Conexión cifrada a burbuja.info

indenaiks dijo:

.......

Hacer clic para expandir...

Nos podemos tirar todo el día discutiendo sobre si es necesaria o no la privacidad y seguridad en las comunicaciones, tu tienes tus razones y yo las mías y puede que nunca nos pongamos de acuerdo.

Repito que no se trata de una medida complicada, ni costosa ni que requiera ningún sacrificio por parte de los administradores de la página y hacer que el servidor acepte conexiones cifradas serviría para evitar algunas situaciones que es legítimo plantear y que a algunos nos preocupan.

Si el cifrado está demostrado que evita las escuchas, no cuesta dinero, es fácil y rápido implantarlo... ¿por qué no se hace?

Solo se me ocurre una razón: que a querido líder no le de la gana. Lo cual es una grave irresponsabilidad desde mi punto de vista.
Plantearse otra cosa si que sería de conspiranoia.... :vomito:

Tu punto de vista es equivocado. Consideras una grave irresponsabilidad de otro un problema que es tuyo. Ejemplos:

- Tu conexión a burbuja.info pasa a través de gentes de las que no te fías. Puedes contratar un proxy VPN y todo tu tráfico hacia internet se convierte en una sola conexión cifrada a tu servicio proxy VPN. En internet tendrías la IP de tu servidor proxy.

- Sabes quién te puede estar espiando en tu trabajo. Lo bypaseas con un server PPTP en tu casa, creando un enlace VPN entre tu trabajo y tu casa y saliendo a internet con la IP de tu casa.

Si sales sin cifrar hacia burbuja.info y eso te preocupa, lo tienes fácil para subsanar esa "grave irresponsabilidad".

Y cuesta dinero, mucho, porque hay que cifrar/descifrar y eso consume recursos en el servidor.

para tu desespareación el cifrado de las comunicacines no sirve en la intranert de tu empresa

sirve para los sniffer pero no sirve si te montan un servidor en medio y ellos negocian la clave con el servidor original

si

si lo he visto con mis propios ojos

Si allseeying the pone un thanks, ya estás en la lista de color de la Guardia Civil

¿Como va a ser responsabilidad del usuario solucionar un problema de seguridad y privacidad de un sitio que visita?

Las soluciones que planteas no creo que te protejan si te conectas desde una red wifi de un aeropuerto o desde un hotel o desde la casa de un amigo. Además el cifrado no sólo te protege contra escuchas no autorizadas, también te asegura que la página que estas viendo es la que ha salido del servidor y nadie la ha modificado.
Tal y como está configurado el servidor ahora mismo es algo trivial el insertar una imagen o cualquier elemento en una página que pida las ******s de sesión y ponerte a robar cuentas y contraseñas de cualquiera que se conecte. ¿Se mandan las contraseñas por SSL al identificarte por lo menos?

Por algo sitios como Google Twitter y Facebook han empezado a implantar el cifrado en sus conexiones y no creo que a ninguno se le ocurra decir a sus usuarios que es responsabilidad de ellos el asegurarse que nadie les espía. Y en estos sitios también se postea información pública.

Burbuja.info cada vez se está haciendo más conocido y es de esperar que este tipo de ataques se multipliquen con el tiempo y normalmente cuando ocurren ya es demasiado tarde.

blackholesun dijo:

para tu desespareación el cifrado de las comunicacines no sirve en la intranert de tu empresa

sirve para los sniffer pero no sirve si te montan un servidor en medio y ellos negocian la clave con el servidor original

si

si lo he visto con mis propios ojos

Hacer clic para expandir...

Eso no se puede hacer sin cambiar el firmante del certificado o convertir la conexión en http normal, porque necesitarías la clave privada del servidor que estás suplantando. Así que se podría detectar.

Calculín dijo:

Eso no se puede hacer sin cambiar el firmante del certificado o convertir la conexión en http normal, porque necesitarías la clave privada del servidor que estás suplantando. Así que se podría detectar.

Hacer clic para expandir...

ya pero yo no me refiero a hacer un tunel en un sitio cifrado, lo que me refieron que tu no negocias la clave con un servidor autenticado, tu estas negociando la clave con el servido pirata, y el pirata negocia ocon el sitio bueno


es un programa, y es el mas famosos, en 15 segundos te haces con todas las conversaciones de facebook en una bblioteca y de messenger.

y nadie nota nada


yo no diria que es una frutada, yo dirria que es cruel

Addan dijo:

¿Como va a ser responsabilidad del usuario solucionar un problema de seguridad y privacidad de un sitio que visita?

Hacer clic para expandir...

Internet no va cifrado, por omisión. Tienes el protocolo IP para enrutado, que es como una carta y el contenido de esa carta, que normalmente es TCP. TCP se diseñó no cifrado y se cifra si el servicio lo requiere. Se podría haber diseñado de otra forma, y se hizo así.

En un foro público no hay privacidad, salvo en lo que concierne a los mensajes privados, pero no es la función principal de la web y es comprensible que no haya https (podría haberlo). Para el uso habitual de postear en el foro, la privacidad es irrelevante pues el contenido decides tú que va a un sitio público.

En cambio, para algunos servicios de google y FB si pega que haya cifrado, pues se emplean para comunicaciones de índole privada.

blackholesun dijo:

ya pero yo no me refiero a hacer un tunel en un sitio cifrado, lo que me refieron que tu no negocias la clave con un servidor autenticado, tu estas negociando la clave con el servido pirata, y el pirata negocia ocon el sitio bueno


es un programa, y es el mas famosos, en 15 segundos te haces con todas las conversaciones de facebook en una bblioteca y de messenger.

y nadie nota nada


yo no diria que es una frutada, yo dirria que es cruel

Hacer clic para expandir...

Eso no se puede hacer. Te falta algún dato por darnos.

El cliente no da la clave simétrica para operar hasta que no hay una prueba de que el server es el que dice ser. Si yo te mando un "challenge", me lo tienes que dar cifrado con la clave privada de FB o la conexión no se establece. Eso forma parte del handshaking (negociación). No se puede fakear o spoofear.

Otro tema es que fakees FB y el cliente no se de cuenta de que no está en zona segura, no se de cuenta de que no es https.

¿Como se llama el programa ese? Quiero echarle un ojo.