Come faccio a mitigare un MITM su https?

1

Sto cercando di visualizzare un sito https (che ha funzionato perfettamente fino a ieri) e Chrome mi sta mostrando che il certificato di sicurezza del sito non è attendibile.

Sono su una rete domestica. Come posso sapere se il certificato è un problema o la mia rete?

    
posta Sairam 30.08.2013 - 12:05
fonte

3 risposte

1

La versione di Chrome aveva poche ore. L'aggiornamento della mia versione di Chrome e il riavvio di Chrome hanno risolto il problema precedente.

    
risposta data 30.08.2013 - 12:49
fonte
3

Se i browser Web affermano che il certificato non è affidabile, quindi, in fondo, non ci si può fidare di esso. Se esistesse un metodo semplice per verificare se un certificato è valido o meno, oltre alla convalida del certificato, i browser lo applicherebbero.

Quanto sopra non è completamente vero: c'è è un metodo per convalidare un certificato, che i browser non possono fare. Puoi telefonare all'organizzazione che possiede il server HTTPS previsto; qui, a quanto pare, il Bureau of Consular Affairs, del Dipartimento di Stato americano. Chiedete di parlare con un amministratore di sistema e fategli spiegare, al telefono, l'impronta digitale SHA-1 del suo certificato (40 caratteri esadecimali). Confronta con ciò che ti mostra il tuo browser (è alla fine dei "dettagli del certificato"). Se i valori corrispondono (esattamente), il certificato è autentico e puoi procedere. Questo metodo di convalida, ovviamente, presuppone che una telefonata sia affidabile e non venga intercettata (in particolare, come si ottiene il numero di telefono corretto potrebbe essere soggetta a alterazioni malevole), e anche che un ufficio amministrativo degli Stati Uniti avrà qualcuno da rispondere al telefono e accetterà di inoltrare la chiamata a un sysadmin che ha il tempo di rispondere, e un indizio su cosa possono essere SSL e certificati (questo è il suo lavoro, ma essere assegnato a un'attività non è mai stato garantito competenza).

Anche se puoi assicurarti che il certificato sia reale, allora si pone la domanda sul perché il certificato è stato dichiarato errato dal browser. Ciò può essere la conseguenza di una serie di possibili contrattempi, tra cui il mancato rinnovo di un certificato in tempo o persino un bug nel codice del browser.

    
risposta data 30.08.2013 - 16:19
fonte
1

Scommetterei dollari a ciambelle che questo era il problema

Quello era ieri mattina. Hanno appena sostituito il loro certificato, e un certo numero di cose potrebbero essere accadute per far credere al browser che era prima delle 5:30 di ieri mattina

  • Sei veramente connesso prima delle 5:30
  • L'ora sulla tua macchina è sbagliata (potrebbe essere l'ora corrente o il fuso orario)
  • Chrome ha incasinato la matematica del fuso orario per calcolare il tempo standard dell'India

Il fatto che funzioni ora ma non prima rafforza l'idea che questo è quello che è successo.

    
risposta data 30.08.2013 - 19:25
fonte

Leggi altre domande sui tag