PTT職涯區 / Soft_Job (軟體人)

Re: [閒聊] 有沒有憑證都不用檢查的八卦?

看板Soft_Job (軟體人)作者 (中華民國政府已經沒救了)時間11年前 (2014/10/01 00:39), 11年前編輯推噓10(10推 0噓 39→)
留言49則, 9人參與, 最新討論串2/2 (看更多)
一個軟體除了美國外,沒有人能規定能不能監聽 就算是美國也是偷偷來的. 以IM的訊息交換或者Voice(VoIP)只要沒有下車 (特二類電信/E.164/非E.164/ISR(國際語音批發轉售)<--這是台灣 是沒有被要求是需要被監聽的. 以Skype為例,除了中國以外訊息間傳遞誰會去看的到? 而Skype在台灣下車是跟PCHome 子公司合作下車(非E.164) 這部份是有被要求是能調的出紀錄的也必須要符合通訊監察要求. → ggg12345: 別忽略任何國家都要手機通話能被合法監聽,否則就不放照! 09/30 20:54 這只是指手機用GSM 2G/3G/4G 等語音通話且配有E.164 門號之用戶 就是固網市話E.164/非E.164 門號,070等有話務下車或者交換的語音通話 都需能監聽錄音. 而不是在軟體的語音都要能監聽,那個什麼長的說要什麼二類電信執照才合法的 可以趕快下台了,不要再被別人笑你不懂還說. : 推 ggg12345: 規格並沒有講fixed key對收送雙方如何fixed!沒那麼笨啦! 09/30 20:50 : → ggg12345: 別忽略任何國家都要手機通話能被合法監聽,否則就不放照! 09/30 20:54 : 它從頭到尾都沒解釋 fixed key 怎麼來的 只說以 ecivreSpiS 做為 fixed key : 也沒見到任何 fixed key 的交換機制 那我就只能解讀為 fixed key : 就只是做為擴增密鑰長度的一個手段 沒有任何資訊安全的考量在裡面 : (當然這手段也是.... 外行囉 正常都用 key derivation function) : : 好吧 就算他改用其它的字串當 fixed key 問題出在於沒有安全的交換機制 : 不是走 HTTPS 就叫安全 因為像它最基本的憑證都沒驗 有走等於沒走 : 如果 fixed key 是跟著手機 app 和各套軟體一起送出來的 : 那很簡單 我去看一下軟體裡的 fixed key 是什麼就好了 : 簡單的邏輯推論 沒有交換機制 也只能真的 fixed : : 要做到國家可以監聽 也不代表也要做到任何阿貓阿狗攔了就可以輕易解開 : ※ 編輯: StubbornLin (76.21.8.197), 10/01/2014 00:05:30 : 推 asdfghjklasd: 一個軟體能不能被合法監聽不是國定機構能管的 10/01 00:28 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 125.227.166.145 ※ 文章網址: http://www.ptt.cc/bbs/Soft_Job/M.1412095168.A.449.html
推
10/01 07:08, , 1F
下車都出來了，業內的喔
10/01 07:08, 1F
推
10/01 08:20, , 2F
請問什麼是下車
10/01 08:20, 2F
推
10/01 10:20, , 3F
網路轉電話吧
10/01 10:20, 3F
下車不一定是網路轉電話,一般來說是指到用戶端
→
10/01 10:29, , 4F
10/01 10:29, 4F
這個說法是一般說法 所以下車是指[誰] offload 這個話務到用戶終端.. 1.VoIP 分機->PBX->VoIP Gateway->IP->Trunk Gateway->E1交換機-+ | +----------------------------------------------------+ | +->POI/固網/行動局端/國際->Core ->BTS(基地台)->手機 ->Core ->分區PBX(局端)->市話 ->Core ->各國/市話/行動 2.市話/行動080上車 後走ISR 下車 3.PBX接E1 走ISR/固網下車
推
10/01 10:57, , 5F
請問上篇文章為啥不見了？
10/01 10:57, 5F
推
10/01 11:14, , 6F
不只文章不見了，連那個文件都不見了
10/01 11:14, 6F
推
10/01 12:01, , 7F
只是改標題了而已
10/01 12:01, 7F
※ 編輯: asdfghjklasd (125.227.166.145), 10/01/2014 13:29:05
推
10/01 16:34, , 8F
換了標題不再談key distribution.那個fixed key只要加密
10/01 16:34, 8F
→
10/01 16:37, , 9F
通信前,收送雙方甚至監聽方能彼此安全地說定就行了.這裡
10/01 16:37, 9F
→
10/01 16:39, , 10F
的憑證是指甚麼?下載的server?下載的程式文檔內容,還是
10/01 16:39, 10F
→
10/01 16:44, , 11F
指收送雙方的身份證明?那個公權力機關(戶政)能核發證明?
10/01 16:44, 11F
→
10/01 16:47, , 12F
所謂先佔先機,就是大家還迷糊中就已經到位經營,邊改邊建
10/01 16:47, 12F
→
10/01 16:50, , 13F
工研院的苦處就在此,都講清楚就不必收技轉金了,少了伯樂
10/01 16:50, 13F
→
10/01 16:52, , 14F
網路支付也有同樣更嚴重問題.所以不懂的師範生能做成上
10/01 16:52, 14F
→
10/01 16:54, , 15F
市,會重視技術人員.這種想學習的技術人員常無法佔有先機
10/01 16:54, 15F
→
10/01 16:58, , 16F
台灣另一問題就是法令多如牛毛,卻又靠爪扒子有獎檢舉,彼
10/01 16:58, 16F
→
10/01 17:00, , 17F
此就用黑函檢舉來牽制,先做先倒霉,註定佔不了先機長不大
10/01 17:00, 17F
推
10/01 18:54, , 18F
工研院III就永遠做半成品,碰上技術人員就被看成是垃圾!
10/01 18:54, 18F
→
10/02 00:51, , 19F
樓上的大大 這裡憑證指的是 x.509
10/02 00:51, 19F
→
10/02 00:52, , 20F
不是由公權力機關 戶政事務所發出來的呦
10/02 00:52, 20F
→
10/02 00:52, , 21F
現在有個很方便的網站叫 google 呦
10/02 00:52, 21F
→
10/02 02:06, , 22F
用x.509那是否也要用x.500?還有由誰來做CA(戶政)的服務?
10/02 02:06, 22F
→
10/02 02:46, , 23F
以他們的使用案例 其實可以自己發憑證
10/02 02:46, 23F
→
10/02 02:47, , 24F
然後 app 裡就跟著憑證夾在一起 要驗就直接用內建的
10/02 02:47, 24F
→
10/02 02:47, , 25F
憑證驗 當然這是在 app 能和憑證一起安全地送達
10/02 02:47, 25F
→
10/02 02:48, , 26F
的前提下 如果不能的話 就只能使用機器裡內建的憑證
10/02 02:48, 26F
→
10/02 02:48, , 27F
花錢去買 由憑證商簽一張給你
10/02 02:48, 27F
→
10/02 02:49, , 28F
經由 chain of trust 最終 機器上的內建憑證
10/02 02:49, 28F
→
10/02 02:49, , 29F
可以一路驗下來 到你買的那張憑證
10/02 02:49, 29F
→
10/02 02:49, , 30F
不過不是說憑證驗了就是安全的 也有憑證商被入侵
10/02 02:49, 30F
→
10/02 02:50, , 31F
被拿來亂發憑證的事情發生過 但因為高價值
10/02 02:50, 31F
→
10/02 02:50, , 32F
一般都只用來針對 Google 之類的高價目標
10/02 02:50, 32F
→
10/02 02:51, , 33F
亂發的憑證被發現 可能整個被註消 所以最終
10/02 02:51, 33F
→
10/02 02:51, , 34F
這都是攻擊成本與獲利的問題
10/02 02:51, 34F
→
10/02 02:54, , 35F
驗了都有可能還是有問題了 更何況是連驗都沒有....
10/02 02:54, 35F
→
10/02 02:57, , 36F
10/02 02:57, 36F
→
10/02 02:57, , 37F
別人都已經親自操作證實了有中間人問題
10/02 02:57, 37F
→
10/02 02:57, , 38F
結果他們說 "有多把金鑰 多台伺服器 沒中間人問題"
10/02 02:57, 38F
→
10/02 02:57, , 39F
這... 我該說什麼 = =
10/02 02:57, 39F
→
10/02 02:58, , 40F
資安不單是技術問題 更是態度問題
10/02 02:58, 40F
→
10/02 03:02, , 41F
算了 跟你們認真什麼 反正到時國家機密被偷
10/02 03:02, 41F
→
10/02 03:02, , 42F
再來凹說我們都有用 HTTPS 很安全 不是我們的錯
10/02 03:02, 42F
推
10/02 08:42, , 43F
HTTPS就是使用SSL透過VeriSign提供的CA做server身份認證
10/02 08:42, 43F
→
10/02 08:50, , 44F
VeriSign流傳是美CIA投資的公司.網路信用卡支付一定要先
10/02 08:50, 44F
→
10/02 08:56, , 45F
對來往的server做身份認證.利用此可被認證的server做通
10/02 08:56, 45F
→
10/02 09:09, , 46F
話雙方的通話身份CA,再藉HTTPS對之認證彼此身份.您覺得
10/02 09:09, 46F
→
10/02 09:10, , 47F
此一重大利益的通話身份CA server工研院或III不想做?!
10/02 09:10, 47F
→
10/02 09:18, , 48F
做完身份認證,彼此透過SSL提供加解密要共用的fixed key
10/02 09:18, 48F
推
10/02 09:23, , 49F
關鍵利益還要用罵法人方式等其將大餅塞到嘴上??
10/02 09:23, 49F
‣ 更多 asdfghjklasd 的文章
文章代碼(AID): #1KAjp0H9 (Soft_Job)
Soft_Job 近期熱門文章
更多 近期熱門文章 >>
PTT職涯區 即時熱門文章
4
7
[新聞]
[ Stock ]
asin404
21分鐘前, 04/04
更多 即時熱門文章 >>
‣ 更多 asdfghjklasd 的文章
文章代碼(AID): #1KAjp0H9 (Soft_Job)