[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

Re: PKI self-service



On Thu, 15 Sep 2016 12:53:06 +0300
Bogdan <bogdar@gmail.com> wrote:

> 
> Если я правильно интерпретировал документацию. то готовое решение -
> это Auto Enrollment в Microsoft Active Directory Certification
> Services -
> https://technet.microsoft.com/en-us/library/cc771107(v=ws.11).aspx
> т.е., но к сожалению работает только с AD :/

Кстати, возможно что да. Те, кому нужен security theater будут
использовать винду.

 
 
> 
> Доступные мне протоколы авторизации позволяют передавать только
> плейнтекст, либо заведомо уязвимые хэши паролей (md5 или ntlm) поверх
> TLS-сессии. Защищенность такой сессии зависит исключительно от
> корректности настройки (принудительная проверка "моего" CA) на

Да, ну и что? Уязвимым местом является все равно  не TLS-сессия, а
хранение пароля или закрытго ключа на устройстве пользователя и
возможность внедрения к нему на устройство кейлоггера. 

Использование авторизации по сертификатам как правило, снижает
usability сильнее чем повышает security. 

Если сервис использует публичное доменное имя и публичный CA (хотя бы и
startssl.com или letsencrypt), то mitm-атака, позволяющая получить хеш
от пароля требует серьезной организационной поддержки - компрометация
публичного CA под силу, пожалуй, только спецслужбе государства.



Reply to: