Запретить провайдеру заходить на мой компьютер

Добрый день форумчане может кто-нибудь знает? UFW?

0

Сообщение от jcxz Ну подменили и что? Как это позволит получить доступ к данным внутри TLS-сессии?

Вы принципиально не читаете, что я пишу? Я не понимаю ваш вопрос.

0

Сообщение от liris Вы принципиально не читаете, что я пишу? Я не понимаю ваш вопрос.

Это вы похоже не читаете что я пишу:

Сообщение от jcxz Каким образом? Разве только если он подменяет собой 2-ю сторону. Но если нет, то внутрь чужого TLS-соединения 3-я сторона залезть не сможет. Сертификат тут не при чём. Для этого нужно знать "private key" сессии. Который никак нельзя вычислить из сертификата.

Прочитайте ещё раз выделенное и подумайте.
Также почитайте - что такое TLS и как оно работает. Хотя-бы здесь: https://tls12.xargs.org
Расписано доходчиво и по шагам. И там чётко видно, что сертификат никак не используется при вычислении пары "public key"/"private key". А значит никак не может быть применён для дешифровки траффика.

Добавлено через 7 минут
PS:

Сообщение от liris Вы принципиально не читаете, что я пишу?

Кстати - вы сами не читаете того, что постите. По той ссылке, что вы запостили, ниже в комментах YegorP всё правильно расписал. Почему нельзя дешифровать чужой траффик 3-й стороне. И я как раз то же самое и писал выше.
Может всё же прочитаете свою же ссылку?

0

jcxz, в случае , если трафик проходит через сам mitm, клиент видит его сертификат и доверяет ему, этот mitm может просматривать трафик. Это используется в антивирусе касперского, корпоративных mitm для it безопасности.
Речь не о прослушке постороннего трафика.

0

Сообщение от Rius этот mitm может просматривать трафик.

Ещё раз: каким образом??? Если он не знает "private key".
Пускай хоть 20 раз проходит. Но где он возьмёт приватный ключ для дешифровки? Без ключа для него этот траффик будет просто набором байт.

0

Ему не надо знать.
У него свой ca root, которому доверяет клиент, свои сертификаты. Клиент видит их, там написано типа выдано для Сбера средством mitm. Прокси mitm получает трафик, дешифрует, перенаправляет дальше уже к правильному (или не очень) серверу.

0

Сообщение от jcxz Расписано доходчиво и по шагам.

Я вам тоже расписал доходичиво и по шагам:
1. Браузер отправляет Client Hello к серверу xxx.com. Сервер отвечает Hello и генерирует сертификат (закрытый ключ оставляет у себя, открытый отправляет клиенту). Эта информация идет в открытом виде, т.к. зашифрованное соединение еще не установлено.

2. Провайдер перехватывает открытый ключ сайта. И сохраняет у себя. Генерирует свой сертификат. И отдает его открытую часть клиенту. Под видом сертификата сервера.

3. Клиент генерирует свою часть ключа на основании данных, полученных от провайдера (фейкового сертификата). И отправляет открытый ключ серверу. Провайдер сохраняет его у себя. Для сайта генерирует свою часть закрытого ключа. И отправляет оригинальному сайту.

Таким образом между провайдером и клиентом установлено защищенное соединение. Между провайдером и сайтом тоже установлено защищенное соединение. Каждый из участников (клиент и сайт) уверен, что запросы оригинальные и зашифрованы. Провайдер получает весь трафик и передает его дальше, читая, и при желании модифицируя.

0

Сообщение от Rius Прокси mitm получает трафик, дешифрует, перенаправляет дальше уже к правильному (или не очень) серверу.

Да, для этого TLS-сессия должна быть установлена не между пользователем и целевым сайтом, а между пользователем и этим посредником. Только так. О том выше я и писал.
А чтобы такого не происходило (чтобы посредник не мог прикинуться целевым сайтом), просто не ставим себе эти сертификаты. И не пользуемся браузерами, где они уже встроены.

0

Ну да, можно уехать на Байкал охранять телескопы и не пользоваться интернетом. Только тогда с вами этого не произойдёт.

Mitm это необходимость безопасности корпоративных сетей.

А сертификат для mitm может выпустить и самый-пресамый демократический удостоверяющий центр, если ему прикажет белый дом. И будет доверенным для всех, кому надо.

0

Сообщение от jcxz просто не ставим себе эти сертификаты

Стоило целую страницу выяснять подробности, чтобы потом сказать что этим просто не надо пользоваться? Я же об этом в самом начале сказал - есть тенденция к переходу на отечественные сертификаты. Интернет-банкинг уже переходит, госсервисы давно уже перешли (госуслуги, налоговая и т.д.). Дальше будет только больше.

С иностранными сертификатами, кстати, такой номер тоже возможен. Но есть сложность - кроме выпуска сертификата нужно еще и перехватить трафик. В случае с отечественными сертификатами - трафик у провайдера и ТСПУ уже внедрены во все сети. А какой-нибудь Global Sign до вашего трафика с условным yandex.ru добраться чисто физически не может (или этот процесс существенно осложнен).

0

Сообщение от liris С иностранными сертификатами, кстати, такой номер тоже возможен. Но есть сложность - кроме выпуска сертификата нужно еще и перехватить трафик.

Подменяем адреса dns для любителей не законных средств обхода и направляем их куда надо. Да и эти не любители отечественного и сами сидят на иностранных dns, которые кто надо может настроить на выдачу чего надо тому кому надо.

Доверие разрушено глобально.

0

Сообщение от liris 1. Браузер отправляет Client Hello к серверу xxx.com. Сервер отвечает Hello и генерирует сертификат (закрытый ключ оставляет у себя, открытый отправляет клиенту).

Ясно. Значит отправленную мной ссылку вы так и не удосужились прочитать...
Иначе бы знали, что на этом шаге никакие ключи не генерятся. Они генерятся на шагах "Server key exchange generation"/"Client key exchange generation". И генерятся они внутри сервера/клиента на базе только их внутренних данных. Поэтому никто снаружи не сможет сгенерить их копии.

Сообщение от liris Клиент генерирует свою часть ключа на основании данных, полученных от провайдера

Бред! Читайте учебник по TLS.
Приватные ключи и сервер и клиент генерят обычно на основе локальных генераторов случайных чисел. Никакая часть сертификата для этого не используется. И не может использоваться. Именно это и обусловливает надёжность TLS. Если бы делали как описали вы, то любой ребёнок давно бы сломал TLS и влез бы в любой банк.

В общеми случае: для установления TLS-сессии сертификат сервера вообще не нужен. Клиент может его просто скипнуть. И это никак не помешает работе TLS. Сертификат нужен только для проверки доверия к другой стороне сессии.

Советую всё же прочитать описание TLS по той ссылке, что я давал. Там разжёвано предельно ясно. И не нести чушь.

Добавлено через 2 минуты

Сообщение от liris С иностранными сертификатами, кстати, такой номер тоже возможен.

Невозможен. Никакие "перехваты" тут не помогут. Если бы вы хоть немного что-то понимали в TLS, знали бы.

Добавлено через 5 минут

Сообщение от Rius Доверие разрушено глобально.

Не ставим левые минцифровские сертификаты на иностранные браузеры. И можем спокойно доверять тому, что видим в браузере если идём на иностранный сайт.
А минцифровские сертификаты оставляем для отдельного браузера. Для Сбера & Co.
Всё. Никто ничего не перехватит и не дешифрует.

0

jcxz, т.е. безоговорочно верим белым и пушистым иностранным спецслужбам и не верим своим. Всё.

0

Провайдер видит трафик по-разному в зависимости от того, зашифрован он или нет.
Без шифрования (обычный HTTP) провайдер видит всё.

С HTTPS содержимое зашифровано. Провайдер не видит, что именно вы читаете, пишете, смотрите или скачиваете. Он видит только «зашифрованный поток байтов».
Но многое он видит всё равно:
IP-адрес сервера, к которому вы подключаетесь
объём трафика и время
в большинстве случаев имя домена
DNS-запросы
сертификат сервера

Но я не понимаю как эта вся информация поможет ТС-у, который хочет

Сообщение от Ildar2026 Запретить провайдеру заходить на мой компьютер

не трафик смотреть, на минуточку.

0

Сообщение от kumehtar который хочет

а что значит "хочет"?
у провайдера только IP адрес в конце которого стоит роутер
что надо сделать что бы роутер позволил "зайти" ПК внутри сети?

0

Сообщение от Rius jcxz, т.е. безоговорочно верим белым и пушистым иностранным спецслужбам и не верим своим. Всё.

Различайте содержимое сайта и то что вы получили в браузере. Содержимое иностранного сайта априори подчиняется законам его юрисдикции. Не важно через какие протоколы к нему подключаются. Так же как и содержимое сайтов РФ - своей юрисдикции. И пользователь также априори сам может решать - доверять той юрисдикции или нет.

А вот в случае подмены содержимого сайта другой стороной, пользователь не может знать - доверять или нет? Так как не знает - кто автор этого контента.

Не мешайте мух с котлетами.

0

Сообщение от qwertehok а что значит "хочет"?

предлагаю об этом спросить у ТС-а.
Я не знаю что он сделал для этого. Но способов достаточно.

0

Сообщение от kumehtar как эта вся информация поможет ТС-у, который хочет Сообщение от Ildar2026 Запретить провайдеру заходить на мой компьютер

ТС не расшифровал - что он понимает под понятием "заходить"? Из его исходного поста, можно сделать предположение, что некий дядя по фамилии Провайдер, заходит к нему в хату (когда никого нет дома), включает его комп и чё-то там творит.
Тогда ТСу следует просто сменить замок на входной двери.
Разве нет?

0

Сообщение от jcxz ТС не расшифровал - что он понимает под понятием "заходить"? Из его исходного поста, можно сделать предположение, что некий дядя по фамилии Провайдер, заходит к нему в хату, включает его комп и чё-то там творит. Разве нет?

И вам скажу, ТС- не я. ТС - Ildar2026, его пост висит первым в теме. предложу у него и спросить.

Сообщение от jcxz Из его исходного поста, можно сделать предположение, что некий дядя по фамилии Провайдер, заходит к нему в хату, включает его комп и чё-то там творит.

Способов много. Но да, похоже что он мог нарваться на мошенников.

Которые не пользуются сертификатами шифрования.

Добавлено через 4 минуты
На самом деле для того чтобы своровать у ТС-а что-то ценное - мошенникам не нужно даже проникать к нему на комп. Достаточно переслать ему некую утилитку, которая просто должна быть запущена. И дальше - она сама вытащит всё нужное и передаст мошеннику. или например установит к нему на комп скрытую смам-ферму, которая будет с этого пк по чуть-чуть бомбить спамом по заданному мошенниками алгоритму. или еще что-то вроде того. Поэтому вполне может быть что на данный момент они уже сделали всё что хотели.

Предлагаю всем, кто будет это читать, быть осторожнее с подобным дерьмом.

0

Сообщение от kumehtar Но да, похоже что он мог нарваться на мошенников.

Точно. В наше время, если вам вдруг кто-то звонит и просит что-то сделать, то нужно быть очень осторожным. Не важно кем он представляется.
Из каждого утюга уже об этом твердят.

0

0