SSL - czy akceptować wygasły certyfikat?

Czy namawianie do akceptowania certyfikatu SSL, który wygasł i nie jest prawidłowy, jest OK?
A może jest to sprzeczne z dobrymi praktykami?
Jakie inne komunikaty błędów możemy napotkać podczas przeglądania Internetu przy pomocy protokołu HTTPS?
O czym one świadczą i jakie są ich powody?
A także kiedy mogą informować one o potencjalnym ataku, a kiedy tylko pokazują ignorancję właściciela witryny?
Ja jestem Kacper Szurek, a to kolejny odcinek podcastu Szurkogadanie, w którym tłumaczę zawiłe kwestie powiązane z bezpieczeństwem komputerowym w prosty i zrozumiały sposób.
Więcej informacji na blogu: security.szurek...
0:46 Po co szyfrujemy połączenie
2:09 Klucz prywatny
2:38 Czy to prawidłowy klucz?
3:22 Główne urzędy certyfikacji
4:02 Uprawnienia do zarządzania domeną
5:02 Certyfikat typu OV
6:25 Ważność certyfikatu
7:09 Automatyczne generowanie certyfikatów
8:22 To połączenie nie jest prywatne
9:03 Zaawansowane opcje
10:06 badssl.com
10:41 Certyfikat expired
12:40 Błędna praktyka
13:42 Wrong host
15:00 Self-signed
15:50 Untrusted root
17:04 Revoked
17:43 Podsumowanie
Grupa na Facebooku: / od0dopentestera
Subskrybuj kanał: www.youtube.co...
Spotify: open.spotify.c...
Google Podcast: www.google.com...
Apple Podcasts: itunes.apple.c...
Anchor: anchor.fm/kacp...
#podcast #szurkogadanie #ssl

[@masterbohun]

Miło się słucha, plus za systematyczność w prowadzeniu kanału.

[@krystianulec]

Mi pojawiła się informacja że połączenie nie jest bezpieczne pomimo, że to zaufana strona. Po ponownym uruchomieniu rutera wszystko już jest ok. Czy mam się czym martwić?

[@TORGiren]

Jak oglądam Twoje materiały to mi się smutno robi... smutno dlatego, że tak dobre materiały a mają 200 wyświetleń.. a powinno mieć 200k a jakieś głupie pranki na odwrót :(

[@KacperSzurek]

Nie samymi wyświetleniami żyje człowiek 😉 Dzięki za miłe słowa.

[@pgsimulation4211]

Nie w Polsce. Jak by były w EN albo chociaż napisy to skok wyświetleń byłby bardzo duży.

[@KacperSzurek]

@@pgsimulation4211 Mam też kanał po angielsku, na którym pojawiają się niektóre, wybrane odcinki: kzbin.info Materiały te są przetłumaczone w całości, czyli nagrany jest osobny dźwięk a także dodane napisy i nie notują one dużo większej ilości wyświetleń.

[@kubsoon_3689]

Hej dzisiaj fb wyświetlić właśnie ze ssl wygasł, ,co mam zrobić ?

[@eetthhoo]

Wczoraj przeglądałem strony konkurencji dla klienta, ku mojemu zaskoczeniu wiele z nich ma problem z ssl, mimo iż branża to księgowość. W dobie letsencrypt to trochę słabe i pretensje kieruję do wszystkich twórców witryn, bo oni zazwyczaj się usprawiedliwiają, że klient nie chciał, bo on często nie wie nawet co to jest ten ssl, jeśli już ktoś wdraża stronę, to niech też poświęci 5 minut na dodanie szyfrowania do strony, dzisiaj to często nic nie kosztuje.

[@pgsimulation4211]

Tylko SSL w takim home.pl kosztuje 120zł / rok w opcji Start Ochrona subdomen w wersji start to aż 400zł / rok XDDDDDDD

[@eetthhoo]

@@pgsimulation4211 Jak ktoś siedzi w home.pl to ja nie mam nic więcej do dodania...Za tyle to można mieć vps na cały rok i wrzucić sobie tam letsencrypt

[@pgsimulation4211]

@@eetthhoo Kilka szkół w moim mieście trzyma tam witryny. Czyli państwowe / miastowe pieniądze z naszych podatków tam idą.

[@eetthhoo]

@@pgsimulation4211 Home i nazwa wśród zawodowych adminów mają tak zszarganą opinie, że już raczej nie odzyskają twarzy po tych wszystkich wpadkach, a ich polityka cenowa polega mniej więcej na takim czymś: pierwszy rok za złotówkę, a kolejne za gruby hajs, bo mało komu chce się migrować strony i pocztę. Dodatkowo home ma tak ułomny panel, że jak mam coś tam robić dla klientów to mnie szlag trafia. Już dziesięć lat temu home miało opinie hostingu dla laików i na tym zarabiają wciskając swoje badziewne usługi.

[@MrMistrzuch]

Dzięki #cyfrowyPolsat za prowokację do nagrania tego odcinka.

[@krzysztof9481]

Sztos !

[@szymonlawka3236]

A jak to naprawić bo nie mogę pobrać winrara

[@grzegorzw5042]

Gdybyś mógł zrobić film o wszystkich dostępnych wpisach w SSL które trzeba uzupełnić przy jego generacji i czy tam też jest jakieś pole do popisu. Lets encrypt to super sprawa ale tam też chyba dałoby radę coś "podrobić"?

[@KacperSzurek]

Nie wiem czy taki materiał ma sens. Tak naprawdę podaje się tam nazwę domeny oraz dodatkowe nazwy subdomen (www, poczta), dla których certyfikat ma być ważny. No chyba, że mówimy o nieco droższych certyfikatach gdzie podaje się także nazwę firmy i jej adres. I to w sumie tyle. Chociaż w dzisiejszych czasach zalecał bym korzystanie z narzędzia „Certbot”, które to automatyzuje cały ten proces .

[@pascalsztycharz471]

Jezuuuu klikam na otwórz stronę www.cda.pl(niebezpieczna) bo chcę se film obejrzeć i pokazuje mi się cisko umbrella i pisze this site od blocked to content filtering. Pod tym pisze sorry www CDA .pl Has Been blocked by you network administrator I pisze że za kategorie pornogaphy a u moich przyjaciół tego nie ma i nie wiem Pomocy

[@luigiluiginski1278]

Taktyczny komentarz wsparcia

[@sugarorion5136]

@Kacper Szurek Na podstawie Twojego doświadczenia jaki system polecasz - macOS + wirtualizacja Windows i Linuxa lub Windows + wirtualizacja Linuxa - dla osoby zaczynającej przygodę z security? BTW Nie można lepiej trafić będąc laikiem w tej dziedzienie, dzięki wielkie za Twoje filmy, dużo elementarnej wiedzy potrzebnej i pokazującej w jakim kierunku dążyć będąc początkującym.

[@KacperSzurek]

Host z którego korzystasz nie ma większego znaczenia. Na każdym systemie możesz uruchomić Virtualboxa lub Vmware albo Hyper-V i odpalić dowolną inną dystrybucję. Na początek polecam `Kali Linux`. Dlaczego? Bo masz tam większość narzędzi jakie mogą być Ci potrzebne. Unikniesz ciągłego uruchamiania `apt-get` i instalowania potrzebnych pakietów. W przypadku Windowsa można spróbować `Commando VM`. Nie jest tak rozbudowane jak poprzednik ale niektórzy wolą używać Powershella.

[@sugarorion5136]

@@KacperSzurek Dzięki za odpowiedź. Myślałem, że mogą występować jakieś ograniczenia pomiędzy macOS a Windowsem. Można się spodziewać w przyszłości jakiegoś filmu na temat OSCP?

[@KacperSzurek]

@@sugarorion5136 Raczej nie planuje niczego w tym temacie. Czy polecam OSCP? Tak, ale nie na początek. Proponuje zacząć od czegoś prostszego i darmowego: www.hackthebox.eu/

[@sugarorion5136]

Kacper Szurek Trzeba przyznać, że bardzo fajna inicjatywa. Udało mi się rozwiązać już kilka „boxów” :)

[@sugarorion5136]

Kacper Szurek jak wygląda sytuacja z takimi konferencjami jak PWNing w Warszawie, chciałbym się wybrać na coś takiego, żeby spotkać się i porozmawiać chociażby z Tobą. Tolerują takich newbie, czy raczej głupie/proste pytania są słabo tolerowane?

[@piotrekb3784]

Tu jest najlepiej pokazane jak naprawić błąd certyfikatu prosto czytelnie u mnie działa. kzbin.info/www/bejne/mouoq3hjYph6h6M

[@leandoublecup2014]

Skąd mam pobrać te program

[@piotrekb3784]

@@leandoublecup2014 To jest tylko certyfikat. W zamieszonym linku powyżej wszystko jest wyjaśnione jak zainstalować.