V2EX › Hardrain 的所有回复 › 第 38 页 / 共 46 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 30 31 32 33 34 35 36 37 38 39 ... 46

❮

❯

2017 年 3 月 15 日

回复了 thedog 创建的主题 › SSL › 如果运营商想要破解 https，能做到吗

另:
如果网站使用 HPKP ，且 Client 已经和网站建立过安全的连接，上述 1 和 2 恐怕就无法实施了
而如果是第一次连接时 ISP 就想要嗅探，那 HPKP 也没有用了，毕竟没有 HPKP Preload.

2017 年 3 月 15 日

回复了 thedog 创建的主题 › SSL › 如果运营商想要破解 https，能做到吗

1.配合 12306 ，让他们用 SRCA 签假证书来 MITM ——估计很多人会中招
2.运营商想尽办法令用户无法使用路由器，要求在电脑上安装软件(校园网？)，这个软件向系统插入自己的根证书，然后 MITM ——很多用户会忽略 UAC ，甚至将其关闭
3.Logjam 或 FREAK 攻击，不过应该没有什么 Client 还支持 export cipher 或者是<1024-bit 的 DH 密钥交换——不太可行

2017 年 3 月 7 日

回复了 SN 创建的主题 › Overwatch › 玩守望你们用的是什么键盘？

只有我用青轴么？

2017 年 3 月 6 日

回复了 FlyingLion 创建的主题 › 宽带症候群 › 来看看中国电信卖给用户的光猫 :)

坠后一张笑死了 23333

2017 年 3 月 6 日

回复了 xiaoz 创建的主题 › 互联网 › 注册网站你们用自己的域名邮箱还是？

记得 wzyboy 曾经说过
自己建立好几个域名邮箱，每个只用于一个网站的注册，并与之有明显的对应关系(e.g. [email protected])
这样等到域名邮箱收到广告之类的垃圾内容的时候就能知道是谁(哪家公司)在出卖个人信息

2017 年 3 月 2 日

回复了 mokeyjay 创建的主题 › Telegram › 有多少人是真心把 Telegram 日常使用的？

主要是酷安的水群在上面

2017 年 3 月 2 日

回复了 miyuki 创建的主题 › 互联网 › 百度旗下网站暗藏恶意代码，劫持用户电脑疯狂“收割”流量

所以用户下载了程序或安装包都不查看数字签名么
运行一个程序弹出 UAC 提示如果发布者是百度或者“未知发布者”还点是继续运行？

不过也不足为奇记得 Vista 刚普及那时候网上大把的关闭 UAC 的教程.

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@xqin 可笑都讲明白了『篡改公钥目的是为了获取明文的通信内容』
况且楼主也没提到『中间人只有偷窥(窃听)的能力，不能做到篡改你的公钥』

死搅蛮缠

2017 年 3 月 1 日

回复了 jarell 创建的主题 › 分享发现 › 不用 QQ 或微信的是怎么和别人联系的呢？

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@BXIA 查证了一下这点上的确我错了可能是习惯了 Ubuntu 的 ppa 源添加后要导入 GPG 公钥

但是 GPG 的安全性也基于『有条件以确保公钥不被篡改』这个理解应该没有错误吧

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@xqin 我没有说『篡改具体通信内容』
而是强调攻击者『通过篡改 [公钥] 』来 [获取] 通信内容

你听得懂话？

2017 年 3 月 1 日

回复了 zrj766 创建的主题 › VPS › 震惊！ Vultr 降价啦！

@AsherG 原$5 的 768M 现在成了 1G 了……

2017 年 3 月 1 日

回复了 zrj766 创建的主题 › VPS › 震惊！ Vultr 降价啦！

哎呦卧槽，弄得我都想搬家了
某家的 VPS 性价比实在太低

2017 年 3 月 1 日

回复了 SplendentDraco 创建的主题 › Steam › 又见钓鱼链。。。

未来会不会钓 steam 的也玩 XSS 了
就像(为解锁、销赃被盗的 iPhone 而)钓邮箱来破 iCloud 账户的，对 QQ 邮箱进行 XSS 那样？

起点同样都是『诱导用户访问恶意链接』

2017 年 3 月 1 日

回复了 Hardrain 创建的主题 › 服务器 › Apache httpd 是否完全有能力做到不重启/重载而应用新的配置文件

@lhbc 大致明白了
但是，子目录如果没有.htaccess 不就不会这样了么？

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@xqin
https://www.zhihu.com/question/45069626
https://program-think.blogspot.com/2016/09/https-ssl-tls-3.html

学习一个
你这个实现无论如何也要进行密钥协商吧？似乎没有使用 DH/ECDH
服务器---RSA 公钥--->客户端
那么有上一行这个过程吧？

如果中间人有能力篡改连接内容，改了你公钥不就做成了中间人攻击？
SSL 中你把 CSR 交给 CA 不就是给公钥签名让中间人改不了，如果改了客户端会发现吗？
照你的神逻辑自签名证书也有足够的安全性 OpenSSL 随便就能生成一个谁还花钱找 CA 买证书去？

此外，你所说"传输的内容用算法进行加密",如果你用了非对称加密那不用保证『客户端获取的是服务器的公钥而不是中间人的公钥』？
此外此外，我不明白你一直说的原始数据是指什么？我可以理解为密文吗？

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@xqin 我不明白你说的"内容"是指的密文还是明文

我表达的意思是『窃听者可以用中间人攻击的手段获取明文明文明文』
明文都叫窃听者获取了还叫"防止监听"吗？

2017 年 3 月 1 日

回复了 nilai 创建的主题 › 程序员 › 除了 https，有什么防止网络监听的成熟方案

@xqin 我并不认为我没有看清楚楼主的假设

中间人攻击并不<b>仅仅</b>用于篡改传输内容
你要是用匿名(不签名)的 DH/ECDH 抑或是为签名过的 RSA 公钥进行密钥交换，窃听者完全有可能用中间人攻击的手段获取加密通讯的内容.

1 ... 30 31 32 33 34 35 36 37 38 39 ... 46

❮

❯