SSL ktoś mi powie jak to działa po stronie przeglądarki?

pytanie zadane 27 lipca 2018 w Bezpieczeństwo, hacking przez lukas Początkujący (440 p.)

witam, mój pierwszy wpis na forum :) próbowałem odnaleźć w googlach, niestety bezskutecznie..

jak przeglądarki sprawdzają owe certyfikaty SSL? robią systematyczne updaty i pliki znajdują się na komputerze, czy działa to na zasadzie jakiegoś odnośnika do bazy danych dostępnej w sieci WAN? w jednym i drugim przypadku wydaje się proste do hackowania, gdyby po prostu podmienić te dane, trochę zmodyfikować przeglądarkę i wrzucić offlinową wersję jakiejkolwiek strony, to atak pozyskania danych po stronie klienta wydaje się trywialny.

moja przeglądarka na telefonie pokazuje mi ciągle, że witryna, która jest bezpieczna taką nie jest :) na pc wszystko jest ok i troszkę to irytuje, kiedy tam natomiast ciągle wyświetla komunikat po x5 razy

1 odpowiedź

odpowiedź 27 lipca 2018 przez adrian17 Ekspert (344,860 p.)
edycja 27 lipca 2018 przez adrian17

robią systematyczne updaty i pliki znajdują się na komputerze

Blisko. Przeglądarki i systemy operacyjne mają lokalnie na maszynie (okazjonalnie aktualizowaną) listę bazowych certyfikatów zaufanych urzędów certyfikacyjnych (Comodo, Symantec, DigiCert, Let's Encrypt etc) stanowiących bazę zaufania. Certyfikat SSL strony powinien być kryptograficznie podpisany przez jednego z tych dostawców. Przeglądarka sprawdza obecność i poprawność tego podpisu (korzystając z lokalnej listy certyfikatów) oraz poprawność samego certyfikatu.

wydaje się proste do hackowania, gdyby po prostu podmienić te dane, trochę zmodyfikować przeglądarkę i wrzucić offlinową wersję jakiejkolwiek strony, to atak pozyskania danych po stronie klienta wydaje się trywialny

Ta logika jest trochę na opak ;) Jeśli masz możliwość zmodyfikowania danych po stronie komputera użytkownika przeglądarki, to już game over, możesz wyrządzić znacznie więcej szkód niż tylko grzebać z przeglądarką.

Pełniejsze ale wciąż skrótowe opisy są np tu:

https://security.stackexchange.com/questions/20803/how-does-ssl-tls-work

moja przeglądarka na telefonie pokazuje mi ciągle, że witryna, która jest bezpieczna taką nie jest :)

(Link?)

komentarz 27 lipca 2018 przez lukas Początkujący (440 p.)

dzięki za odpowiedz, czyli tak jak myślałem ta przeglądarka fabryczna HTC (nie mam pojęcia co to jest) to zwykłe dno. screena niestety nie zrobię (nie działa ta funkcja na tele i za duzo pierdolejro), ale chodzi o stronę bankier.pl za każdym razem z poziomu fb jak odwiedzałem ich profil za pośrednictwem linków do artykułów to po kilka razy potrafił mi się komunikat o niezgodności wyświetlić.