| 1.2, Аноним (2), 09:59, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– | |
> так как автоматическая проверка владения доменами прошла через подменённые хосты.
А можно чуть подробнее для тех кто в танке?
| | |
| |
| 2.13, Аноним (13), 10:36, 02/09/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
Это то вполне понятно. Анонсировали что сети XX.YY.ZZ.MM/MM которые принадлежали компании находятся по другому маршруту другого провайдера и подсунили своё оборудование, а после этого получить сертификат уже дело совсем несложное.
Интересно другое как BGP-анонс то прошел?
| | |
| |
| 3.17, Pahanivo (ok), 11:05, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Как как - или роутер на стыке сломали, или к аккаунту RIR доступ получили, или у оператора админ тупой зумер. Вариантов масса.
| | |
| |
| 4.143, Meta (?), 20:36, 08/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Так а ttl же поменяется и так можно их хайджэк палить.
Во лошары а.
| | |
|
| 3.18, пох.. (?), 11:16, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Интересно другое как BGP-анонс то прошел?
подвальный LIR не фильтровал анонсы от своих хомячков. А неподвальным и не полагается так делать.
| | |
| |
| 4.23, Tron is Whistling (?), 12:39, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Подвальный LIR подключены к неподвальным LIR как апстримам.
Да, ты правильно догадался - не фильтрует полностью никто :)
| | |
| |
| 5.43, пох.. (?), 16:02, 02/09/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
если неподвальные апстримы начнут фильтровать - ничего работать и не будет, не напасешься априорных знаний кто кого анонсит (все истории с фильтрами по райповой базе кончаются одинаково - односторонней проходимостью и смачными звиздюлями от начальников - а в той хотя бы некоторое время назад пытались поддерживать порядок)
а вот подвальный, у которого два клиента и то один фейковый, чтоб лир оформить - вполне может и должен следить за их кривыми руками. (а не будет - они еще и его траффик сопрут, поанонсив на ix) Тем более что он как раз прекрасно знает что это тупиковые местечковые лиры и никаких реальных клиентов у них нет и быть не может.
| | |
|
|
| 3.27, Аноним1234 (?), 13:24, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ничего не понял. То есть провайдер интеренета фирмы Let's encrypt, подменив IP адреса может получить все серфтификаты Let's encrypt? Это так просто?
| | |
| |
| 4.28, Аноним (28), 14:00, 02/09/2026 [^] [^^] [^^^] [ответить]
| +8 +/– | |
Нет. Речь о том, что любой* владелец AS может анонсировать у себя любой ip-адрес, и тем самым обмануть проверку владения от LE и других подобных УЦ.
*ну не прямо любой, но очень у многих может получиться так сделать
| | |
| 4.58, Ivan_83 (ok), 17:13, 02/09/2026 [^] [^^] [^^^] [ответить] | +5 +/– |  Нет В интернете есть AS - автономные системы Они друг с другом совокупляются н... большой текст свёрнут, показать | | |
| |
| 5.65, 1 (??), 17:56, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Вот атакующие взяли и сказали в BGP анонсе: а вот сеточка с серверами Virtualizor находится у нас, у нас прям прямой стык с ними. И глобально таблица маршрутизации перестроилась и к ним полился трафик
Ну как бы что там куда полилолось, это еще надо разбираться. Валидный анонс-то никуда не делся.
| | |
| |
| 6.67, Ivan_83 (ok), 18:20, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Валидный анонс и забрал на себя часть трафика, ибо его маршрут был короче для некоторых стыков.
| | |
|
| 5.69, Tron is Whistling (?), 18:52, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
> Любая AS может сказать: у меня есть 0.0.0.0/0 на прямом стыке (длинна
> маршрута 1)
Не может, учите матчасть. Более специфичные префиксы будут превалировать.
| | |
|
| 4.82, Tron is Whistling (?), 08:28, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ничего не понял. То есть провайдер интеренета фирмы Let's encrypt, подменив IP
> адреса может получить все серфтификаты Let's encrypt? Это так просто?
Да. К сожалению, да. Апстрим летсшиткрипта запросто может прикинуться любым адресом и доменом.
| | |
| |
| 5.88, Аноним1234 (?), 11:05, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Так а почему так? Нужели при продлении сертификата они не требуют быть владельцем приватного ключа?
| | |
| |
| |
| 7.129, Аноним1234 (?), 10:43, 07/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Заново выписываемый сертификат связывается с предудыщим закрытм ключём или генерируется новый? Если используется старый (предыдущий), то почему при новом генерации нового сертификата не проверять владеете ли вы старым ключём?
| | |
|
|
| 5.132, Аноним (-), 01:03, 08/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Да. К сожалению, да. Апстрим летсшиткрипта запросто может прикинуться любым адресом и
> доменом.
На третий день^W год^W десятилетие Зоркий Глаз начал догадываться о секурити протоколов TLS/SSL :)
| | |
| |
| 6.138, Tron is Whistling (?), 09:44, 08/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> На третий день^W год^W десятилетие Зоркий Глаз начал догадываться о секурити протоколов TLS/SSL :)
С протоколами проблем нет. Ну почти :D
А вот с PKI есть.
| | |
|
|
|
| 3.94, Аноним (-), 14:27, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Анонсы BGP обычно не подписываются ведь.
А ведь существует BGPsec...
| | |
|
|
| 1.5, онанист (?), 10:19, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –14 +/– | |
Атакующие смогли получить через сервис Let's Encrypt корректные TLS-сертификаты
кто тут был против минцифры? :-)
| | |
| |
| 2.9, Аноним (13), 10:28, 02/09/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
> кто тут был против минцифры? :-)
А минцифра тут нифига не поможет. У минцифры есть практически полный аналог LetsEncrypt (отличия что нету автоматического получения для поддоменов).
| | |
| |
| 3.21, Tty4 (?), 12:12, 02/09/2026 [^] [^^] [^^^] [ответить]
| –6 +/– |
Вы ошибаетесь. Не буду говорить про Минцифры (как говорится, рыба гниёт с головы), но получение сертификатов к домену по паспорту заиграло другими красками
| | |
| |
| 4.41, А ноним (?), 15:07, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Какая разница по паспорту или нет. Тов. майор придёт в ваше "минцыфры" и заставит их выпустить корректный сертификат на поддельный сайт, или просто заберёт приватные ключи. И ваш трафик будет расшифровывать митмом, когда понадобится.
| | |
| |
| 5.57, Ivan_83 (ok), 17:06, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Так оно везде так, CA не защищает преступников или подозреваемых.
| | |
| |
| 6.146, Товарищ майор (??), 12:32, 10/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Вопрос лишь в том, кого считать преступником. Где-то и за отсутствие платка на голове можно статью получить...
| | |
|
| 5.92, Аноним (92), 12:33, 03/09/2026 [^] [^^] [^^^] [ответить]
| +3 +/– |
это вы про германских майоров? которые jabber подменяли на свой сайт?
| | |
|
|
|
| 2.14, Аноним (14), 10:39, 02/09/2026 [^] [^^] [^^^] [ответить]
| –5 +/– |
Что толку выть на сертификаты минцифры, гораздо действеннее будет продемонстрировать левый сертификат, скажем, для goggle.com, с корректной подписью этой самой минцифры. Это убедит кого угодно. А без этого страшилка не выглядит убедительной.
| | |
| |
| 3.16, Pahanivo (ok), 11:02, 02/09/2026 [^] [^^] [^^^] [ответить]
| –3 +/– |
Большой брат сделает это с легкостью, ибо минцифра в их юрисдикции, да и без разрешения большого брата они бы и сертификаты не смогли делать в принципе. Один нюанс - они ничего не демонстрируют и не афишируют, там все негласно.
| | |
| |
| |
| 5.33, МИСАКА (?), 14:47, 02/09/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
просто не подменять сертификаты при фингерпринте яша лава браузера, остальные даже и не узнают, ибо только яша лава умеет стучать на CT минцифры
что тоже не прям проблема, исходники то закрыты, верим на слово
| | |
| |
| 6.81, localhostadmin (ok), 08:16, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
 сертификат надо дать до того, как потекут данные по http. что ты фингерпринтить собрался? либу, которая обеспечивает tls?
| | |
| |
| 7.97, МИСАКА (?), 19:32, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
> сертификат надо дать до того, как потекут данные по http. что ты
> фингерпринтить собрался? либу, которая обеспечивает tls?
Именно так, даже не доходя до передачи можно узнать много чего интересного о клиенте и его tls либе. Особенно если один конкретный клиент модифицирован определенным уникальным образом
| | |
|
|
|
| 4.24, Аноним (24), 12:45, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Пока что мы увидели, что Летшиткрипт легко выдаёт левые сертификаты для взлома инфраструктуры.
| | |
| |
| |
| 6.106, Аноним (106), 04:25, 04/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
В новости четко и ясно написано, сто LE выдали левый сертификат, и им за это ничего до сих пор не стало.
| | |
| |
| 7.147, Товарищ майор (??), 12:36, 10/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
LE выдал сертификат по правилам LE. Он не выдал его тому, кто запросил сертификат с левого IP или пришёл с маски-шоу в офис LE.
| | |
|
|
|
|
|
| 2.26, Ivan_83 (ok), 13:06, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Это против LE и прочих помоек что выдают кому попало валидные серты за бесплатно.
| | |
| |
| 3.44, пох.. (?), 16:03, 02/09/2026 [^] [^^] [^^^] [ответить]
| +6 +/– | |
как будто если они начали бы выдавать их кому попало за деньги, стало б лучше?
| | |
| |
| 4.48, Ivan_83 (ok), 16:17, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Раньше серт предполагал валидацию, так что не достаточно было разрезать провод и угнать карточку или купить подарочную за крипту и оплатит ей серт.
| | |
| |
| 5.50, пох.. (?), 16:26, 02/09/2026 [^] [^^] [^^^] [ответить] | +1 +/– | раньше были разные уровни этой валидации - для стартssl достаточно было email н... большой текст свёрнут, показать | | |
| |
| 6.51, Ivan_83 (ok), 16:55, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Просто кое кто поимел два в одном:
1. посторонним стало сложно лазать в трафик - всё стало TLS хотя до того всегда было plain text
2. когда надо и есть возможность вклинится стало легко себе такой серт сделать без всяких бумажных и прочих следов. Но тут надо учитывать контекст - большинство сервисов где то у них и вклиниватся туда могут только они.
> И банк без такой галочки выглядел... угребищно.
Так для банков и делалось.
Почта часто была у провайдера - туда вклиниватся было некому практически.
А больше оно нигде и не надо было - ничего ценного не передавалось, да и сейчас не передаётся.
| | |
| |
| 7.55, пох.. (?), 17:02, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
теперь вот товарщ майёр тоже могутъ.
Причем тоже - ну даже ж сбер барахтался до последнего. Но нет. Загнали таки всех обратно за колючку, чтоб не высовывались.
| | |
| |
| |
| 9.64, пох.. (?), 17:50, 02/09/2026 [^] [^^] [^^^] [ответить] | +/– | у товарищмайёра теперь свой сервер Накоси выкуси а ему теперь и не надо - серт... текст свёрнут, показать | | |
|
|
|
|
| 5.91, хрю (?), 12:27, 03/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>Раньше серт предполагал валидацию
1. Никогда серт не предполагал никакой особо валидации.
2. Серт на текущий момент вообще с безопасностью слабо связан - с таким кол-вом рутовых сертов, он стал тупым средством контроля и ничем больше.
| | |
| 5.148, Товарищ майор (??), 12:49, 10/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Раньше большая часть трафика шла вообще без шифрования. Взломал любой DNS-сервер и перенаправляй трафик куда хочешь и ни кто не чухнется, пока бабки списывать не начнут.
LE очень сильно усложнил взлом. Теперь нужно либо ломать сам сервер, либо BGP, либо сервера LE. Площадь атаки сократилась, а средняя квалификация защитников выросла. И это чисто организационные меры.
| | |
|
|
|
| 2.31, Аноним (31), 14:36, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Вы так ноете, будто LE - причина того что у них трафик угнали, а не результат уже угнанного трафика. И будто в тут уже половина хомячков не давит на "я согласен что серт недоверенный" ежедневно благодаря всё той же минцифре и соучастникам
| | |
| |
| 3.52, Ivan_83 (ok), 16:58, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Никого ваши проблемы с минцифрой не интересуют вообще.
Проблема в том, что TLS должен был гарантировать что клиент подключился куда надо, но благодаря тупой политике выдаче без подтверждений LE выдаёт любому сертификаты на автомате, полностью обесценивая вообще всё.
И попутно ещё и EV серты грохнули по сути.
Как итог теперь те кто заботится об секурности своих продуктов будет пинить свои собственные серты и не будет полагатся на CA. Но таких будут единицы, возможно теперь на одного больше.
| | |
|
| 2.32, Аноним (32), 14:42, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
До выкидывания LE из всех браузеров с отзывом всех кросс-сертификатов осталось три... два..., Oh, shit! Это же нога, кого надо нога! Потому все "специалисты по безопасносте" засунут свои языки поглубже и скажут что ничего не случилось.
| | |
| |
| 3.73, penetrator (?), 20:57, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
давай я пойду на godaddy подсунем ему фейковый сервер по нужному DNS и он запросто выдаст тебе DVC, и чё? ... через плечо
| | |
|
| 2.37, Аноним (37), 15:04, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> кто тут был против минцифры? :-)
Все, абсолютно все адекватные люди, которые ходя бы минимально разбираются что такое корневой сертификат и что такое государство.
| | |
| |
| 3.54, Ivan_83 (ok), 17:02, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
И да и нет.
Да - потому что гоуслуги и прочие гос сервисы вам всё таки нужны, и другого способа гарантированно их делать вам доступными не существует.
Нет - потому что они так же как и все будут злоупотреблять этим и быстро спалятся из за криворукости с одной стороны и приличного тех уровня с другой стороны (против кого оно будет).
Как итог те кто внутри страны или забил вовсе и пользуется куяндекс бравсером или имеет отдельный профиль в браузере с сертом минциыфры.
Тем что за пределами рф - пофик, можно серт ставить хоть в систему.
| | |
| |
| 4.121, Tron is Whistling (?), 09:17, 06/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Спокойно живу без этих сервисов, проблем не ощущаю.
Два раза стопать в пятилетку ножками за какой-нибудь справкой не напряжно.
Не, если на пособиях живёшь - дело другое.
| | |
| 4.149, Товарищ майор (??), 12:54, 10/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Госуслуги спокойно работают на нормальных сертификате, без поделия минцензуры. В текущий момент оно не нужно.
| | |
|
|
|
| 1.8, Аноним (8), 10:27, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –6 +/– | |
> Атакующие смогли получить через сервис Let's Encrypt корректные TLS-сертификаты для доменов Softaculous, так как автоматическая проверка владения доменами прошла через подменённые хосты.
Ну-ка, напомните, на чьих сертификатах сидят Госуслуги?
| | |
| |
| 2.11, Аноним (8), 10:30, 02/09/2026 [^] [^^] [^^^] [ответить]
| –4 +/– |
Ууу, блин, уже на Глобалсайне. А одно время были на летсенкрипте.
| | |
|
| |
| 2.15, Аноним (15), 10:57, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
как это должно происходить, пачку подписывать смысла нет, так как дерево провайдеров и каждый добавляет свои сети, каждый маршрут подписывать железо расплавится хэши проверять, хотя асики после майнинга дешевенькие должны быть, но блин это же опять 5ти этажные здания набитые асиками которым нужна собственная аэс, а водичкой из системы охлаждения асиков обогревать ближайший город...ценник будет такой что смысла нет, дешевле вот так, всем компенсировать постфактум
| | |
| |
| 3.76, Аноним (76), 00:39, 03/09/2026 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> как это должно происходить
При помощи уже опубликованных утилит, написанных за вас. Без обогрева асиками. Осталось только встать с дивана и попросить ллм сделать.
| | |
| |
| 4.93, Аноним (93), 13:45, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
ну попроси ллм прикрутить уже опубликованную утилиту к старой циске, ой а оно не может, как же так, могу встать с дивана чтобы ты мне оплатил покупку новой железки, ок?
| | |
| |
| 5.104, Аноним (76), 02:07, 04/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> ты мне оплатил покупку новой железки
У тех, у кого нет денег на "новую" (это моложе 10 лет) железку, у тех и на AS денег нет, и уж тем более на анонсы, которые надо подписывать. Всё именно вот так вот просто. Можешь продолжать лежать дальше.
| | |
|
|
|
| 2.19, пох.. (?), 11:18, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
их незачем подписывать - они не с паблик wifi принимаются.
Т.е. автор мусорного анонса - известен. И тот дятел который от него такое принял - тоже. И хрен ли ты ему вот сделаешь, он вообще в другом городе.
| | |
| |
| 3.105, Аноним (76), 02:10, 04/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну вот чтобы не надо было в другом городе ничего делать, подписывать и надо. И фильтровать в обе стороны.
| | |
|
|
| 1.25, Ivan_83 (ok), 13:04, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
Ждём того же самого для самого супербизапасного языка который все безопасно ставят через безопасный curl | sh.
| | |
| |
| 2.56, пох.. (?), 17:05, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Ждём того же самого для самого супербизапасного языка который все безопасно ставят
> через безопасный curl | sh.
да кому он нахрен сдался-то... дрова ради него пилить.
| | |
| |
| 3.61, Ivan_83 (ok), 17:21, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Так там куча инсталлов в сутки, это ж сколько лулзов и бабла можно поднять.
Получше будет чем npn или питоны с рубями подменять.
| | |
| |
| 4.63, пох.. (?), 17:24, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
какие лулзы, какое бабло, ты о чом - куча инсталлов это конь тинус дезинтегрейшн пайплайны на шитхабе и у васянов в шитляпе.
Нахрен они не нужны и результат через пять минут удаляется автоматом.
Вон кто-то аж в uutils подкинул - и чо? И ничо. Те два десятка автобилдов никто даже и не собирался скачивать.
| | |
| |
| 5.68, Ivan_83 (ok), 18:24, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
В пайпах тоже многое утащить можно.
Некоторые и себе на систему его так ставят, если достаточно долго продержится незамеченным то таких попаданцев тоже будет не мало. Видимо надо подгадать на дату резлиза, чтобы и хомяков собрать и мимокешей с пайпы пролезть :)
uutils - да кому оно надо то.
| | |
|
|
|
|
| 1.29, опеншлёпивпродакшн (?), 14:14, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Интересно, как они BGP ломанули. Вроде же нужно вышестоящую инфраструктуру сломать. Точку обмена трафиком интернета.
В любом случае перехватом трафика никого не удивить. Слабое место здесь явно не BGP. Кто-то, например, может банально врезаться в провода. Мне кажется самым слабым местом механизмы установки софта - через HTTPS, без крипографической подписи пакетов ПО.
| | |
| |
| 2.30, Аноним (30), 14:31, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Мне кажется самым слабым местом механизмы установки софта - через HTTPS, без крипографической подписи пакетов ПО.
А не кажется слабым местом подписание реальными сертификатами вредоносного ПО?
| | |
| 2.35, МИСАКА (?), 14:53, 02/09/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
зачем ломать BGP если он и так архитектурно сломан в своей концепции
| | |
| |
| 3.103, Аноним (76), 02:05, 04/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ну-ка ну-ка, поясни подробнее пожалуйста. Что там, говоришь, сломано?
| | |
|
| 2.46, Ivan_83 (ok), 16:14, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Нет, проблема в том, что TLS нынче не доверенное совсем и любой школотрон врезавшийся посредине может навыписывать себе таких сертов сколько угодно.
Именно TLS должен был гарантировать то что ты обращаешься к тому кому принадлежит домен.
Подпись пакетов это другой уровень защиты, который не зависит от способа доставки и работает в том числе при передаче через флешки.
| | |
| |
| 3.53, Аноним (36), 16:59, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
вам TLS не нужен если ваш пакет (ПО) подписан, достаточно обычного HTTP.
| | |
|
|
| 1.34, Alex (??), 14:50, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Побольше таких инцидентов и по жестче. Как же все таки убого выглядит централизованный интернет. Пока эту телегу не сломают нормального ничего не появится.
| | |
| |
| 2.39, Аноним (37), 15:06, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Как же все таки убого выглядит централизованный интернет.
Езжайте в КНДР - там и интернет свой. Или слабо?
| | |
| |
| 3.45, пох.. (?), 16:04, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
а зачем так далеко ехать-то? тут скоро тоже будет - свой. Ихний в смысле. Не наш.
в целом уже почти.
| | |
| |
| |
| 5.62, Ivan_83 (ok), 17:23, 02/09/2026 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Вы опять про свои боли.
Изначально же написали: проблема в централизации интернета.
(хотя я не согласен с этим, централизация отдельная проблема и тут не причём)
Причём тут КНДР?!
| | |
|
|
| 3.71, Аноним (71), 20:46, 02/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Он там тоже централизованный. Вы точно поняли то на что отвечаете?
| | |
|
| 2.112, Аноним (76), 18:25, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> централизованный интернет
Такого не существует, Интернет по своей архитектуре децентрализованный, это по сути правила сопряжения независимых автономных систем. Вот централизация сервисов в интернете это другой вопрос, но тебя ими никто не заставляет пользоваться. Можешь хоть сегодня зарегистрировать свою AS, наладить каналы с такими же энтузиастами, и полностью игнорировать все централизованные сервисы. А если энтузиазма у вас хоть отбавляй, то можешь даже не регистрировать ничего у буржуинов, взять первый понравившийся номер и с друзьями пириться по независимым каналам.
| | |
|
| 1.66, Аноним (66), 18:02, 02/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А Cloudflare давно уже шатает лодку на тему подписей BGP-анонсов, но большинство "админов" "автономных" " систем" не осилили даже на элементарном уровне.
| | |
| |
| 2.74, penetrator (?), 21:15, 02/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
надо шатать лодку на SPKI pinning с опциональным DNSSEC записью SPKI хеша, но даже без DNSSEC уже было бы невозможно провести массовую аттаку
| | |
| |
| 3.78, Ivan_83 (ok), 01:39, 03/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
Прибивание сертов через DNSSec - это стреляние в ногу, ибо при малейшем нарушении процедуры и ваши клиенты к вам не подпадут потом неделю. А обновлять серты щас будут заставлять раз в ...короче часто, те катастрофа постоянно будет случатся то тут то там.
Это раз.
Два - если DNS сервера будут в той же сети которую угнали то они отдадут всё что нужно. Да, ключей у них не будет от зоны, но они сделают вид что никакого DNSSec там больше нет.
| | |
| |
| 4.79, penetrator (?), 03:05, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
DNS валидацию делать, если запиненый ранее не совпадает, или в первый раз для пруфа
можно принудительно требовать DNSSec и иметь настройку
но даже если нет, то таргетированная атака возможна под конкретного юзера, но уже не ковровая как в статье
| | |
| |
| 5.80, Ivan_83 (ok), 06:50, 03/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Пининг сертификатов через DNSSec - это костыль который проистекает из утраты доверия к СА инфраструктуре. И как я выше написал это error prone way.
| | |
| |
| 6.89, penetrator (?), 12:15, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
> Пининг сертификатов через DNSSec - это костыль который проистекает из утраты доверия
> к СА инфраструктуре. И как я выше написал это error prone
> way.
это не костыль, это новый уровень безопасности, сомневаюсь что ты готов хранить свои пароли в некой среде облачной, даже если она не утратила доверие
| | |
| |
| 7.95, Ivan_83 (ok), 15:54, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
CA это не хранение паролей, это скорее соли от паролей которые позволяют убедится что пароль ты знаешь.
Нового уровня безопасности я тут не вижу в упор.
В теории дали возможность пинить сертификаты в браузерах (а больше никто и не запаривался), на практике пользоватся этим не удобно и проще выпустить какое то своё приложение где нужные серты будут в коде запинены.
| | |
|
|
|
| 4.101, Аноним (76), 01:59, 04/09/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> при малейшем нарушении процедуры
Ну так ты не нарушай процедуру, и не будет проблем. Там несложная процедура в общем-то, не сложнее получения сертификата через LE. Нужен всего лишь скрипт на баше, чтобы и процедура, и тесты сразу в нём же были, выполняй его по крону, и настрой алерт, чтобы если скрипт не exit 0, то сразу дежурного будил. Это несложно, один раз пишешь и можешь ZSK и KSK потом менять хоть каждый TTL.
> сделают вид что никакого DNSSec там больше нет
HTTPS без DNSSEC бессмысленен (что и было продемонстрировано), да и вообще DNSSEC должен быть по умолчанию включён, с унизительным opt-out через регистратора домена, который надо подтверждать каждые 30 дней. Надеюсь клаудфлеры-амазоны "по просьбам трудящихся" займутся.
| | |
| |
| |
| 6.113, Аноним (76), 18:29, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Да я в курсе проблемы, и там даже нашёл тот, который я устроил, нарушив процедуру: вместо того чтобы починить и протестировать скрипт в лабе поспешил и полез вручную делать. Что лишний раз подтверждает мой тезис: не нарушай процедуру, не будет проблем.
| | |
| |
| 7.119, Tron is Whistling (?), 09:14, 06/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Если процедура устроена как rocket science - она будет нарушаться везде и всегда.
За исключением полтора контор с овер 9000 персонала за бюджет, которые смогут освоить.
Такие дела.
| | |
| 7.120, Tron is Whistling (?), 09:15, 06/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Но самое поганое в том, что мелкое нарушение в данном случае приводит к неефеерическим последствиям. Это тот самый случай, когда инициатива во вред, и проще забить на мелкие проблемы без неё, чем испытывать масштабные последствия.
| | |
|
|
|
|
|
| 2.83, Tron is Whistling (?), 08:30, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Пусть вендоров железа шатает на выпуск фирмвари, способной на эти подписи.
Пока что даже RPKI в лучшем случае у 70%.
| | |
| |
| 3.100, Аноним (76), 01:46, 04/09/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Пусть вендоров железа шатает на выпуск фирмвари, способной на эти подписи.
Да как бы всё актуальное железо умеет. Там где эти подписи принесут максимальную пользу умеет точно.
> Пока что даже RPKI в лучшем случае у 70%.
Если у 70% всё будет грамотно настроено, то оставшимся 30% можно будет никуда не торопиться, угон сети будет практически невозможно скрыть.
| | |
| |
| |
| 5.108, Аноним (76), 18:10, 04/09/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
У меня нет в проде сетевого железа старше 14 лет. P95 -- 8 лет. Бросайте сидеть на б/у с ебея.
| | |
| |
| 6.109, Tron is Whistling (?), 23:27, 04/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Ладно, хорош.
Аппаратных роутеров, поддерживающих BGPsec, в природе не существует.
Потому что даже за рамки эксперимента оно ещё не вышло.
Такие дела.
| | |
| |
| 7.114, Аноним (76), 18:37, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
Я про RPKI. BGPsec мы и вправду уже не дождёмся, ASPA раньше выкатят, циска уже предлагает попробовать.
| | |
| |
| |
| 9.125, Аноним (76), 03:48, 07/09/2026 [^] [^^] [^^^] [ответить] | +/– | Cloudflare шатает трубу не на конкретную технологию, а на смену подхода в принци... большой текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
| |
| 2.90, penetrator (?), 12:17, 03/09/2026 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Я так понимаю CAA записей и проверки домена DNSSEC не было?
и что это даст? ничего? ааа
у тебя физически становится два сервера с одним и тем айпи, и часть трафика идет к твоему фейковому серверу
| | |
| |
| 3.96, sigprof (ok), 18:35, 03/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
 Если бы Let's Encrypt (или любой другой CA, участвующий в Web PKI) получил запись CAA и обнаружил, что выдача сертификатов для домена этим CA не разрешена, он бы не выдал сертификат даже при перехвате трафика к серверу. В этом случае потребовалось бы перехватывать трафик ещё и к DNS-серверам, которые могли находиться в какой-то другой сети (причём, возможно, в достаточно крупной и более защищённой от BGP hijacking); а в случае, если бы использовался ещё и DNSSEC, не сработало бы даже это.
Для случая, когда легитимные сертификаты тоже получаются в Let's Encrypt, там поддерживается расширение accounturi — при его использовании для получения фейкового сертификата от LE потребовалась бы компрометация секретного ключа учётной записи LE.
| | |
| 3.102, Аноним (76), 02:01, 04/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> у тебя физически становится два сервера с одним и тем айпи, и часть трафика идет к твоему фейковому серверу
И твой мониторинг такой: ай-ай-ай rogue server detected! Хотя, мониторинг должен был бы и левые анонсы заметить в таком случае, и выдачу сертификата вне очереди. Мда. Действительно ничего не даст. Проблема системная.
| | |
| |
| 4.111, penetrator (?), 18:07, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– |
>> у тебя физически становится два сервера с одним и тем айпи, и часть трафика идет к твоему фейковому серверу
> И твой мониторинг такой: ай-ай-ай rogue server detected! Хотя, мониторинг должен был
> бы и левые анонсы заметить в таком случае, и выдачу сертификата
> вне очереди. Мда. Действительно ничего не даст. Проблема системная.
твой мониторинг обнаружит левый сервер, если до него анонс левого сервера дошел
а если не дошел, то ты будешь чекать свой собственный
но допустим как ты собираешься чекать аутентичность сервера? я не говорю, что невозможно, я говорю как ты это видишь, чтобы бросаться такими коментариями?
| | |
| |
| 5.115, Аноним (76), 18:40, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> твой мониторинг обнаружит левый сервер, если до него анонс левого сервера дошел
Глобальный мониторинг маршрутов давно доступен как дешёвый сервис, если нет желания свой строить.
> как ты собираешься чекать аутентичность сервера?
Своего-то? Залогинился и посмотрел.
| | |
| |
| 6.116, penetrator (?), 19:18, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Своего-то? Залогинился и посмотрел.
проксирование до настоящего сервера через левый никто не отменял
| | |
| |
| 7.127, Аноним (76), 04:02, 07/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> проксирование до настоящего сервера через левый никто не отменял
Ну спроксировал ты зашифрованный трафик. Спасибо, конечно, но не стоило напрягаться. У нас же серьёзно всё, а не "StrictHostKeyChecking accept-new", так ведь?
| | |
|
| 6.117, penetrator (?), 19:49, 05/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Глобальный мониторинг маршрутов давно доступен как дешёвый сервис, если нет желания свой строить.
не думаю что так уж оно дешево, BGP tools 25 фунтов в месяц
а если все в одном включая аптайм, то от Catchpont от 10 тыс USD в год
остальные вообще не дают публично цены
| | |
| |
| 7.128, Аноним (76), 04:08, 07/09/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> не думаю что так уж оно дешево, BGP tools 25 фунтов в месяц
Не деньги. На кофе за месяц больше уходит.
> а если все в одном включая аптайм, то от Catchpont от 10 тыс USD в год
Всё ещё не деньги, уборка офиса в год больше стоит. Но если так жмёт, можно найти промежуточный вариант: покупать полную таблицу роутинга у ближайшего магистрального провайдера и следить самому. Мы так делаем. Линукс, bird, пара скриптов на баше, вот и весь мониторинг.
> остальные вообще не дают публично цены
Ну так напиши и спроси. У тебя рабочего емейла нет?
| | |
|
|
|
|
|
|
| 1.99, Аноним (99), 22:10, 03/09/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А потому что нельзя распространять сертификаты шифрования через те же каналы, которые шифруем... нужно ножками сходить к владельцу корневого сертификата, и на флэшке принести нужно.
| | |
|
