[GTER] Cache em https

[Ricardo Rodrigues]

Enquanto isso, a TAM faz o contrário: redireciona a página
https://www.tam.com.br para http antes mesmo do usuário se logar, e a senha
do TAM Fidelidade trafega livremente pela rede... Se não tem segurança, pra
quê senha???

Ricardo


Em 24 de abril de 2014 13:11, Rubens Kuhl <rubensk at gmail.com> escreveu:

> Outra coisa que quebra trambiques é o HSTS, que pode vir tanto nos headers
> HTTP quanto hard-coded no browser, que força o uso de HTTPS. Vale observar
> se o Youtube está ou não usando...
>
>
> Rubens
>
>
>
> 2014-04-24 9:42 GMT-03:00 Carlos André <candrecn at hotmail.com>:
>
> > 1) Deixa os clientes descobrirem (o que não vai ser nada dificil), que
> > ele: a) vai apanhar e/ou: b) vai ser processado :P
> > 2) Isso quando o outro site não força o post em HTTPS, e fecha a porta 80
> > do servidor que realiza login, vários sites por exemplo, você acessa:
> > http://www.site.com.br ai ele já joga para https://www.site.com.br , ai
> o
> > cara q se acha esperto faz redirect na porta, mas no post do site, ele
> joga
> > para https://www2.site.com.br que só responde na porta 443, aí matou
> essa
> > trambicagem.
> >
> > Atenciosamente,
> >
> > Carlos André
> >
> >
> >
> >
> >
> > cand...... at hotmail.com
> >
> > > Date: Thu, 24 Apr 2014 09:19:21 -0300
> > > From: rubensk at gmail.com
> > > To: gter at eng.registro.br
> > > Subject: Re: [GTER] Cache em https
> > >
> > > 2014-04-24 8:40 GMT-03:00 Gustavo Freitas <gst.freitas at gmail.com>:
> > >
> > > > Pessoal,
> > > >
> > > > alguns colegas de lista estão informando que alguns aplicance, está
> > > > sendo possível fazer cache em https.. até onde eu sei. é um pouco
> > > > complicado, alguns de vocês tem conhecimento ?
> > > >
> > >
> > > Para fazer cache de https tem que fazer um de dois trambiques:
> > > 1) Criar uma CA própria do cache, interceptar as conexões e fazer um
> > > man-in-the-middle que gera certificados dinamicamente para os sites que
> > os
> > > usuários acessam. A CA raiz desse cache precisaria ser implantada nos
> > > browsers dos usuários e te daria capacidade de monitoramento de
> qualquer
> > > tráfego dos clientes, incluindo logins, senhas bancárias etc. Eu
> entendo
> > > que isso já fosse crime de interceptação telemática, e agora é também
> > > enquadrado no Marco Civil da Internet, mas se o seu advogado disser que
> > te
> > > garante, vá em frente...
> > > 2) Alterar algum conteúdo não HTTPS que contenha as URLs com HTTPS e
> > troque
> > > para URLs com HTTP. Provavelmente os titulares dos conteúdos com que
> você
> > > fizer isso vão ficar bem bravos, mas parece em tese possível.
> > >
> > >
> > >
> > > Rubens
> > > --
> > > gter list    https://eng.registro.br/mailman/listinfo/gter
> >
> > --
> > gter list    https://eng.registro.br/mailman/listinfo/gter
> >
> --
> gter list    https://eng.registro.br/mailman/listinfo/gter
>