasyistä, mutta samalla se mitätöi EV-suojan idean. Erikoisia ratkaisuja Microsoftilta. Pitää kysellä, josko näihin saisi vastauksia.
VastaaPoistaIE:ssä jos yrittää mennä 40-bit sivuille se kieltäytyy yhteistyöstä kokonaan. Arvatkaa vain onko tämä ollut ongelma kun on pitänyt yrittää käyttää weppihallittavaa laitetta joka on sijainnut Kiinassa (eli amerikkalainen laite jossa ei ole tehokasta kryptoa). Olisi herttaisen yhdentekevää olisiko salaus päällä vai ei kyseisessä käyttötilanteessa, mutta kun perus-http:ta ei tuettu ja https oli vain 40-bit sekä asiakkaan (suomessa sijainneessa) hallintakoneessa pelkkä IE niin tämän ongelman ratkaisuun kului enemmän aikaa kuin itse toivottuun konfiguraatiomuutokseen...
VastaaPoistaTiedätkö jotain julkista web-palvelinta, missä olisi edelleen käytössä 40-bittinen SSL?
VastaaPoistaEikös siinäkin ollut eroja, että miten avainten sopiminen/vaihto tehdään? Muistelisin lukeneeni, että joillain tekniikoilla nauhoitettu liikenne voidaan jälkikäteen purkaa jos murtaudutaan palvelimelle/jokin muu keino saada palvelimen haltija yhteistyöhön ja toisilla tekniikoilla tällainen ei ole mahdollista?
VastaaPoistaTämäkin on nykyään oleellista, kun kuulemma on tahoja, jotka nauhoittavat valtavia määriä internetliikennettä varmuuden vuoksi.
http://blogs.windows.com/windows/b/appbuilder/archive/2013/09/27/increasing-the-app-roaming-limits.aspx asiasta kukkaruukkuun. Sentäs yksi radikaali parannus tulossa. Viimeinkin viiden koneen limiitistä windows 8 storeissa pääsee eroon. Muistelin että tämä oli jossain vaiheessa herra Järvisellä ongelmana.
VastaaPoista