Полигон-2

aleksvolgin написал:

[q]

strikulistov написал:

[q]

ATauenis написал:

[q]

Я считаю, что можно ввести опциональный доступ по HTTPS - хочет человек, заходит по HTTPS. Если же не хочет или не может - использует обычный канал.

[/q]

Согласен. Такое решение удовлетвори все тут присутствующих, мне так кажется.

[/q]

а я против.

[/q]

В чём проблема? Если человеку нужна безопасность, он будет заходить по HTTPS. Если же ему больше по душе старая советская дверь с замком от честных людей (или если руки с иными дверьми не дружат), что он уберёт "s" из адреса, и зайдет как сейчас. Хоть из Win3.1 с нетшкафа по модему.

[q]

Проблема в том, что это дальнейшее обустройство торговой площадки.

[/q]

Проблема в людях, видящих различного рода интриги и заговоры там, где их нет - в обычном предложении по техническому усовершенствованию форума. На дворе не 2000 год, SSL давно применяется повсеместно на сайтах с юзерконтентом и учётками, а не только в е-коммерции.

[q]

Далее двухфакторная аутентификация + обязательное наличие аккаунта в модной, нонече, телеге, бело-"чорные" списки участников и теде и тепе.

[/q]

Сегодня он играет джаз...

Вчера ставил на виртульную машину бэта версию хп, пришлось перевести дату на 2003 год. Хром отказался открывать практически все https сайты, но нужно было зайти сюда на форум и зашло! )) В данном случае я лично вообще не вижу смысла в https, реальной пользы нет, а проблемы могут быть, случаи ведь бывают разные.

Коллеги, в настройках SSL сервера можно поставить набор допустимых кодеков. Можно хоть 3DES/RC4 разрешить для совместимости с MSIE 3. есть еще чудесный cipher NULL то есть SSL без шифрования канала вообще.

alecv написал:

[q]

Можно хоть 3DES/RC4 разрешить для совместимости с MSIE 3. есть еще чудесный cipher NULL то есть SSL без шифрования канала вообще.

[/q]

Одно время были снифферы, которые успешно проворачивали атаку на понижение стойкости шифра (вмешивались в процедуру рукопожатия и умоляли сервер общаться с клиентом с шифром, который по зубам снифферу - прим. для юзеров). Собственно, это причина почему серверы крупных компаний сейчас работают только по серьёзным алгоритмам защиты (TLS 1.2) с недетскими шифрами. Поэтому сейчас эта метода слива полезной информации у лохов не актуальна, и я не слышал, чтобы кто-то ещё использовал этот способ. Но включение старых версий SSL и слабых шифров - дыра в безопасности.

Другое дело,

rw6hrm написал:

[q]

А вообще париться по поводу "сниффания трафика", персональных данных и аналогичной фигни - ей-догу, не стоит. Ерунда всё это.

[/q]

Аудитория форума очень специфическая. Чтобы украденный трафик пригодился, надо написать софт, выковыривающий из ЛС домашние адреса и телефоны, а также e-mail из профиля. И это всё, что можно сделать (по крайней мере, именно на этом сайте). Ещё возможность угона аккаунта с целью рассылки спама возможна. Но движок очень редкий, чтобы кто-то писал под него софт.
Насколько я слышал, все угоны учётных записей здесь были из-за простых паролей.