Бум шифрования: объём защищённого трафика в Сети перевалил за 50%

На конец января 2017 года на долю зашифрованных HTTPS-соединений пришлось больше половины от всего трафика.

По данным компании Mozilla, объем зашифрованного трафика в интернете наконец-то превысил объем незашифрованного. Увидеть в адресной строке слева пиктограмму в виде зелёного замочка можно гораздо чаще, чем раньше. Подобная пиктограмма означает, что подключение осуществляется по защищенному протоколу HTTPS, а не по HTTP, предающему данные в открытом виде. По состоянию на 29 января 2017 года на долю HTTPS-трафика пришлось 50,01764%. Отставание HTTP не такое уж большое, но в принципе его можно считать «стратегическим рубежом», который преодолел HTTPS.



Выводы Mozilla сделаны на основании средних показателей объема зашифрованного и незашифрованного трафика за две недели, и в ближайшие дни они еще могут колебаться. Тем не менее, сам факт того, что зашифрованному трафику удалось превысить по количеству незашифрованный, уже является значительным событием. «Значение этого переломного момента трудно переоценить», — цитирует издание Wired эксперта организации New America Росса Шульмана (Ross Schulman).

Безусловно, использование HTTPS вовсе не гарантирует стопроцентной анонимности в Сети. Тем не менее, если третьей стороне (провайдеру, спецслужбам и пр.) понадобиться узнать, что именно читает или публикует пользователь, ей придется изрядно попотеть.

Напомним, ранее Google и Mozilla сообщили о намерении помечать сайты, где не используется HTTPS, как небезопасные, поэтому компании стали повсеместно переходить на HTTPS. В последних обновлениях веб-браузеров Chrome и Firefox (версии, соответственно, 56 и 51) пользователи будут получать предупреждение, если они решат передать конфиденциальную информацию через незащищённое соединение HTTP вместо HTTPS. Эти предупреждения уже действуют в бета-версиях обоих браузеров.

Источник

spaiki007 писал(а):

Phaett писал(а): Трекинговые куки сопровождают любой http/https-запрос поэтому где и когда вы были - на какие страницы заходили, совсем не тайна, из людей "всю дорогу" лопухов делают, пора бы уже привыкнуть Сопровождают если ты их не отключишь!

почти святая наивность, их невозможно отключить, на публику они будут типа отключены - а по факту нет

spaiki007 писал(а): Сопровождают если ты их не отключишь!

...надо понимать, что платформа, операционка всегда может читать всё: то, что у вас есть на обычном десктопе – читает владелец Windows, а в телефоне - тот, кто владеет "андроидом" или iOs. То есть, кому принадлежит операционка, тот знает все. Телеграм там или Вотсап – неважно. И, увы, большинство этих владельцев платформ работают в юрисдикции PATRIOT Act *.
----------------------------------------------------------------------
* в США действует USA PATRIOT Act 2001 года, который требует от интернет-компаний, провайдеров, производителей устройств все данные отдавать. Как нам рассказал Сноуден, по этому акту просто созданы каналы, чтобы непрерывно отдавать пользовательские данные без всяких формальностей.
Игорь АШМАНОВ. Кандидат технических наук, специалист в области искусственного интеллекта, разработки программного обеспечения, управления проектами

Вот и сказочке конец!

md40vip
давайте подытожим.
https сделан для того чтобы ваш трафик нельзя было читать на промежуточных узлах, то-бишь провайдерами.
Провайдеры очень хотят его прочитать. Для этого они могут совершить MITM-атаку.
Но система шифрования сука хитрая. Она сообщит пользователю, что его читают и предложит разорвать соединение.
Так вот. MITM-атака про которую знает пользователь это филькина грамота.

Далее если провайдер совершает MITM-атаку, то это уже называется запретом шифрования. Тут уже ничего не поделаешь. Если не хочешь светить свои данные, то максимум что можно сделать это отказаться от интернета.

Ну и вообще запрет шифрования это очень плохая идея. Для бизнеса плохо. Предприниматели тупо свалят делать бизнес взаграницы.

Хорошая MITM-атака это когда пользователь не знает, что его читают. Но нашему правительству такая задача не под силу. Надо развивать науку и технику, а это значит надо вкладывать деньги в реальное производство а не в распил. И гражданке Яровой надо было посоветоваться с нормальными техническими специалистами, а не со взятыми на работу по блату сынками депутатов.

Что касаемо уязвимостей нулевого дня.
Представьте себе ситуацию. Какой нибудь омбудсмен по IT издает приказ: "С завтрашнего дня для реализации закона Яровой приказываю использовать уязвимость нулевого дня для протокола SSL под названием Heart Blяd 2".
наняли кучу программистов, закупили тонны оборудования, а после завтра компания OpenSSL благополучно эту уязвимость закрывает. И что дальше?

mmaxcad

Цитата:

Она сообщит пользователю, что его читают и предложит разорвать соединение

все верно. и напомнит про риск недостоверного соединения и так же предложит соединится.

Но.
видно что вы человек как минимум образованный,и сможете разобраться в ситуации учитывая временные факторы.
до,сейчас и после.
то есть сможете разобрать принцип работы по перехвату,в момент когда у вас уже был сертификат,когда вы получаете его в первый раз,и когда он досрочно аннулируется.

лично меня уже утомило разжевывание в этой теме.

Добавлено спустя 17 минут 16 секунд: думаю этим можно закончить

md40vip писал(а):

Tutorial: Using SSLSTRIP in a “Man in the Middle” Attack прокатит?

Использовал эту штуку, но имхо, в реальности это может сделать только оператор, ну или на выходной ноде тора (не уверен).

mmaxcad писал(а):

SSL имеет защиту от подмены трафика и от MITM-атак.

Если говорить про sslstrip, то она делает так что соединений https просто не будет, всё будет идти как http. Вообще, используя эту утилиту даже у себя в локальной сети (нужно было преобразовывать https в http) , постоянно натыкался на проблему у sslstrip, при попытке открыть https, браузер всё время отображал ошибку соединения и нужно делать не мало телодвижений для исправления ситуации. В общим это всё скорее для демонстрации что https трафик можно без проблем прочитать и никто не узнает этого. Кстати, встречаются сайты, которые не работают из-за этой программы.
Есть sslstrip2 или как-то так, там решена проблема HSTS, но нужно ставить ещё и дополнительный dns-сервер, опять же сомневаюсь что это можно сделать в реальной ситуации, а не для демонстрации способа.

vlad001, sslstrip помогает только если сайт работает по обоим протоколам https и http.
И тебе ничего не поможет если у сайта принудительный https.
Если же ты провайдер то при некоторых манипуляциях с DNS ты сможешь сделать некий фронтэнд перед https-сайтом и передавать абоненту трафик по http, но ты не сможешь сделать зеленый замок в адресной строке браузера пользователя.
Домохозяйкам конечно пофиг какого цвета замки в адресных строках, даже продвинутый пользователь может расслабиться и не обратить внимания.
Но. Скоро браузеры начнут выдавать сообщения о небезопасности http.

Все эти законы о контроле трафика предназначены для борьбы с террористами. Но террористы наверняка не дураки. Поэтому ФСБ при данном уровне технологий будет ловить лишь нелояльных многодетных домохозяек

mmaxcad писал(а):

sslstrip помогает только если сайт работает по обоим протоколам https и http.

Мне показалось что он просто расшифровывает https?

Так как мне нужна была фильтрация https-трафика (а не хакинг от sslstrip), я нашёл другое решение отлично работающее: ProxHTTPSProxyMII. Всё расшифровывает (для фильтрации в прокси) и шифрует обратно, с заменой сертификата естественно.

vlad001
я уже задолбался вам объяснять. Взлом https это когда вы расшифровываете трафик без подмены сертификатов. Всё остальное филькина грамота. Умных людей вы своими прокси-подменщиками не обманете. Спецслужбам нужно расшифровывать трафик именно умных людей, а не домохозяек.

mmaxcad писал(а):

я уже задолбался вам объяснять.

А я вас и не заставляю.

mmaxcad писал(а):

Умных людей вы своими прокси-подменщиками не обманете.

Вы не внимательны. Мне не нужно никого обманывать. Мне нужна фильтрация трафика от рекламы, жучков и т.п, я не из спецслужб. У меня не стоит цель похищения каких-то личных данных, да и зачем это нужно в домашней сети? sslstrip приходилось использовать чтоб дальше фильтровать этот трафик в privoxy. По этому и написал заодно тут про sslstrip (т.к. реально посмотрел что это такое). Это скорее демонстрация метода mitm, чем реальное его применение.