Newsgroup: it.comp.sicurezza.varie
Titolo: Re: C'è una "lobby" dei certificatori SSL?

 sito di phishing?
 
Si. Cmq a meno che il tuo sito vetrina non sia parcheggiato in un hosting 
vetusto con letsencrypt il certificato è gratis e si configura in uno 
snap.
 
Non ho ancora capito se Google&Co promuovono l'https everywhere in quanto 
paladini del web sicuro, o se c'è qualcosa sotto. 
E quello che non ho capito è cosa succederà il giorno che si romperà 
letsencrypt, credo ci sarà da divertirsi.
 
g4b0
 

 sito di phishing?
 
Non credo che si riferiscano alla pagina inquietante che compare quando
cerchi di aprire siti sospettati di phishing (che sicuramente sarebbe
eccessiva) quanto piuttosto alla relativamente "sobria" segnalazione
riportata sulla barra dell'indirizzo:
 
https://www.netregistry.com.au/blog/site-considered-secure-by-google/
 
 
In pratica accorperanno il caso 2 con il 3.
 
-- 
Fletto i muscoli e sono nel vuoto.

 interattività... una vetrina... a che serve l'https?
 
Ma il browser dovrebbe sapere cosa c'è dentro, secondo te? 
 

 indipendentemente dal suo contenuto"
 
E quale sarebbe il problema.
Suppongo che Chrome abbia la selezione per ignorare questa
nuova funzione, ed anhe se Chrome non lo permettesse, non e'
obbligato ad usare Chrome o Firefox (un altro con questa
funzionalita', gia' da alcuni anni).
 
Google punta a selezionare una certa clientela "tranquilla", gli
altri possono fare a meno di utilizzare i suoi prodotti.
 
Non capisco certe reazioni, neanche Google fosse finanziato
con le tasse (ovvero con un prelievo *obbligatorio* da chiunque)
ovvero di vostra proprieta' oppure fosse in monopolio. giuridico.
 
...snip...
 

ancora prima di collegarcisi
 
...e così sa che nel primo caso gli arriverà del codice HTML, mentre nel
secondo caso invece gli arriverà del codice HTML.
 
(Che poi potrebbe caricare altro HTML, del javascript, magari Flash...)
 
Bisogna capire il browser, se non ce la fa a distinguere ;-D
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

visitatori chrome che verranno spaventati dall'alert
 
O mettere un certificato gratuito di Letsencrypt
 
O considerare che quei visitatori avranno visto milioni di siti
con lo stesso warning e ormai non ci fanno più caso
 
...certo, se tutti sono riusciti a installare SSL tranne te, io
due domande me le farei, ma altrimenti si ritorna al caso 2.


 ...a che serve l'https?
 
L'http invece? Hai bisogno di mostrare il traffico in chiaro a tutti
i router in cui passa il pacchetto IP?
Se quella è la tua necessità ti serve l'http, altrimenti è inutile.

 ancora prima di collegarcisi
 
Non ci posso credere! Qui si riconosce il vero esperto di informatica...
 

 sa ancora prima di collegarcisi
 
SBRUOTFL !!!
 
Per la serie, non ne capisco una mazza, però ne parlo facendo finta di
essere un esperto; il metodo migliore per fare delle ottime figure !!!
 
 
 
 

 Bisogna capire il browser, se non ce la fa a distinguere ;-D
 
porello, mi viene la tentazione di registrare su uno dei web server un
handler per ".antani" poi magari torno qui e chiedo ad "unili" di
aprire la pagina per vedere cosa "ne pensa" il browser }8^D
 
 

 visitatori chrome che verranno spaventati dall'alert
 
Questo significa che e' finita la cavalcata gratuita con Google.
Molti siti hanno per anni goduto del mercato creato da Google,
senza spendere un euro.
Oggi pare che qualcuno presenti il conto.
 
Della serie, quando finisce la cuccagna ...
 

 Oggi pare che qualcuno presenti il conto.
 
Quale conto? Installare un certificato ssl gratuito?

 Uno ha un sito che è una banale vetrina fatta con frontpage, una
 
E quindi ? Ti prendi un certificato *gratutito*, lo installi, attivi
SSL (https), controlli che funzioni e ti accerti che la versione "http"
del sito rediriga su "https", fine della storia; ci metti al massimo 20
minuti e non ti crea grossi problemi... ovviamente se sai come e dove
mettere le mani, in caso contrario, ti rivolgi a qualcuno che lo faccia
per te; d'altronde, come ho scritto era ORA che qualcuno si decidesse a
fare qualcosa per far passare i siti su SSL; se poi uno è un classico
"cantinaro", affari suoi, di immondizia sulla rete se ne trova talmente
tanta che, uno di meno, non fa danno, anzi.
 

 Questo significa che e' finita la cavalcata gratuita con Google.
 
noto che non hai assolutamente capito nulla della faccenda; ok, non è
un problema mio, però magari, per evitare di fare figuracce, prima di
sparare a zero, documentati
 
ciao
 

 un problema mio, però magari, per evitare di fare figuracce,
 > prima di sparare a zero, documentati
 
(sic!)
 
Alcuni giorni fa ho seguito un corso (di cui mi sono vergognato
a porre la firma all'uscita, rinunciando cosi' ai crediti
formativi) che doveva spiegare un metodo innovativo in uno
dei settori in cui opero. Ebbene, alla fine si e' rivelata
nienta altro che una promo per convincere di passare a tale
metodo "del futuro" (peraltro senza spiegare nulla di pratico)
con richiami alla gaussiana delle innovazione, inviti a non
fare parte di chi resta indietro, la valutazione che chi
non aderisce "e' a rischio", tanto che ci mancava solo il guru
di una setta.
 
Ebbene, il suo ragionamento, condensato poi nella frase che
ho citato, mi ha ricordato proprio tecniche simili.
Peraltro nel mondo Linux abbiamo scontro cronici contro
questi personaggi che vogliono imporre le innovazioni
(correndo dietro a Microsoft, o davanti, ma non cambia la
sostanza), quando cio' che abbiamo funziona. Ovviamente
nel caso Linux, dato che non paghiamo, la critica e'
piu' "soft", ma quando, di fronte a domande razionali,
logiche, cominciano a salire su per gli specchi, allora
la pazienza si esaurisce anche li'. Specialmente se
arriva il cretino a dare dei deficienti a chi "non vuole
seguire la tendenza" (che poi tendenza non e' perche'
e' da loro imposta con le impostazioni di default, ed
i tasti di esclusione e ripristino sempre piu' nascosti,
ora, per esempio, in Firefox, occorre aprire una pagina
con un migliaio di parametri da "manomettere", con
tanto di messaggio sibilini in apertura).
 
Insomma, quelli che lei, che ci vogliono imporre il
vostro modello avanzato, mi stanno decisamente ...
 
Ed agli altri: fatteci caso, figuri come questo, si badano
bene dal spiegare alcunche', ma vi rifilano un "documentati".
 
Tra parentesi, per avere le SSL gratuite occorre
sottoscrivere una licenza (l'ulteriore contratto ...)
.., l'avete letta ?
 

 ancora prima di collegarcisi
 
Hmmm, come ?
 

 connessione non crittata"
 
il che può avvenire indipendentemente dall'estensione della pagina, per
cui il discorso "php" etc. non c'entra una mazza
 
 
 
 

 .., l'avete letta ?
 
 
Non mi risulta che 
https://letsencrypt.org/
 richieda la sottoscrizione
di qualcosa; a quale licenza ti riferisci ?
 
 

 con una connessione non crittata"
 
Ma che cavolo stai dicendo?
Hai presente che ci sono ad es. dei modi per rendere statici anche contenuti 
dinamici generati lato server?
 
Ad ogni modo Let's Encrypt è gratis e i certificati a pagamento partono da meno 
di 20€ all'anno. Per un sito basico non ti serve un EV3.
 
Gabriele
 
 
PS: tolgo il cross-post con "it.discussioni.consumatori.tutela" che sinceramente 
non vedo cosa abbia a che fare.

 
 
Sicuro? Può per cortesia fare un esempio con link?
Perché non è mica detto. Dipende da chi fornisce il servizio.

 .., l'avete letta ?
 
Non so, nel senso proprio che mi sono accorto di aver ricevuto un 
messaggio di posta elettronica relative ad un mio dominio registrato 
presso una ditta tedesca (almeno i miei ricordi cosi' dicono), nel quale 
si parla appunto di SSL per privati.
 
Se interessa, invece di cestinare, verifico il contenuto, la leggo e 
magari posto un riassunto o qualche riga per gli usenettiani interessati.
 



Quello è un altro discorso, se hai un sito in hosting da qualche parte,
chi ospita il sito /potrebbe/ decidere di farti pagare l'attivazione di
SSL; ma in quel caso, si fa prima a mandarli a cag*re e spostare tutto
su altro hosting, e ne esistono parecchi che offrono SSL "di serie" e
con certificati letsencrypt; d'altro canto, se da un lato credo possa
essere giustificato un aumento di spesa per funzionalità aggiuntive,
dall'altro, la disponibilità DI SERIE di funzionalità di sicurezza e
privacy standard, mi sembra sia il minimo
 
Anzi, ti dirò, spero proprio che con questa faccenda di SSL, molti
hosting "cantinari" vadano per aria, sarà MOLTO meglio per tutti.
 

 
 
Quelli offerti assieme all'hosting, tipo Comodo con NameCheap.
Mi pare anche con SiteGround ma ora non ricordo la cifra.
Sennò gratis con Let's Encrypt, ovviamente.


 
Qualsiasi cosa che "se usi equivale ad accettare" e' un
contratto. Vedo che Cambridge Analitica non ha insegnato
nulla oppure lei ci marcia ...
 
PS: cosa c'e' di male in un sito cantinaro ?
 
 
 
 

 PS: cosa c'e' di male in un sito cantinaro ?
 
Una domanda del genere, nel 2018, non merita risposta.
 

 PS: cosa c'e' di male in un sito cantinaro ?
 
Una domanda del genere, nel 2018, non credo meriti risposta.
 

 gprtpaserngfjfhfgf e i domini di privati.
 
non tagliare troppo, ho scritto
 
===================================================================
Fammi capire, vorresti dire che EFF, tramite letsencrypt, raccoglie
informazioni e poi ne fa degli usi oscuri violando la privacy di
coloro che utilizzano il servizio letsencrypt ?
===================================================================
 
e, sinceramente, mi sembra MOLTO strano che EFF faccia una cosa del
genere, quantomento considerando i motivi che hanno portato alla
creazione di EFF in primis
 

 vaneggiamenti.
 
Non ho capito a chi ti riferisci, ad ogni modo, ritengo che sia ora che
i servizi internet (e non solo i siti web) usino connessioni crittate;
se in passato c'erano giustificazioni per non farlo (risorse hardware,
banda limitata) o meglio per farlo solo per determinati scopi, oggi
tali giustificazioni non sono più valide
 
 

 non vedo dove possa essere il problema
 
vado leggermente fuori tema, ma visto che si parla di dati personali,
credo che una lettura di questa roba qui possa essere interessante
 
https://lmgsecurity.com/exposing-the-secret-office-365-forensics-tool/
 
 
https://www.crowdstrike.com/blog/hiding-in-plain-sight-using-the-office-365-activities-api-to-investigate-business-email-compromises/
 
 
in breve, office 365 (e non solo, vedi sotto), MEMORIZZA
(online) e permette di raccogliere dati su TUTTE le operazioni
effettuate da qualsiasi utente
 
Tra l'altro, non solo la funzionalità è documentata (anche se ad una
prima occhiata, non è immediatamente chiaro quali siano le
potenzialità)
 
https://msdn.microsoft.com/en-us/office-365/office-365-management-activity-api-reference
 
 
ma, leggendo attentamente quanto sotto, si scopre che la raccolta dati
(dettagliata al MASSIMO) è attiva anche per Azure, OneDrive e
Sharepoint Online
 
https://support.office.com/en-us/article/Overview-of-data-loss-prevention-policies-1966b2a7-d1e2-4d92-ab61-42efbb137f5e
 
 
alla faccia della "protezione dei dati personali" :P
 
 

 di server falso(*) di un https con certificato fatto con openssl,
 
certo, se non c'è una certification authority, ma non è questo il caso
con i certificati di letsencrypt, anzi, al contrario, con il meccanismo
usato, si evitano anche problemi con revoca e rinnovo
 

 Io lo tengo fermo e tu lo picchi ;-)
 
L'animo del bulletto ...