Re: [新聞] 歐盟打算監聽所有人的網路連線

看板PC_Shopping作者 (soukai)時間5月前 (2023/11/12 01:08), 5月前編輯推噓30(30推 0噓 62→)
留言92則, 26人參與, 5月前最新討論串2/4 (看更多)
大概講一下我的認知跟理解，我不是搞資安的所以有錯請不吝指教 現代網路會透過一個機制來確保傳輸的內容只有你跟對方看到的 方法是透過所謂的不對稱加密，這種加密機制會同時生成公鑰跟私鑰兩種密碼，其中公鑰是 可以任意洩漏的，而私鑰必須保密。而公鑰加密的內容只能用私鑰解密，私鑰加密的內容也 只能用公鑰來解密 以連線到PTT為例，流程大概是 1. 我生成一組公鑰跟私鑰，把我的公鑰交給PTT，同時PTT也會給我他的公鑰 2. 我發送訊息前先用PTT的公鑰把訊息加密，再用我的私鑰再加密一次後跟PTT 3. PTT收到後先用我的公鑰解密，再用他的私鑰解密，這樣可以確保這個訊息是我發送的， 同時只有PTT能看懂訊息內容 4. 反之亦同，我也會用這種機制確保送來的訊息是PTT發送的 但這種機制有個問題，假設有個壞人決定假冒PT T並且想辦法讓你的ptt.cc連接到壞人的伺服器，然後再把你的訊息轉發給真正的PTT，並把 真正的PTT傳來的訊息回覆給你，那你永遠不會發現跟你的話的人根本不是PTT，因為這種狀 況下你一開始拿到的公鑰就是壞人的公鑰，這種手法叫做中間人攻擊 因此我們用另一個協定來確保PTT真的是PTT （先不討論中繼憑證） 要實現這樣的機制必須要有一種被叫做CA的第三方機構，可能是公司也可能是政府機關 流程大概是 1. PTT的伺服器管理員會拿自己的公鑰去跟CA買一張憑證，這張憑證會寫：這張憑證由某某 CA簽發，以及一段被某某CA的私鑰加密過的PTT公鑰。請注意：用這個公鑰加密的訊息只有 真正的PTT的私鑰能夠解密，這是關鍵 2. 你連上PTT ，PTT的伺服器會給你看他的憑證。請注意，這張憑證是公開的，因此任何人 都可以讓自己的伺服器出示PTT的憑證 3. 如果你的瀏覽器信任某某CA（要取得瀏覽器的信任很不容易），那你的瀏覽器會用內建 的某某CA公鑰來解密那段被某某CA的私鑰加密過的ptt.cc公鑰 4. 接著瀏覽器會比對這組解密出來的公鑰跟送來的公鑰是否一致，如果不同就表示這是壞 人的公鑰，會跳出警告或是直接不讓你連線 另外，即使壞人用真正的PTT憑證成功跟你建立連線（前面有說任何人都可以出示PTT的憑證 ），他也無法解密你用PTT 公鑰加密的訊 息，從而保證安全 但如果今天某某CA決定跟壞人合作呢？ 那你的瀏覽器解密出來的公鑰就會是壞人的公鑰，這時比對就會是一致的，然後你就用壞人 的公鑰加密訊息建立連線，於是壞人就可以看懂你的訊息了 一直到有一天有人發現：為什麼我拿到的公鑰跟真正的PTT公鑰長的不一樣，然後把事情鬧 大為止 有什麼技術上的預防方法嗎？目前沒有。 那我們是怎麼克服的呢？ 答案是資本主義 如果CA被發現亂搞，那所有瀏覽器廠商就會不信任這個CA所簽發的憑證，網站管理員就不會 去跟他買憑證，然後就會倒閉，所以這類CA不太敢亂搞 那如果是政府機關類型的CA呢？ 沒辦法，只能取消信任他然後讓他自己玩沙去 例如中國政府的一張憑證CNNIC之前就被發現亂搞，於是主流瀏覽器都不信任他。現在應該 只有中國國 產的那些東西會信任吧 原文也提到一堆國家的憑證都被取消信任了 BTW台灣的政府憑證TWCA目前還是受信任的喔 那這個法案危險在哪裡呢？就是規定瀏覽器廠商不可以取消信任歐盟成員政府的憑證這樣， 嚴不嚴重你各位自己判斷 以下個人心得 我是覺得原文那篇標題稍微有點聳動啦 個人覺得EFF跟Mozilla 的聲明比較合適 但歐盟確實就是我心目中地球第二G8噁心組織 第一是聯合國這樣 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 42.73.236.14 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1699722498.A.45B.html ※ 編輯: FXW11314 (42.73.236.14 臺灣), 11/12/2023 01:09:58 ※ 編輯: FXW11314 (42.73.236.14 臺灣), 11/12/2023 01:15:09
→
11/12 01:18,
原文有人問為什麼法國的憑證也被取消，
11/12 01:18
→
11/12 01:18,
因為他們也亂搞過
11/12 01:18
→
11/12 01:18,
11/12 01:18
推
11/12 01:19,
公鑰加密私鑰解密乃不對稱加密基礎
11/12 01:19
→
11/12 01:21,
私鑰加密公鑰解密，這是？
11/12 01:21
→
11/12 01:22,
應該是每個人都有加密公鑰和解密私鑰
11/12 01:22
→
11/12 01:24,
數位簽章的情況下是反過來的，公鑰解密
11/12 01:24
→
11/12 01:24,
私鑰加密，用來確保內容是私鑰持有人發
11/12 01:24
→
11/12 01:24,
出
11/12 01:24
以下個人心得 我是覺得原文那篇標題稍微有點聳動啦 個人覺得EFF跟Mozilla 的聲明比較合適 但歐盟確實就是我心目中地球第二G8噁心組織 第一是聯合國這樣 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 42.73.236.14 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1699722498.A.45B.html ※ 編輯: FXW11314 (42.73.236.14 臺灣), 11/12/2023 01:09:58 ※ 編輯: FXW11314 (42.73.236.14 臺灣), 11/12/2023 01:15:09
→
11/12 01:18, 5月前 , 1F
原文有人問為什麼法國的憑證也被取消，
11/12 01:18, 1F
→
11/12 01:18, 5月前 , 2F
因為他們也亂搞過
11/12 01:18, 2F
→
11/12 01:18, 5月前 , 3F
11/12 01:18, 3F
推
11/12 01:19, 5月前 , 4F
公鑰加密私鑰解密乃不對稱加密基礎
11/12 01:19, 4F
→
11/12 01:21, 5月前 , 5F
私鑰加密公鑰解密，這是？
11/12 01:21, 5F
→
11/12 01:22, 5月前 , 6F
應該是每個人都有加密公鑰和解密私鑰
11/12 01:22, 6F
→
11/12 01:24, 5月前 , 7F
數位簽章的情況下是反過來的，公鑰解密
11/12 01:24, 7F
→
11/12 01:24, 5月前 , 8F
私鑰加密，用來確保內容是私鑰持有人發
11/12 01:24, 8F
→
11/12 01:24, 5月前 , 9F
出
11/12 01:24, 9F
推
11/12 01:28, 5月前 , 10F
數位簽章的邏輯確實有點繞XD
11/12 01:28, 10F
※ 編輯: FXW11314 (42.73.236.14 臺灣), 11/12/2023 01:31:31
→
11/12 01:32, 5月前 , 11F
…手機把文改壞了有空再來修
11/12 01:32, 11F
推
11/12 01:34, 5月前 , 12F
不準換CA就換瀏覽器 沒瀏覽器換就換政府
11/12 01:34, 12F
推
11/12 01:35, 5月前 , 13F
簡單翻譯 https 加密和CA數位簽章都掰掰
11/12 01:35, 13F
→
11/12 01:35, 5月前 , 14F
？
11/12 01:35, 14F
→
11/12 01:38, 5月前 , 15F
沒有，技術上歐盟沒有新增任何問題，今
11/12 01:38, 15F
→
11/12 01:38, 5月前 , 16F
天沒有這個法案TLS的問題還是存在。而
11/12 01:38, 16F
→
11/12 01:38, 5月前 , 17F
最簡單的解決方法就寫個plugin讓拿歐盟
11/12 01:38, 17F
→
11/12 01:38, 5月前 , 18F
政府CA憑證的網站通通跳警告就好
11/12 01:38, 18F
→
11/12 01:58, 5月前 , 19F
用ptt當例子不太好
11/12 01:58, 19F
→
11/12 02:07, 5月前 , 20F
欸對欸我自己是都用wss連線，忘了PTT還
11/12 02:07, 20F
→
11/12 02:07, 5月前 , 21F
有SSH…
11/12 02:07, 21F
推
11/12 02:33, 5月前 , 22F
感謝
11/12 02:33, 22F
推
11/12 02:47, 5月前 , 23F
11/12 02:47, 23F
→
11/12 02:48, 5月前 , 24F
加密協定的原理可以參考這篇YT
11/12 02:48, 24F
推
11/12 03:18, 5月前 , 25F
有解說推
11/12 03:18, 25F
推
11/12 03:21, 5月前 , 26F
現在瀏覽器幾乎都開源的,要寫死CA彈性
11/12 03:21, 26F
→
11/12 03:22, 5月前 , 27F
很容易就被破解了,而且有了CT憑證透明度
11/12 03:22, 27F
推
11/12 03:24, 5月前 , 28F
亂簽假憑證很容易被抓到
11/12 03:24, 28F
還有 24 則推文
推
11/12 15:16, 5月前 , 53F
想法很理想 現實的話 當美中還有其他非
11/12 15:16, 53F
→
11/12 15:17, 5月前 , 54F
歐盟的G7是吃素的就對了
11/12 15:17, 54F
推
11/12 16:13, 5月前 , 55F
現在申請CA也不一定要給錢啊...
11/12 16:13, 55F
推
11/12 16:15, 5月前 , 56F
LE出來後已經可以讓每個人免費使用
11/12 16:15, 56F
推
11/12 16:30, 5月前 , 57F
西台灣不會反對吧，美國肯定會反對就
11/12 16:30, 57F
→
11/12 16:30, 5月前 , 58F
是了
11/12 16:30, 58F
推
11/12 17:12, 5月前 , 59F
基本上只要DNS有辦法被改掉，加上SAN憑證
11/12 17:12, 59F
→
11/12 17:13, 5月前 , 60F
的話，從中強行插入proxy來解密https封包
11/12 17:13, 60F
→
11/12 17:13, 5月前 , 61F
是有可能的
11/12 17:13, 61F
→
11/12 17:13, 5月前 , 62F
但是有辦法公然覆蓋DNS詢答的，多半都是政
11/12 17:13, 62F
→
11/12 17:14, 5月前 , 63F
府機關才做得到，一般駭客只能針對受害的
11/12 17:14, 63F
→
11/12 17:14, 5月前 , 64F
單獨電腦來動手腳
11/12 17:14, 64F
→
11/12 17:16, 5月前 , 65F
用VPN的話重點在於DNS是用誰的，如果DNS還
11/12 17:16, 65F
→
11/12 17:16, 5月前 , 66F
是設到已經被動過手腳的伺服器，就算繞路
11/12 17:16, 66F
→
11/12 17:17, 5月前 , 67F
也是無妨。但是大多數VPN都會改用自己的
11/12 17:17, 67F
→
11/12 17:17, 5月前 , 68F
DNS server，但這又牽扯到一個問題是，如
11/12 17:17, 68F
→
11/12 17:18, 5月前 , 69F
果這個VPN已經被滲透的話，那反而自投羅網
11/12 17:18, 69F
→
11/12 19:27, 5月前 , 70F
現在有 DNSSEC 來擋 DNS 偽造的問題
11/12 19:27, 70F
→
11/12 19:28, 5月前 , 71F
11/12 19:28, 71F
推
11/12 20:27, 5月前 , 72F
DNSSEC只能保證168.95.1.1會拿到不造假的
11/12 20:27, 72F
→
11/12 20:27, 5月前 , 73F
NS解析資料，但是如果168.95.1.1要給我們
11/12 20:27, 73F
→
11/12 20:28, 5月前 , 74F
科科過的IP，還是可以的
11/12 20:28, 74F
→
11/12 20:28, 5月前 , 75F
簡單來說下面某篇有網友大大有提到如果ISP
11/12 20:28, 75F
→
11/12 20:29, 5月前 , 76F
要陰你，就是有很大機率被陰
11/12 20:29, 76F
推
11/12 20:40, 5月前 , 77F
之前就有CoinMarketCap被「誤鎖」的事件
11/12 20:40, 77F
→
11/12 20:41, 5月前 , 78F
DNSSEC並沒有甚麼用，不給你看就不給你看
11/12 20:41, 78F
→
11/12 20:42, 5月前 , 79F
明明有IP但是就傳解析失敗也是要另尋他法
11/12 20:42, 79F
→
11/12 20:47, 5月前 , 80F
可以換 DNS 啊 看要8888,1111或9999
11/12 20:47, 80F
推
11/12 20:49, 5月前 , 81F
沒錯就是要換，但是ISP有可能會擋8888，這
11/12 20:49, 81F
→
11/12 20:49, 5月前 , 82F
個google一下也可以找到以往的「嘗試」，
11/12 20:49, 82F
→
11/12 20:50, 5月前 , 83F
還美其名是為你好。
11/12 20:50, 83F
→
11/12 20:50, 5月前 , 84F
真的被封就剩下自己架DNS而且用DNS over
11/12 20:50, 84F
→
11/12 20:51, 5月前 , 85F
HTTPS來克服，而且自己的DNS IP要強行寫在
11/12 20:51, 85F
→
11/12 20:51, 5月前 , 86F
host文件裡面
11/12 20:51, 86F
推
11/12 21:30, 5月前 , 87F
isp要搞你的話,就算你拿到正確ip
11/12 21:30, 87F
→
11/12 21:31, 5月前 , 88F
routing那邊也可以動手腳
11/12 21:31, 88F
→
11/12 21:32, 5月前 , 89F
你只能再找個跳板跳出去,很麻煩就是了
11/12 21:32, 89F
推
11/12 22:05, 5月前 , 90F
自建代理伺服器吧，天助自助了
11/12 22:05, 90F
→
11/13 10:28, 5月前 , 91F
CHINA：FIRST TIME?
11/13 10:28, 91F
推
11/14 01:04, 5月前 , 92F
推 說明的很清楚
11/14 01:04, 92F
‣ 更多 FXW11314 的文章
文章代碼(AID): #1bJxK2HR (PC_Shopping)
‣ 更多 FXW11314 的文章
文章代碼(AID): #1bJxK2HR (PC_Shopping)