Не нужно. Не всякую инфу нужно шифровать

HTTPS Everywhere

Шифрование не преступление

Не нужно. Не всякую инфу нужно шифровать

Нужно. Как минимум чтобы перестали воспринимать или на законодательном уровне закреплять, что шифрование преступление.

До сих пор огромное число ресурсов просто не умеют в HTTPS.

Как минимум чтобы перестали воспринимать или на законодательном уровне закреплять, что шифрование преступление.

От просмотра HD-порнушки, пошифрованной дырявым SSL, ты только приближаешь глобальное потепление. К законодательству это действо имеет очень отдалённое отношение.

сабж был бы для них ультимативным стимулом.

Помимо сайтов в традиционном понимании есть куча устройств с веб-мордой и без HTTPS, поддерживать который им может не хватить ресурсов

Они будут и уже поступают проще: внедряются в середину со своим сертификатом.

всякую. иначе хозяину прокси/интернет-провайдеру будет легко выследить тебя по посещаемым страницам и их содержимому, или они могут его изменять.

надо быть идиотом, чтобы его заапрувить.

99 % заапрувят :)

посещаемые страницы (точнее домены) и так видны по DNS запросам, логичнее пользоваться тором в таком случае

А если CA вежливо попросят подписать ещё один сертификат для серьёзных дядь на то же имя? :)

домены, но не страницы и тем более не содержимое. это на порядки лучше.

А если CA вежливо попросят подписать ещё один сертификат для серьёзных дядь на то же имя? :)

Такой CA может очень сильно встрять. Какой-нибудь продвинутый пользователь сохранит первый же поддельный сертификат и накатает абузу - CA может быстро вылетить из бизнеса. К тому же, в России корневых CA нету - даже ростелеком у Comodo подписывается. А иностранные CA срали с высокой колокольни на проблемы туземцев.

Ну дак его показывать не всем будут, а только потенциальной жертве :)

Ну так может проканать, но не для всех случаев. Все популярные браузеры поставляются с pinning листами, в котором задается четкое соответствие - какой домен каким ключом/сертификатом подписывается. У хромого этот список достаточно большой

https://src.chromium.org/viewvc/chrome/trunk/src/net/http/transport_security_...

Хотя того же вконтактика нет - можно подделывать.

Идиотом или нет, а если у тебя выбор заапрувить или не читать? обходыми методами не отовсюду и не всегда можно воспользоваться.

Короче, мне твоя идея напомнила «забивание конфетки в зубы молотком» (с) не помню чей

Кому надо, тот HTTPS организует, а запрещать HTTP это ограничение свободы

Подозреваю, что не заапрувят. Просто не поймут, что от них хотят, и забьют.

копирайт Саныча, иногда пользуюсь я )

http://lleo.me/dnevnik/2015/01/29.html
"
некая частная фирма договорилась с провайдерами (Акадо, ТТК, РосТелеком, ЭрТелеком, Qwerty, NetByNet и так далее), чтобы те ей сдавали все запросы клиентов! Просто так, для любопытства, самообразования, анализа сетевой активности и поисковых (вау!) запросов: http://sporaw.livejournal.com/347832.html И вот это уже прекрасно, товарищи. Куда мы ходим по интернету, уже следит не просто СОРМ, а вообще кто попало!
"

Не нужно. Не всякую инфу нужно шифровать

пытаться делить инфу на надо/ненадо - путь к неизбежным ошибкам

Это да, флеш поделит все на ноль, в данном случае.

Придётся для localhost покупать сертификат за 3.99

огромное число ресурсов просто не умеют в HTTPS.

особенно в рунете.

++

насколько это оправдано и осуществимо?

Настолько же оправдано как нагружать сервера сложными вычислениями, чтобы показать сайт-визитку. Ведь как минимум нужно еще запретить шифрования с ключами меньше 2048 бит, они вот-вот станут небезопасными. Даешь вычисления RSA с ключами в 16384 бит!

Даешь вычисления RSA с ключами в 16384 бит!

Сайты хз, а вот чтобы gnupg такие без патчевания умел генерировать, было бы хорошо.

У какой-то версии лисы такое было в виде бага. Открываешь вкладку а там:

«An error occurred during a connection to ?.com. The OCSP response is not yet valid (contains a date in the future). (Error code: sec_error_ocsp_future_response)

Хотя пару дней назад всё было нормально.

Лучше хттпс себе удали.

«An error occurred during a connection to ?.com. The OCSP response is not yet valid (contains a date in the future). (Error code: sec_error_ocsp_future_response)

Или у тебя, или на OCSP сервере сбилось время, но виноват проклятый HTTPS, да.

У меня таки не сбивалось. Виновата реализация оного в лисе, позиция «ЗАПРЕТИТЬ, УДОЛИТЬ», позднее стыдливо оформленная как баг.

"Вор громче всех кричит "Держи вора!""

И вот это уже прекрасно, товарищи. Куда мы ходим по интернету, уже следит не просто СОРМ, а вообще кто попало!

Дядя, ты реально думаешь, что отследить юзера — это какая-то проблема была последние хз сколько лет? Для этого нужно поднять жирный кластер с hadoop, сливать туда терабайты запросов, держать кравлеры на толстом канале и часами онализировать по map-reduce (шутка про программистов и рф), чтобы улучшить таргетирование на 5% и поднять СТР на 0,003%? Да никто не будет оплачивать миллионы за электричество и проггеров, если можно заплатить эти миллионы владельцам вконтакта в три клика, или создателю адблока и другим успешным пацанам.

Сейчас на каждом первом сайте стоят «счетчики» посещаемости, like-кнопки и прочая подобная лабуда, тебе даже нажимать на неё не надо. Все сидят в своих биосоциалочках, заботливо составляют на себя досье, там же чатяться, смотрят гигатонны таргетированной рекламы, которая ещё глубже знает юзеров, чем они сами.

Вот тут есть склад баянов на тему анонимности, с 2008 года уже постановлено, что либо нет анонимности, либо нет интернета. Провайдер тут никто, и звать его никак.

По ссылке на lleo.me что мы видим? Кто-то успешно спалил свой мертворожденный проект, который судя по

и следом за мной в ту же секунду на нее ломится робот!

представляет из себя кравлер, который просто следит лишь за конкретным человеком. Даже проггеры из урюпинского аграрного ГПТУ знают, что кравлеры для массовой слежки не способны так резко работать, выявлять новые ссылки и дедублицировать их, делить канал на кластере и т.д. Хадуп просто для запуска одной задачи на локалхосте требует минимум неск.секунд.