HTTPSはまだNSAセーフですか？
Httpsを使用することでNSAが今までに壊れる可能性があると言っている抜粋があります。
では、httpsは依然として安全なWebブラウジングのソリューションですか？
オンラインバンク、電子メールプロバイダー、およびその他多くの機密インターネットサービスで使用されている、個人データの機密性と安全性を維持するための暗号化技術は、国家安全保障局に匹敵しません。
基本的に、NSAはほとんどのインターネットを解読できます。彼らは数学ではなく、主に不正行為によってそれを行っています。
さて、あなたの質問は「HTTPSは依然として安全なWebブラウジングのためのソリューションですか？」です。
答えは、対戦相手がNSAでない限り、かつてないほど安全です。あなたが参照しているレポートは、元妻が無作為の俳優、組織犯罪によって利用できる一般的な弱点を特定していません。ここではシステム的な障害はありません。十分な資金があり、承認された、スキルのある攻撃者が多くのエンドポイントを危険にさらすことができることを証明するだけです。そして私たちはそれを知っていました。
人々は多くのことを言います。もちろん、すべてが正しいわけではありません。
HTTPSはSSL内のHTTPです。 SSLは、現在 [〜＃〜] tls [〜＃〜] として知られています。これは、バイトの双方向ストリームのための最もよく知られている暗号化および整合性プロトコルです。これが意味することは、それが適切に実装および展開されていることを条件として、それを破る公に知られている方法がないことです（私はそれが大きな「if」であることを認めます）。
これは次のことを意味します。
NSA、またはあなたがあなたの個人的な宿敵になることを選択した他のかかしの実体がSSLを破ることができる場合、彼らは世界の残りの部分ではできないことを知っています。これは高度な技術です。歴史は、高度なテクノロジーが長期的に見ると魅力的であることを示しています。したがって、抵抗は無駄です。
NSAcancan SSLを破ることができると主張する人がいる場合、これはNSAだけでなく、一般の人々（つまり、フィールドの専門家）よりも多くのことです（つまり、これらの人々もその秘密の知識に精通していることを意味します。 。彼らはまたいくつかの強力で秘密の組織のメンバーである（そして、なぜあなたは彼らを信頼するのでしょうか）か、彼らが言うことは純粋な投機的バローニーです。
しかし、うまく機能するものは、暗号化プロトコルを事前に壊すものではありません。サーバー側でのインターンへの賄賂は非常に安価です。 NSA数十億ドルをクラッキングアルゴリズムに投資するのは意味がありません。正しいポケットに数千ドルあればうまくいくでしょう。
NSAアルゴリズムを壊すというこの考え方は、私がゲーミングファンタジーと呼んでいるものです。それは好きな人の心に浮かびますビデオゲーム。ゲームにはルールがあります。ルールは問題を抱えた心にとって本当に快適です。ここでは、その理論の支持者は暗黙的だが強く、暗号化プロトコル（SSLなど）を使用してデータ転送を保護すると、彼の大敵は論理レベルでのみ行動し、暗号化のみに基づいて彼を倒すように制限されます。これは、地下に住むオタクが望む彼の生活習慣は実際に効率的な生存戦略であると信じています。
（私はそのマトリックスを非難します。）
実際に使用されているHTTPSへの攻撃は多数あり、NSAはおそらくまたはもっともらしくあります。
世界のCAの数を考えると、かなりよくわかっています特定それらの一部は、NSAによって意図的にまたは無意識のうちに破壊されています。ブラウザによって信頼されている1つ以上の組織が実際にNSAを設立して運営されていることを排除するのは非常に困難です。そのため、NSAは、ブラウザが受け入れる任意の名前のドメインで証明書を発行できます。ブラウザーのアドレスバーで組織の名前を確認しても、発行者が銀行にとって「正しいもの」であることはおそらく確認しません。これが、証明書のピン留めの種類です。
ハートブリード。 NSAは、他の世界の2年前までにそれを知っていた可能性があります。これは、非常に多くのサイトが管理者パスワードや証明書の秘密鍵を漏らしていたことを意味します。ある意味でハートブリードは終わりましたが、脆弱ではない可能性のあるeveryサイトでは、古い証明書が取り消されており、これは何年にもわたって止まらない欠陥が検出されない可能性があるという警告です。もっとあるかもしれません。
ハッキング操作。 NSAは、サーバーにある本のすべての攻撃に加えて、マシンを制御したり、秘密鍵を取得したりするために、独自の秘密の本にのみ攻撃を投げかける可能性があります。クライアントにも同じことが言えます。もちろん、これは必ずしも「HTTPSでの」攻撃につながるわけではなく、復号化されたトラフィックをキャプチャ/制御する可能性がありますが、それでもHTTPSが「NSAから隠されている」ことを意味しないことを意味します。
物理的な操作。私はこれが全体的にまれであることを疑っています、あなたや私に使用されることを信じられないほど信じられませんが、NSAは人に何かをさせることができます。 CIAや法執行機関などの関連組織も同様です。 FBIと米国の弁護士は過去に、刑事事件のスパイからの情報を受け入れ、その出所について法廷に嘘をつく準備ができていることを示しました。極端な状況下では、彼らがNSA監視を可能にするために表面的な犯罪行為を実行するために同様に準備されると私には思われます。同様に行う海外のCIA活動は、おそらく米国では犯罪とはなりません。当然それは地方の犯罪かもしれないが、地方の法律を破ることはCIAの要点の一種である;-)
NSAは、最も効果的な既知の中間者能力を備えています。それは、いわば、海底ケーブル、ISPなどの主要なインターネットルートに独自のボックスを備えています。 Snowdenのドキュメントの一部によると、指定されたエンドポイント間の接続をアクティブにインターセプトするためのシステムが動作しています。もちろん、これだけではHTTPSを破壊するのに十分ではありませんが、HTTPSを上記の要因と組み合わせると、取得したすべてのキーが実際の攻撃に変換されます。
あなたがリンクする記事は、ブルランと他の関連プログラムについて話します。 NSAが複数のアプローチを取っているという事実は、それらがしないでください SSLまたはそのアルゴリズムの万能のポイントとクリックブレークを持っていることを示唆しています。広く展開します。 NSAの戦略的評価を実際に理解することは困難ですが、それがあれば、特定の転覆に関して大手インターネット企業と協力するリスクを負う必要がないと考えるかもしれません。 Bruce Schneier（およびおそらく他の人）は、特定のターゲットが特定の攻撃を使用して正当化するのに十分な価値があるかどうかを判断するためにNSAが実行するトレードオフに言及するドキュメントを強調しました特に頻繁に使用すると、発見される傾向がある攻撃。詳細を忘れてしまいました。
「誰かの秘密SSLキーを盗む」または「CAになる」ことは「HTTPSへの攻撃」ではないと主張できますが、実際には、一般の人々が「HTTPS」で何を意味するのかということです。これは使用されるアルゴリズムに対する攻撃ではありませんが、HTTPSは単なるアルゴリズムではなく、システム全体です。かなり広まっているキー配布メカニズムを含みます。
HTTPSが安全なWebブラウジングのソリューションであるかどうかは、別の問題です。あなたが米国市民であれば、正式に選出された政府は、NSAがインターネットトラフィックを監視することは完全に「安全」であると判断しました。実際、悪意のある人のトラフィックが監視されないようにするよりも「安全」です。 「悪者」の定義は、NSAが本来義務付けられている外国の脅威だけでなく、国内の安全保障および犯罪の懸念にも対処するようになったため、広がっています。同じことが他の国、特にNSAと情報を共有する米国の親しい同盟国にも当てはまります。わお！
NSAが特にあなたや私を気にかけることは比較的ありそうにありません。 Snowdenドキュメントで確認したことによると、最小限の労力で特定のトラフィックをcanインターセプトおよび復号化すると、will、およびそのため、無害なHTTPSトラフィックのかなりの部分がnot "secure"である可能性があります。当然のことながら、そのデータのほとんどは人間のアナリストには届きませんが、利用可能です。
私にとってスノーデンのドキュメントの重要性は、その中のいかなる技術も人々に「それは驚くべきことであり、数学的に可能であることを知らなかった」と考えさせたことではありませんでした。私の知る限り、特定の暗号技術は明らかにされていません。このニュースは、NSAがインフラストラクチャにfar機能したことの確認であり、真の「暗号解読」がなくてもセキュリティは失敗します。
@gowenfawrにはそれがあります。通常の使用では、TLS/SSLは適切に実装されていれば安全に使用できます。 NSAが場に出たら、忘れてください。
- まず、SSLキーはアメリカの企業から提供されますの場合、秘密キーを取得して、そのサーバーとの間のトラフィックを復号化できます。
- 別の場所で作成されたキー-自分で生成した独自のキーと同じですか？彼らはあなたのルーター、あなたのラップトップをハッキングするか、あなたの家に侵入し、彼らが望むものを得るのに必要なことを何でもします！ これは可能性が高いですか？本当にそうではないでしょう。
httpsは安全な方法で使用でき、NSAでも現時点では壊れない可能性があります。しかし、これはすべてがこのように使用することを意味するわけではありません。また、実装の問題（heartbleedなど） ）そしてhttps自体とその使用法が完全にNSAの証明であっても、httpsとは無関係のWebアプリケーションの問題がまだ十分であることを証明します。また、データがプロバイダーに平文で（メールのように）保存されている限り、法律を発動してこのデータにアクセスすることができます。
要約すると、httpsは安全な方法で使用できますが、その使用はWebブラウジングのセキュリティ全体のほんの一部（ただし不可欠）です。