MihaiV wrote: >Pai situatia se prezinta in felul urmator. Este o retea de bloc la care >eu am facut cateva chestii de administrare via web. In reteaua de bloc >sunt 2-3 tipi care au acces la interfata de web. Unul dintre ei a avut >Cain (sniffer) pornit si a prins parola cand celalat se loga. Acum >tipul cu Cain nu e rau intentionat, el pur si simplu vana niste hoti de >internet si mi-a aratat ca vede parola prin https. Ma indoiesc ca Cain a >generat el de capul lui niste certificate fake and stuff ca sa-l >deturneze pe celalat care se loga. > > > Nu te indoi! Asta e realitatea. Nu este posibil sa-ti decripteze o sesiune ssl decit daca: a) stie partea privata din certificatul cu ajutorul caruia se cripteaza cheia sesiunii b) se interpune ca proxy intre tine si serverul real, inlocuind certificatul cu unul al lui
Poate ar fi cazul sa renunti la exploder cu ocazia asta. Un browser decent te va lasa sa importi un certificat ca trusted chiar daca e self-signed, facind imposibil un phishing de genul asta. -- Attached file included as plaintext by Ecartis -- -- File: signature.asc -- Desc: OpenPGP digital signature -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.2.4 (GNU/Linux) Comment: Using GnuPG with Thunderbird - http://enigmail.mozdev.org iD8DBQFAsN1uvdyzttv9n/IRAiFZAKCTOhKhL1I+3z/5p3w73tCKL9VpiACeN7rv 6bVYYYTA+jrmIWJaBEAJ7vA= =nOM7 -----END PGP SIGNATURE----- --- Detalii despre listele noastre de mail: http://www.lug.ro/
