アカウント名:
パスワード:
今どきHTTPSにもなってない金融サービスなんて存在するの？金融に限らず生データ送るアプリなんて絶滅危惧種だと思うんだけど。
HTTPSつってもTLS1.0/1.1かもしれないし。HTTPSだから安全って鵜吞みにするのもどうかと。
モダンなブラウザなら警告出るか繋がらないよ警告でないようなブラウザは使ってる方が悪い
鵜呑みにしないとインターネットの信頼性が根幹から揺らぐから使えないんだが。有線ネットワークだろうが経路上のルータとかで傍受されてたら終わりやぞ。
↑ここにプラスモデお願い無線LANにはVPN必須とかいう時代遅れの話はいいかげんにしてくれ
アプリだとちゃんと証明書チェックしてるか怪しいのも有るからなぁ。
上で挙げられてるこれが良くまとまっていたから、ちゃんと読んでよ。https://qiita.com/ockeghem/items/c6a3602d2c2409f89fbb [qiita.com]
SSLを使っているだけでは全然足りない。
# といっても、第三者のVPNを使うのも同じだと思う。
それはおまえのような素人のアホ向けではないな。なぜならここに挙げられてる可能性は対策されてて当たり前なことで、今どきフリーWiFiで機密情報抜かれる可能性は低いという趣旨で書かれた記事だからだ。
全く現実が見えていないな。対策されていて当たり前というが、あなたが利用するサイトすべてが対策されていると思っているのですか？例えば、ここsrad.jpもCookieのSecure属性は欠落しているし、HSTSも有効ではないですよ。
そもそも公衆Wi-Fiの多くは暗号化されていても事前共有鍵が公開されているので意味がない
ほんとそれ。暗号の実効性も担保したけりゃRADIUS認証とかでユーザ単位で認証しないと意味がない。
しかし情弱だとPSKナシでWeb画面で認証する奴だと大丈夫とか言いそう笑
WPA3であれば、PSKというかSAEなので盗聴に対しては安全。OWEを使えばオープンスポットでも暗号化される。どちらにしても、Personalだと証明書を検証する仕組みがないので、なりすましには耐えられないが。
アプリ入れさせて証明書を自動的にインストールするようにして、WPA/WPA2エンタープライズで運用じゃダメなんだろうか。別にユーザの身元の特定までせずとも端末に対して証明書発行すればいいし
＞アプリ入れさせて証明書を自動的にインストールするようにして
かなり問題外。VPNアプリとかもそうだけど端末製造元が保証しているセキュリティ基準を台無しにされても文句言えない仕組みだよこれ。「専用アプリ」の提供元が信用できるって誰が保証したんだ？って思うんだけど、そこに疑問感じない人って多いよね。
開発者がデジタル庁のアプリなら信用するんじゃない？委託だとしても
自称セキュリティに詳しい人達のイキり選手権。
なんかあんまよく解ってそうなのでよく読んでおくように。
フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるかhttps://qiita.com/ockeghem/items/c6a3602d2c2409f89fbb [qiita.com]
ついにスラドもここまで日本語力と技術力の両方が下がってしまったか技術的知識もないし自分が理解してないことに気がつく日本語力すらない
それは日本語力ではどうしようもないだろ。
まぁ、世の中は「MACアドレス認証」とかよーわからんものがまかり通ってる技術的水準だったりするからな。それも一応はプロを名乗ってる情シス屋とかが涼しい顔で信じてる。
なんでマイナスモデが付いてるんだろうか？件名の「通信が暗号化されていないことから」はWi-Fiの暗号化の話だと思うけど
ここにもマイナスモデ頼むわWi-Fiのトラフィックが見えたとして、その中のhttpsが復号化できなければリスクがない
ストーリーの「通信が暗号化されていないことから」がWifiの通信経路にかかっているのに、コメントタイトルにそれ持ってきていきなりHTTPSでの暗号化について話し出すんだから誤解されても仕方ないかと
そもそも、オフトピ、荒らしにも当てはまらないのに何でマイナスモデしてもらうつもりなんですかね？
通信が暗号化されていないことから→VPNなどの対策が必要となる
(#4523033):HTTPS化されてるのにそんな対策いる？
だろ。おまえ日本語大丈夫か？
HTTPSなら大丈夫という認識はもはや古いし、不十分でその考え自体が危険とも言える。特別な対策なしでは、HTTPSでも中間者攻撃と組み合わせればセッション乗っ取りができる手法が存在する。既にその対策も標準化されているが、知識がアップデートされていないエンジニアが多いせいか、その対策は正しく設定されていないことが多いのが実情。
CN=*で発行されてる証明書でも使わない限り無理だろアホかｗ
# ADでオレオレ証明書ねじ込んで来る企業NWは別。# 証明書だけじゃなくてキーロガー仕込まれてたり、そもそも端末が信用できない。
BitLockerで暗号化されているにも関わらずBIOSでのパスワードロックを強制させられている気分・・・
徳丸さんの書き方がわかりやすいわけではないけど、普段普通に使えてるhttpsの効力を舐めちゃいけないって話。httpsを普及させたのはGoogle(Chrome)の功績。
本文:「00000JAPAN」は緊急時の利便性が優先され、(WiFi AP-Station間の) 通信が暗号化されていないことから、(HTTPS化されてないような) 個人情報の入力や金融サービスなどの重要なオンライン活動にはVPNなどの対策が必要となる。
#4523033: 今どき金融サービスは全部HTTPSでしょ（大意）
さっぱり噛み合ってない感じなので
確かに噛み合ってませんね。君が。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
通信が暗号化されていないことから (スコア:0)
今どきHTTPSにもなってない金融サービスなんて存在するの？
金融に限らず生データ送るアプリなんて絶滅危惧種だと思うんだけど。
Re: (スコア:0)
HTTPSつってもTLS1.0/1.1かもしれないし。
HTTPSだから安全って鵜吞みにするのもどうかと。
Re: (スコア:0)
モダンなブラウザなら警告出るか繋がらないよ
警告でないようなブラウザは使ってる方が悪い
Re: (スコア:0)
鵜呑みにしないとインターネットの信頼性が根幹から揺らぐから使えないんだが。
有線ネットワークだろうが経路上のルータとかで傍受されてたら終わりやぞ。
Re: (スコア:0)
↑ここにプラスモデお願い
無線LANにはVPN必須とかいう時代遅れの話はいいかげんにしてくれ
Re: (スコア:0)
アプリだとちゃんと証明書チェックしてるか怪しいのも有るからなぁ。
Re: (スコア:0)
上で挙げられてるこれが良くまとまっていたから、ちゃんと読んでよ。
https://qiita.com/ockeghem/items/c6a3602d2c2409f89fbb [qiita.com]
SSLを使っているだけでは全然足りない。
# といっても、第三者のVPNを使うのも同じだと思う。
Re: (スコア:0)
それはおまえのような素人のアホ向けではないな。
なぜならここに挙げられてる可能性は対策されてて当たり前なことで、
今どきフリーWiFiで機密情報抜かれる可能性は低いという趣旨で書かれた記事だからだ。
Re: (スコア:0)
全く現実が見えていないな。
対策されていて当たり前というが、あなたが利用するサイトすべてが対策されていると思っているのですか？
例えば、ここsrad.jpもCookieのSecure属性は欠落しているし、HSTSも有効ではないですよ。
Re: (スコア:0)
そもそも公衆Wi-Fiの多くは暗号化されていても事前共有鍵が公開されているので意味がない
Re: (スコア:0)
ほんとそれ。暗号の実効性も担保したけりゃRADIUS認証とかでユーザ単位で認証しないと意味がない。
しかし情弱だとPSKナシでWeb画面で認証する奴だと大丈夫とか言いそう笑
Re: (スコア:0)
WPA3であれば、PSKというかSAEなので盗聴に対しては安全。
OWEを使えばオープンスポットでも暗号化される。
どちらにしても、Personalだと証明書を検証する仕組みがないので、なりすましには耐えられないが。
Re: (スコア:0)
アプリ入れさせて証明書を自動的にインストールするようにして、WPA/WPA2エンタープライズで運用じゃダメなんだろうか。
別にユーザの身元の特定までせずとも端末に対して証明書発行すればいいし
Re: (スコア:0)
＞アプリ入れさせて証明書を自動的にインストールするようにして
かなり問題外。
VPNアプリとかもそうだけど端末製造元が保証しているセキュリティ基準を台無しにされても文句言えない仕組みだよこれ。
「専用アプリ」の提供元が信用できるって誰が保証したんだ？って思うんだけど、そこに疑問感じない人って多いよね。
Re: (スコア:0)
開発者がデジタル庁のアプリなら信用するんじゃない？委託だとしても
Re: (スコア:0)
自称セキュリティに詳しい人達のイキり選手権。
Re: (スコア:0)
なんかあんまよく解ってそうなのでよく読んでおくように。
フリーWi-Fiを使ったら秘密情報を抜かれる経路にはどのようなものがあるか
https://qiita.com/ockeghem/items/c6a3602d2c2409f89fbb [qiita.com]
Re: (スコア:0)
ついにスラドもここまで日本語力と技術力の両方が下がってしまったか
技術的知識もないし自分が理解してないことに気がつく日本語力すらない
Re: (スコア:0)
それは日本語力ではどうしようもないだろ。
Re: (スコア:0)
まぁ、世の中は「MACアドレス認証」とかよーわからんものがまかり通ってる技術的水準だったりするからな。
それも一応はプロを名乗ってる情シス屋とかが涼しい顔で信じてる。
Re: (スコア:0)
なんでマイナスモデが付いてるんだろうか？
件名の「通信が暗号化されていないことから」はWi-Fiの暗号化の話だと思うけど
Re: (スコア:0)
ここにもマイナスモデ頼むわ
Wi-Fiのトラフィックが見えたとして、その中のhttpsが復号化できなければリスクがない
Re: (スコア:0)
ストーリーの「通信が暗号化されていないことから」がWifiの通信経路にかかっているのに、コメントタイトルにそれ持ってきていきなりHTTPSでの暗号化について話し出すんだから誤解されても仕方ないかと
そもそも、オフトピ、荒らしにも当てはまらないのに何でマイナスモデしてもらうつもりなんですかね？
Re: (スコア:0)
通信が暗号化されていないことから→VPNなどの対策が必要となる
(#4523033):HTTPS化されてるのにそんな対策いる？
だろ。おまえ日本語大丈夫か？
Re: (スコア:0)
HTTPSなら大丈夫という認識はもはや古いし、不十分でその考え自体が危険とも言える。
特別な対策なしでは、HTTPSでも中間者攻撃と組み合わせればセッション乗っ取りができる手法が存在する。
既にその対策も標準化されているが、知識がアップデートされていないエンジニアが多いせいか、その対策は正しく設定されていないことが多いのが実情。
Re: (スコア:0)
CN=*で発行されてる証明書でも使わない限り無理だろアホかｗ
# ADでオレオレ証明書ねじ込んで来る企業NWは別。
# 証明書だけじゃなくてキーロガー仕込まれてたり、そもそも端末が信用できない。
Re: (スコア:0)
BitLockerで暗号化されているにも関わらずBIOSでのパスワードロックを強制させられている気分・・・
Re: (スコア:0)
徳丸さんの書き方がわかりやすいわけではないけど、普段普通に使えてるhttpsの効力を舐めちゃいけないって話。
httpsを普及させたのはGoogle(Chrome)の功績。
Re: (スコア:0)
本文:「00000JAPAN」は緊急時の利便性が優先され、(WiFi AP-Station間の) 通信が暗号化されていないことから、(HTTPS化されてないような) 個人情報の入力や金融サービスなどの重要なオンライン活動にはVPNなどの対策が必要となる。
#4523033: 今どき金融サービスは全部HTTPSでしょ（大意）
さっぱり噛み合ってない感じなので
Re: (スコア:0)
確かに噛み合ってませんね。君が。