Amit Aronovitch wrote:
שמתי לב שאתר ההצבעה הוא self-signed.
זה קצת בעייתי - מצד אחד לאלה מאיתנו שנבהלים מהודעות אזהרה של הדפדפן,
ומצד שני ל"פרנואידים" יותר שרוצים לודא שה-certificate הזה באמת הוצא ע"י המקור.
כדאי לשים דף הוראות שמסביר איך לייבא את ה certificate (ואולי גם לחתום
עליו במפתח פומבי של מישהו).
לחילופין, אולי כדאי להוציא certificate לאתר העמותה ע"י CA מוכר...
מצד שני, אלו האלטרנטיבות:
1 להשתמש בחיבור לא מוצפן בכלל.
2 לשלם קצת כסף לרשם מוסמך ולחתום על שם המתחם בלבד
3 לשלם הרבה כסף לרשם מוסמך ולחתום על שם המתחם ועל הארגון
4 להוציא תעודה בחינם מ-cacert.org
לפני שאני מנתח אותם, בואו נשאל את עצמינו מה אומר שהתעודה לא חתומה ע"י
מישהו מוכר? התשובה היא - אתם לא בטוחים שהגעתם לאתר "המקור", ולא לאתר אחר
שגנב לנו את ה-DNS. בואו ננתח את האלטרנטיבות על פי הסדר:
1 - חיבור לא מוצפן פירושו שלא זו בלבד שאתם עדיין לא בטוחים שהגעתם למקום
הנכון, אלא שאתם עכשיו גם מצביעים עם מפתח הצבעה שנשלח בצורה לא מוצפנת.
הפתרון הזה הוא פתרון נחות לפתרון הנוכחי בכל מדד.
2 - אתם *עדיין* לא יודעים שאף אחד לא גנב את שם המתחם, מכיוון שמי שהיה
גונב את שם המתחם היה גם מצליח להוציא את התעודה. במילים אחרות, הפתרון הזה
לא יותר בטוח מהפתרון הנוכחי. הייתרון היחידי של הפתרון הזה הוא שאין אזהרה
מפחידה מצד הדפדפן. לא שווה את הכסף, לדעתי.
3 - רק לצורך סיבור האוזן, "הרבה" זה כמה מאות דולרים. תהליך הווידוא לוקח
כמה ימים (אולי אפילו שבועות). למשתמש הסופי אין שום דרך להבדיל בין הפתרון
הזה לבין פתרון מס' 2. לא שווה את הכסף וכאב הראש לדעתי.
4 - הפתרון הזה לא יותר או פחות בטוח מאשר פתרון מס' 2. אמצעי הזיהוי הוא
בדיוק אותו הדבר, ובהנחה ש-cacert עושים את העבודה שלהם, אפשר לסמוך עליהם
באותה המידה. לאור העובדה שהם נותנים את התעודות בחינם, אולי זה משהו ששווה
לעשות. הבעיה הגדולה עם הפתרון הזה היא שרוב הדפדפנים לא סומכים על תעודה
השורש של cacert, מה שמביא אותנו חזרה לבעיה הראשונית - יש הודעה מפחידה
מצד הדפדפן. במילים אחרות, זהו פתרון יותר זול מאשר פתרון מס' 2, אבל הוא
לא מכיל את הייתרון היחידי שפתרון מס' 2 הציע.
ועל כן, אני שואל את הקהל המלומד פה - מה לדעתכם כדאי לנו לעשות?
שחר
_______________________________________________
Discussions mailing list
[email protected]
http://hamakor.org.il/cgi-bin/mailman/listinfo/discussions
