Victor Sudakov <Victor.Sudakov@f49.n5005.z2.fidonet.org> wrote:
AK>> вероятно, интересна яндексу, но совершенно неинтересна мне. VS> В данном случае, я считаю, интересы мои и Яндекса совпадают. мои - перпендикулярны.
VS> а тот взял да выдал такой сертификат - это не к добру ни VS> Сбербанку, ни мне как его пользователю. но вероятность этого события - ничтожно мала. Вероятность же вляпаться в добровольно и с песней предоставленный intermediate ca - ненулевая. Поскольку уже случалось.
AK>> Hо с моей точки зрения, _правильная_ схема - доверять конкретному AK>> экземпляру сертификата, в количестве одна штука == один сайт. VS> А проверять ты как собираешься подлинность этого сертификата? 1. скорее всего - он подлинный. Потому что крайне маловероятно что при первом же моем заходе в сбер или гугль кто-то уже успел его подделать. 2. _в этом_лучае_ можно, в принципе, доверить CA. Один раз. И поставить галочку "каждый раз одобрять вручную". Которую через десяток успешных заходов сменить на "удовлетворительно, можно вручную не одобрять". 3. Если после этого ВHЕЗАПHО мне показывают другой сертификат - я закрою окошко независимо от того, насколько достоверно оный подписан. И как минимум, попробую из другого места. и да, было бы крайне неплохо, выдавая дурацкие карты скретчкодов или присылая стандартную лапшу "зарегистрирован вход в сбербанк с адреса..." писать там fingerprint. Hо до этих мудаков дойдет ТОЛЬКО если их заставят.
VS> В PGP как раз такая схема, как ты пропагандируешь. И где этот PGP? нет. В PGP абсолютно мудацкая схема, принципиально нежизнеспособная и совершенно небезопасная. Такая схема - в ssh.
> Alex
--- ifmail v.2.15dev5.4 * Origin: Demos online service (2:5020/400)
