Oui, enfin le requirement dnssec c'est moi qui l'ai introduit. DNSSEC n'est pas utilisé de manière majoritaire alors que c'est la base pour que https soit fiable. Promouvoir sa généralisation est à mon avis plus productif que de s'acharner sur les sites perso qui ne proposent pas https.
bookmark
Il faudrait savoir, tu veux te protéger de n'importe quel site ou un site précis finalement ? Si tu changes ton threat-model à chaque réponse, la discussion devient compliquée.
Et sur des réseaux d'entreprise [...] c'est beaucoup plus fréquent que tu ne pourrais le penser.
Typiquement des réseaux où tu n'as pas dnssec, et une CA d'entreprise* donc... pré-requis 2&3 manquant. Dans ce cas de figure, le fait qu'un site perso soit uniquement accessible en clair est certainement le dernier de mes soucis.
M'accuser de ne pas faire la part des choses, alors que tu ne comprends pas comment le simple fait de ne pas utiliser HTTPS peut faciliter la propagation de scripts malveillants
J'ai de mauvaises nouvelles pour toi: 1) obtenir un certificat https est à la portée de tout le monde, c'est toi qui l'as dit (y compris des pirates donc) 2) un mitm n'est clairement pas la technique la plus répandue/efficace pour propager des malwares.
Je te propos un autre scénario: de retour au mc-do (ou dans ton entreprise), un petit malin intercepte les requetes dns mon-blog.fr, puis fait un redirect sur https://m0m-blog.fr Je résume: j'ai un cadena mais le pirate peut lire tout le contenu de ma lecture voir remplacer mes images. Le fait que mon-blog.fr soit disponible ou non en https ne change rien.
*:(ou pire un proxy https MITM au nom de la sacro-sainte sécurité)
[^] # Re: Windows, c'est de la verole à ransomware
Posté par benja . En réponse au journal Coût de piratage des serveurs Linux. Évalué à 2.
Oui, enfin le requirement dnssec c'est moi qui l'ai introduit. DNSSEC n'est pas utilisé de manière majoritaire alors que c'est la base pour que https soit fiable. Promouvoir sa généralisation est à mon avis plus productif que de s'acharner sur les sites perso qui ne proposent pas https.
Il faudrait savoir, tu veux te protéger de n'importe quel site ou un site précis finalement ? Si tu changes ton threat-model à chaque réponse, la discussion devient compliquée.
Typiquement des réseaux où tu n'as pas dnssec, et une CA d'entreprise* donc... pré-requis 2&3 manquant. Dans ce cas de figure, le fait qu'un site perso soit uniquement accessible en clair est certainement le dernier de mes soucis.
J'ai de mauvaises nouvelles pour toi: 1) obtenir un certificat https est à la portée de tout le monde, c'est toi qui l'as dit (y compris des pirates donc) 2) un mitm n'est clairement pas la technique la plus répandue/efficace pour propager des malwares.
Je te propos un autre scénario: de retour au mc-do (ou dans ton entreprise), un petit malin intercepte les requetes dns mon-blog.fr, puis fait un redirect sur https://m0m-blog.fr Je résume: j'ai un cadena mais le pirate peut lire tout le contenu de ma lecture voir remplacer mes images. Le fait que mon-blog.fr soit disponible ou non en https ne change rien.
*:(ou pire un proxy https MITM au nom de la sacro-sainte sécurité)