dobré dopoledne takže mně slyšíte

moje přednáška se s program bojovala bezpečný měl bezpečnější díky kterým

dane já jsem ondřej caletka že jste slyšeli

jasný jako je strýčku přejmenoval a

slovo bezpečný se nahradil slovem bezpečnější to s toho důvodu že vlastně

bezpečných sobě evokuje že jde o jako finální stav

a ona nikdy nejste uplně bezpečně vždycky jako je co zlepšovat takže řekněme že to

bude jenom takový jako bezpečnější

a že nějaké příchozí jak natož nebo natahovat

takže jde o to jde o to že maily všechny používané

a že je možné že bychom je mohli třeba používat bezpečný ale ještě nějž začnu

volit oni mailu

tak tady mám takový povinný

slajd který ukazuje

o sdružení se své ze kterého přikláněl kterém pracuju sdružení se set je zúžení dvaceti

šesti českých veřejných vysokých škol a akademie které provozuje národní síť vědy a výzkumu co

se ten národní síly výzkum to je dejte infrastruktura kterou tady vidíte

nejsou všemožně optické kabely natažené přes celou republiku máme ohromnou kapacitu linek ale nedělá nerozhodně

jinou síť děláme i

děláme i další projekty které s tím více či méně souvisí takže třeba máme oddělení

síťové identity které zaštiťuje projekt nebudou

co šelu ming wifi který určitě znáte mezi univerzitami

máme stejně obdobně and uvádí frejerova row identitu byl přihlašování jednotné přihlašování máme vlastní certifikační

autoritu

máme bezpečnostní tým u střelec který vyvíjí vlastní nástroje jako mandl máme na menta co

jsou nějaké expertní systémy na řešení bezpečnostní zezadu máme dokonce forenzní laboratoř která dokáže analyzovat

iluze málo li

na speciální certifikaci máme oddělení výpočetní židů že si kde může počítat nějaké ohromné operace

nenese metacentrum a zní nedávno vyčleněné oddělení datových úložišť se s nedá také které umožňuje

podstatě každému uživateli s akademického vlastně užívá datová uložiště

máme systémy vlastní systémy a dohled takovéhle infrastruktury za svoje práv a máme tak je

třeba oddělení multimédií které například jeví systém který jsme utratili troše open sousloví software ne

nízkolatenční před video všeho si ve vysokém rozlišení

takže by jste viděli že cesnet rozhodně není jenom síť je toho opravdu hodně

a bylo by teda samostatnou přednášku tak a teď došl bezpečnějším umyju

elektronické pošty všichni víte všichni používáte víte že to protokol který je nebo věc která

je starší než internet elektronická pošta je vystaven řízneš když existoval vůbec protokol tcp ip

a nicméně za tu dobu co existoval tak měnila ty protokoly tým se přenáší a

na tom internetu se používá protokol ty jsem sem tp je to se znamená simple

mail pracovat jako seš když

jistě ne jádra pro pokud stejný vyřešené nějaké věci jako třeba zprávy a také myslíte

že vám to pak tak uši jsem to jako není šest let trochu mimo

ale co je důležité říct achieved rajská pošle založena na principu přepojování zpráv hobla jeho

který by tu zprávu napíšete někam předáte odtamtud se předá někam dá a pak se

předá zase někam dál a pak třeba do pude do cíle a

důležité je že důležité je že

vlastně ušli kdysi dávno kdy jsme se učili s internetem devadesátých letech tak se prostě

že ta taková poučka vždy milník stejný neni psát něco byste nám se na zadní

stranu pohlednice protože prostě testy zprávy sou vlastně otevřené

a kdykoli se můžete dostat do nepovolaných rukou no ono to tak úplně není že

by to mohlo číst úplně kdokoliv když se podíváme na to jak se nejběžněji nejběžnější

neruším tenhleten tak máme vlastně většinou ty je entity které ten ímejl mohou číst po

cestě sou štyři ten obrázek je z wikipedie

já

takže tady vidíte že vlastně někdo kdo napíše výměna nějaká alice

nebo napíše a nějaký způsob všechna sudému

je se mnou který první matouš to vodeslat ten i pro ní odešle nějakému se

mu příjemce tady ještě tady je se počítat boba který se dost toho sedumnáctýho přestane

kterou lze protokolem po při používáš někdo zas pro to bylo při

to je taková věc z minulého tisíciletí ano při že se správně na té

jako vidíte že no

tak je to bývalo asi to patří do historie má to svoje místo v historii

podobně jako třeba já ze zdic osumdesát jedna tak

no

takže případě takže není takže když se měníme no a když si uvědomíme vlastně kde

ty se vyrobit leží tak touhletou samo o sobě není zas tak špatné protože

možná naivně předpokládáme že ty počítej ty lidé ty počítače těch lidí jsou jejich mírným

l majetkem a tím pádem na nich nějaké odposlouchávání nehrozí to jsem ale naivní co

a

že ty servery

povětšinou třeba ten server a dalece bude patřit nějakého nepřikrátil velmi s na ulici a

ten serverové bude patřit třeba nezítra zaměstná voba takže vlastně nikdo kromě alice a její

organizace a voba jeho validace

by se to je uplně jako neměl mít možnost dívat

teoreticky

takže kdo může poslouchat nové se odesílatel ten server příjemce růže

dojdeme k tomu jsem rád server že jí vlastně podle všeho lišit romaně a kdokoliv

té vysokoškoláka beru které se právě se ukázaly takové bůčky skutečně jako asi existují

a nejspíš linka nahrává pak otázka se taky no čte já si skoro myslím že

vtom objemu je to dost problém

ale můžou existovat

ten pán soudem který s tím přišel tak vyvolal spoustu reakci jedna z nich je

ls céčko který zrakem rebece ve sta osumdesát osum

a které takového dni to make up rizik monitoring je ze na tak to znamená

že to všemocné všeobjímající sledování je útokem

a měli hele to takovej navrhovány tak aby

aby tenhle útok byl znesnadnila vámi techniky to znamená nikoliv znemožněn ale znesnadňovaly co to

de

a nejenom návrhových protokolu měl kdy mi líbí

takhle vlastně navrhovány i nebo já si myslím že by ta kniha milovaný stávající služby

kde je to jenom trochu možné tak

co vše třeba ten ímejl

nim jel tedy můžeme nějakým způsobem zabezpečit a soudnej takové dvě základní kategorie

to co bychom asi všichni chtěli a co je uplně nejlepší věc je eventuelní to

znamená že na tom prvním počítači té alice ste zpráva zašifruje nějaké šifrované podoby té

nebude nikdo jiný rozumět nečte

boku svého počítače a po cestě to bude nějaký znatelný guláš chtěl protokoly existují existuje

řadu let normálně fungují

není se mu to je to teda i na s tedy standard kterýmu se říká

jestli má je máme

nyní nově je to kritice jestli to graf idnes h syntax

nebo ten vedlejší ty tady používám a infrastruktury veřejného klíče

nebo ten jakoby alternativní systém p g p který nejde oblíbený protože má tu síť

důvěry ve po vkrást

tohle funguje jestli je to velmi bezpečně

máte zásadní problém je to nepoužívá

respektive nikdo nebude abych byl přesný používají to používají to třeba tady slajd používá se

docela dobře korporátní prostředí a víte proč taková ta věc která donutila lidí který rádi

aspoň podepisovali svoje jinejch korporátní prostředí je ta

že oni zjistili

že vím právní oddělení na žílo

na jejich firemní mail server a konfigurovat po že když omylu se přiloží asi dvou

odstavců právní doška že tento není dále nové smlouvě a že veškeré informace jsou důvěrné

a uplně nejlepší to měli se stalo posledně jsem potřeboval bych sou nějaký mail

od sebe vykysnu přesně a dva listy papíru avantgardistovo vyrobil za nenapsal pomyslete lepší rouše

cvičení tohoto mailu do vedení řádek ty jsi výsledek druhý papír kteří kátého blízké leták

a

zaměstnanci velice rychle přišel to že pokud mají asi má jen se ve firmě na

shození a pokud svůj tým jeho podepíšu pomocí hesla je na svém počítači tak tedy

poštovní server oni může přidat tu patičku protože vy poškodil ten podpis

takže to je hlavní důvod proč dneska zaměstnanci korporátní prostřední podepisují sujeme pomocí je slajd

takže aspoň k něčemu je to dobré horší rušený si řekneme dobře tu změnu to

je přesně zajistil autenticito leoše to problém ste šifrování protože u šifrování vy potřebujete znát

veřejný klíč té protistrany

na tohle bohužel není do dneška pořádně vymyšleno

vy prostě nemáte snadnou přijde dost jak zjistit že protistrana používá nějaký nějaké šifrování že

když pošleš rozpravu lidí že ji rozšiřuje

a nemáte šanci zdi je typem ženy veřejný klíč obvykle jediné do co funguje že

ta první strávím pošle podepsaný milá byla na každou podpisu sis toho viděli teda veřejný

klíč

a pak může titulek ničem podepisovat

ten další problém je že

další problém je že spousta lidí sketch teď mi jej včetně mě na více zařízení

včetně takový věci jako mobilu a ták a i když já jsem schopen všímat šifrované

jména jsem schopen že bez víme že fajn je pouze na některé nesmí zařízení je

a všech takže když mi třeba někdo

automaticky že bude všechny jinde tak já si k nim dostal když se dostanu počítače

dokud se mnou byl taky prostě nepřišel protože ten mobil potřeba neumí a kdyby to

uměl vevnitř a nechtěl svěřovat ten privátní klíč k rozšiřování těch zpráv

takže tento moment je skvělé

ale bohužel naráží na to že ty uživatele s tím mají problém

dobře tak to můžeme aspoň trochu zlepšit tak můžeme udělat něco co bude jenom hloupá

jo to znamená že se to bude vlastně na každém na každém serveru který to

přepnu přeposílá tu zprávu tak to bude tahleta tohoto zabezpečení končit

ty standardizl se doma tady jeden jaký podepisovacího je šifrovacího podepisovacího dejte jim a ufoni

dále budu mluvit jenom určitě jste slyšeli nesekl existuje je to vlastně podepisování správné serveru

a tam je cílem právě zajistit autenticitu a případně nové toho zda tato zpráva přišla

jakožto systém já tě nepotěším systémech

ale je to jeho podepisování je zajišťuje to se důvěrnost co ještě důvěrnost tak je

smtp den protokol pro přenos pošty úmrtí lézt to znamená šifrování stejně jako má tenhle

toto posl tak smtp uvidí les je taky možné používat

to má velikou výhodu že to dnes při neúčasti úřad zaujal bylo to vůbec netuší

nemusí to nějak řešit a prostě i automaticky eliminujete nebo prostě s nějakou minimální vyvrací

eliminujete všechny možné odposlechy po cestě což byste podle toho beze pes osumdesát osum

měli dělat

samozřejmě zjednali bílé toho ba jo takže každý server který je součástí toho procesu

ten se mnou máte celá ulice se zde zprávy se může dostat to je úplně

jiný příběh a říkám dem většinou té to bude mít systém

tak to co se vtom celé to bylo u little se používá pouze tyto a

oportunistického šifrování proč oportunistického protože bohužel si táhneme za sebou tu železnou kouli zpětné kompatibility

a není možné prostě ze dne na den říct jako teďka budeme do šlapou zašifrovaně

protože

nějaké část a jasně řekl přesně jaká část

se vole internetu

to šifrování vůbec nepodporuje

takže

co můžeme jako dělat pokud co může se nebo co automaticky náš poštovní server dělá

pokuď máme nějaký normální ale nějaký za ten lidský

tak je to že

když se připojíš předává poštu tak se připojit k nějakému se metod rosserova ten

v rámci odpovědi na hlavičku bylo napíše své funkce které podporuje když takže podpory funkci

start ls

tak ten klient na ten tejden zavolá přítel start else

navážet else spojení

a

předá tu poštu šifrování ovšem

ovšem onen navážet do toho spojení takže šifruje ale nijak neautentizuje o neprovádí žádné ověření

identity

a dokonce ani

ne to jako mně nedělá problém s toho když tam se použije nějaká stará a

už dávno nepoužívaná šifra

koberce čtyři která je slabá zlomit a nám nějakého řádu minut

protože proč by to dělal protože když tam dostat rozsah těch volbách nebude takovouto zprávu

úplně klidně pošle prosté textu tak nemá není žádný důvod cokoliv vynucovat na tom šifrování

provede jakékoliv šifrování to nejhorší možné bude vždycky lepší než předřadného prosté textu

takže by se zdál dobrý ničem úplně k ničemu to rozhodně není protože aspoň můžete

vždycky se odolní proti

pasivním odposlechů když někdo bude jenom nahrávat a nebude mít možno zasahovat do jeho validace

taky s tou šifrované spojení bude mít problém necelé zjistit vlastně obsah té zprávy

a co víc litr a můžete protože některé cíle někte jako vyhlášené

se tady se mailové

jako by to šifrování prostor na lepší úrovni tak vy si můžete ve svém poštovní

server u

při předávání zpráv dalším se mnou nastavit ty na určité cíle

bude vynucovat lepší šifrování může tam třeba ručně nastavit mailu a seznam protože víte že

čím je seznam

ty je v máte certifikát je správné vystavený na správné jméno takže tam když je

tam takže když tam zadáte

tak budete mít jistotu že prostě ani nečinila ani na seznam se nos práva je

doručí tom plain textu a ten učí se pokud se o že to šifrování já

tím a bude tam použít nějaký špatný je špatný čtrnáct

zásadní otázka dyž tam je

že tohle řeším té uplně neškáluje dobře když vypukne teď džíny já jsem na pokryté

docela dost free minule

jak se dozvíte že zrovna že nelze tam sou ty zprávy protože jsem vám to

řek

jak jsem říkal nedělá proces nevyzkoušel

to je prostě systém který jako úplně nefunguje a asi by to chtělo nějakou databázi

společného tam je bychom si s

sami navzájem všichni důvěryhodně deklarovali já při na poště šifrování ty měli show vyplej indexem

a uvidíte že to je to k čemu já tady chci dneska dojít

samozřejmě vydání světě když si půjčím tady článek petra kočovali z dá trochu lezl analyzuju

tak vidíte že kdykoli tam dohodnete pro se tak jsem to přepsána sem to poslal

to platí úplně stejně všecko

takže prostě ano měl by být všude samé to pros

šíleně víc právě důvěryhodné certifikát je a tím pádem bychom prostě novinové to doručování tím

nezabezpečený způsobem a push ta by byla krásně zabezpečena řešeny se všemi zemi by to

přímo pro vaně každý se dověděl správný certifikát debil tilted a všechno by to bylo

naprosto bezpečně

a nebo ne

takže se takhle ptám po větě

vy se zpátky podíváme ten původní princip mailu tak zjistíme že tady ta alice

prosím na

nimi na houby zavináč jde o

no jo ale on ten server není že musím dělat to že se zeptá systému

dns na to co je za emigrant probere or

tam se teprv dozví že to je mx tečka bečka or k nadávání spojení se

místečka byly tečka

takže i kdybychom nakrásně měl všechny certifikát správně dostane zprávu

ne zabezpečíme sem

je to úplně k ničemu útočník změní odpověď na ní záznam na svůj vlastní se

v lidovém mít svůj vlastní certifikát plně důvěryhodný a byla abyste vlastně v koncích a

se ve smlouvě tam kde sme byli původně takže on ten neřek opravdu jako asi

potřeba bude k něčemu a prostě tohle je ve finále se jako

no

tím způsobem nevyřeší ty protože prostě když nemáte bezpečně se nemůžete

nemůžete věřit tomu kam míříte není záznam

čili jediné co by fungovalo i bez nelze se ku by bylo kdyby ty certifikáty

ty se mu byly vystaveny vždycky a to doménové jméno nikoliv doménové jméno toho serveru

ale doménové jméno té domény pro kterou přímá pušku

co

prosím o že to nejde nebo že to je nepraktické

ono já si to myslím že to nejde a že to je nepraktické ale

on by se ukázalo že vlastně to uplně stejně praktické jako je to u dnešního

webu kde to ale přitom de jestli stejným spouštět slíbil poklusu tak oni vám jsou

schopní

oni mají skutečně nějakých svých proxi sebe které obsluhují tisíce

doménu vystavený certifikát pro tisíce doménových jmen a

kde to ale určitě to je to je to úsilí tedy netriviální které museli vynaložit

a

rozhodně si nemyslím že to tak mělo být že to je tak správně takže proteiny

je to ještě víc nepraktické prodej často lidem mají třeba

svůj vlastní doménu na nějakém

u nějakému stejný nové společnosti ale jinde nemají třeba užijou jiného s nim bude společnost

revizi představte jak byste takové prostředí jako by zajistili aby jak ten nebo hosty tak

ten je lhostejný oba dva přizpůsobují to napadlo pro studenty ty mě operovali dní certifikát

pro tu vaší doménou bylo by to

technicky velmi nepraktické a ty šlo použitelné

a navíc tady máme pořád problém s tou viz ty vole to vás že aby

nesystémový zkušenost tržně bydlet museli dát úplně všichni troš zase uvidíme za chviličku na grafech

že to takt úplně není

a před tady trošku naznačil že vlastně

my bychom a co nějakou databázi těch

sem s tím seznamem dědové které jsou jako vhodné pro bezpečně doručování pošty no a

teď tu však o

myslí že ta databáze slyšíte bezpečná typem nenese se tak push jasný ti kterým směrem

peníze se u dáme že prostě deseti přesně to správné místo

nemůžeme distribuovaně deklarovat jávštin na poštu jenom zabezpečeni

a jak se to udělanou já si to právě je jedním z výstupu pracovní skupiny

dej jiné s autem ty když rovny entitní s ten ze by jsme se minete

lesa záznam tedy té lesa seš nebo se s jejichž je záznam který

umístíte dodnes popis toho serveru certifikát u

tohle

do původně myšlen problémy bohužel tam se to nedočkal o a ještě v nejbližší době

se to rozhodně nedočká nějakého hromadného nasazení nachystaný webových prohlížečů ovšem je to vymyšleno i

pro maily uši to dokonce i standardizováno to je nechceš o které standardize chování právě

se metopa server přehrávání pošty

je vyšlo velmi nedávno je to tohle číslo sedum šest sedum dva

tento s záznam deklaruje celkem štyry různé způsoby použití stylu ty první dva

ps neškrknuté to je při píchnutí certifikační autorita znáte když máte normální stékání certifikát a

chcete jakoby eště úspěšný že vedle správný tak jako by tam připíchněte tu autoritu která

ho vydala

případně no ten koncový certifikát

tak tyhlety dvě

varianty nejsou pro sebe teplo vo to sebe to pohled else podporovány proc ne škrtnul

právě z toho důvodu že proto sem evropou hotel se samotné pekárně nemá smysl takže

je zbytečné a komplikované

používat proto že tyhle ty záznamy té při ty chudý nějakou část a vlastně spoléhají

na tu funkci to opékání které pro ty nefunguje

více

ano je to zakázáno a některé implementace a některé implementace tyhlety mu svoji jako mapují

nula jedničko vápně turbo trojku ale prostě si není doporučováno jasně napsáno že prostě pokud

chcete použít pro co metodu silně byste použity přísloví máte číslo tři

typ číslo vadit číslo tři sou vlastně z toho že vy tam vkládáte novýho důvěry

zcela mimo tento jaká jistou to znamená že vůbec nepotřebujete žádný důvěryhodný certifikát o odjinud

a

vydej můžete hovořit například tímhle způsobem

potíž pro po dvacet pět recept nějaká serveru

a tady ten typ při to znamená že tam přímo otisk toho certifikátu který má

ten koncový sem pokud to uděláte ty číslo tři není vůbec žádný problém jeden koncový

sem měl certifikát typu se ofsajd

dokonce ani není problém šest dní náboj expirovaný provedl vystavení na jiné jméno místo ho

se neověřuje není potřeba to ověřoval protože stačí ověřitelný ty s

dobře tak sme řekli jako ten jak to ten ne jak ten příjemce potenciální vystaví

a teď je otázka jak se má správně chovat ten

sebe tepe klient který chce předat poštu

tak aby to bylo bezpečně a zároveň tak aby to bylo kompatibilní abychom si nerozbily

tech třicet let sou

fungující měl

pro ty historické lokality kde nic lepšího než staré dobré se metopa není tak

funguje to přesně tak utečeme v levém horním rohu

nejdřív nej mít záznam proto doménu kam kterou chceme kterou chcete je na kterou chceme

doručovat pošlu

tak

i s tím že a zjistíme

ještě jeden záznam podepsaný dnssec to je

důležité protože pokud enemy záznam není proč se mě leze zykem nemáme jestli jsme stejné

správně mi záznam a sobě nemá cenu nic dalšího ověřovat to znamená že pokud

ten záznam policie jazykem

končíme

na doručení soubor mystickým tele svez kontroly znáte to co jsem popsal to co dneska

běžná většina se používá

pokud ram máme u štěstí je prošli jsme tím první sítem že ten mi záznamy

podepsaný jestli se k tak se toho den a se zeptáme nebylo záznam zná přidáme

podtržítko dvacet pět tečka podtržítko té celkové tečka to název to abych se mohl a

zeptáme se na ten záznam byl s a zjistím jestli existuje pokud existuje

a je podepsaný touž tady jako vy aplikováno jako automaticky

tak to chvíli push máme jistotu

jednak že ten server je správný aby ten server se dobrovolně přihlásil

do toho že si přeje aby k němu byly doručovány nejeli po dešifrování tu chvíli

mně přepneme logiku

na vynucenou vynucené tiles viděl celou kontrolu silnější fér a vynucené lince ne a vymizelo

kontrolu otisků tebe vydá to slíbil záznamem

pokud něco z toho šel že

tak ta zpráva se prostě nedoručíme přepne za template pejska odloží se do fronty a

slušně to čase nula jste to nespravilo

stejně tak se ta zpráva množinu fronty pokud selže

ještě je výrazná bude celkem logické jo pokud selže zjištění to hotel s záznam takže

ty užívaj se odloží do fronty na zloděje pokud pro záznam existuje tak zase víme

že ta léta doména sice řádka já ne se zvykem ale její majitel se nepřihlásil

toto léto

ve systému doručování bezpečných mailu a tu chvíli zase můžeme tím oportunistických způsobem

je to teda takové ty vole si priority

teď se vlastně co se přesně říkal tak tady máte ještě napsané

důležité tady je že zatímco nenormálního podrazí způsob je

násilník velmi triviální na auditu toků pokud tam nějaký člověk uprostřed úplně stačí abyste odpovědi

daného vymazal ten příznak start osel tu chvíli ten to je se domnívá že ten

server nepodporuje šifrování nesoudní ani nesnaží

tak tuhle chvíli ten hledali to kompletně vyloučený protože

pokud veze zjistíme ten autisto odpis toho certifikát nad limit abecedy vydá musí být a

pokud by tam nebyl tak to prostě není tak je to chyba a ten měl

se vůbec nedoručí

a samozřejmě to problém jako s každým ty filtr takový protože když technologie funguje správně

tak vlastně nesmíte jiné televizi jenom ženy se vyloučí

pokud jste já tě nejde výskyty nedoručenými vždycky problém no takže

je to

ale je otázka jestli dopravu je lepší do určité každou cenu i když to vždy

špatně nebo když to špatně dyž víte že něco špatně

tak to ročně doručit samozřejmě já si myslím že to druhé správně

kdo to umí takle validovat tak

brně první implementace a už docela dlouho je ten postfixovém je celej jedenáct

ve vývoji je implementace projekt zima pro open sebe teplo to vše von projektu pro

výjezdy nicméně nevím v jakém stádiu jsem to hledal tak si eště pořád nebyly ani

jako nějaké veřejně repozitáře kdybyste si to mohli nainstalovat vyzkoušet ale tom postu se to

funguje velmi dobře

přes rok

důležité je proč to se a nefunguje proveditel nefunguje protože dnes jakožto přenosových protokolů je

poměrně rozbitý a co se týče koncový sítí

protože jsou tam nejrůznější proxi servery domácí rotate atif portály a podobné věci které tenhle

se rozvíjí takovým způsobem že byl se ze vleze na koncové na koncové stanici ohromný

problém

zatímco

tady mi validuje letadle se zejtra tom sem to pro sem se to pro sebe

bývají umístěny mnohem lépe z hlediska případných problémů snese se toto se mi bývají umístění

do datových centrech a mají obvykle poměrně volný přístup k internetu nebo případně no nějak

formulovaný rozhodně nejsem rozhodně

tam nejsou takové problémy zase klecí takže validovat donese se na straně poštovního se du

je mnohem snadnější rychle doléhá straně všech

všech klientů webový prohlížeč

proto tady s není problém a proto tady je možné tu ten dev assistant praxi

pouhý skutečně ušli

push přes

a leška že případě i kdybyste tohleto nechtěli používat tak každým případě můžu jenom doporučit

že opravdu byste měli validovat dnssec nějaký mylný server právě z toho důvodu že veškeré

směrování pošty je stojí a padá s těmi záznamy které prostě když budou zmanipulované byl

se tak vy budete pošle tu pušku úplně na nižší ceny posílám

a

no se jí nosil pak nakonec můžou šel učit správným směrem že se někam okolní

a jenom přibydou nějaké hlavičky já si se nedívá delší hlavy že všech tím ivane

zkoumá do cestu kvůli daný měl šel takže byste ho stejně asi nepřišli takže jako

tady je opravdu

opravdu

rozhodně dobré přinejmenším jestli ještě nemáte a jestli se stát já ti poštovní server

tuhle věci tam zapnout

tak

a co je na tom jednom systému úplně nejlepší

že doručování na

ty stávající legraci

servery které prostě jak texas vylučovali před lety které v ní dosud jenom to sem

hotovo bez žádného to zas tak prostě funguje jako doposud takže nemusíte mít žádný white

list black list

prostě to funguje protože když tam není tento les záznam tak se automaticky předem toho

oportunistického režimu který je ten výchozí

no nebo ne

když se ptám tak tam zas nějaký háček bude

ale těch háčků je tam poměrně málo takže

podstatě za ten rok nebo kolik co uši validuje ji na svém soukromém zatím jsem

soukromém jsem will tell sázavě tak jsem zaznamenal dva případy kdy byl problém ten první

případ je provozní problém který souvisí s tím že právě

tyto záznamy neska sou v takovém stádiu jako early adopters to znamená první uživatele a

obvykle to tak že vlastně nikdo se dočte hotel s záznamy to řekne si to

je skvělá věc to bych no nasadit rád rozhodneme se a

vůbec se třeba neobtěžuje

to tohle dalo říc tomu člověkovi který má dataset ssl certifikát já stalo s

a při nebo případně s ní láskou pracovat na něj ani dopravy postupy

a pokud s toho dostane napadlo je přesně k tomu problému

že minulý rok jste učil u toho mu za dvěstě padesát šest je všechny zahájení

školy certifikát i přes tedy dostatečně bezpečně a všechny měnili autority a dělají další věci

kolem toho

no a při té při založení kolikrát stalo

že někteří měně autoritu ale nechat lidi měnit certifikát a nechali tam ve stadiu stal

certifikát u

tu chvíli samozřejmě doručování přes

tohle se je s touhle variací selhalo a je to tak správně byl to je

přesně ta chyba proti které se to zabezpečena

tady ta jedem protokol tom zcela nevinně ten protokol nemůže dělat nic lepšího ne že

to nenaučí protože to je přesně v sobě o něm

po něho chcete

a

eště důležitej že když uvidíš už to víte tak si musíte uvědomit že vylez

není nic hned to znamená že budeme s pokud máte umístěný nějaký otisk

a tedy certifikát tak to nemůžete udělat takže teď vyměníte certifikát a pak to zní

tejden s ne

musíte vždycky udělat tak

který si nejdřív nejede ten výpis toho certifikátu kterou je bys mi stavíte se spolu

s tím starým otiskem

a počkáte nějakou dobu až budete mít jistotu že celý svět zná oba dva ty

uctiv tam donese

a pak teprv může ten certifikát vyměnit a podmíněně zase vymažete s toho byl se

případně ten starý outlist

protože nejsem není synchronní nemůžete dosáhnout kompletního si mechanismu a kde se platí vždycky taková

logika

že pokud je se něco navíc tak to nevadí ale nesmí tam něco chyby takže

když tam něco ještě něco navíc si tam sednout dycky a jeden z nich platí

jedný neplatí je to vpořádku to je právě logy jak jádra zavedená kvůli tomu že

dal jsem nemůžete nikdy synchronně aktualizovat

a druhý problém který se týkal přesně jenom snění

který vlastně byl s

způsobem byl takový hezký lokalizovaný na českou republiku a konkrétněji do nějakého jihočeského mě ztratíš

někteří už víte kam mířím

tak druhý problém je s tím že někteří naši čeští registrátoři domem nainstalovali nějaký

dnes se server který není úplně dobrý

a eště úpravu o to horší je když není ještě přidej podporu byl se která

taky není úplně dobrá nemá dostatečný množství není dostatečně otestován a vše stojí používají na

produkci na všech svých třech no byly museli

protože to přišlo nějakým způsobem vhodné pro napojenej stávající systémy no a

tenhleten jejich autoritativní server měl takovou poměrně základnou firmu která se praktickém provozu

neprojevila pokud tam někdo měl

pokud tam někdo měl na definovaný pátka

se na jedničku

tohle to je to nejhorší co můžete chtít nejhorší to budete mít zase je vesnička

tak

a zároveň tam neměla něco najdete lesa záznam což to neměl nikdo protože to ani

neumožňoval daný systém

tak

důsledkem bylo že takže ten autoritativní jsem neviděl takovou strukturu ty donesl se k záznam

můžete že to nebylo možné zvalidovat

prostě ta validace při dotazu na neexistující záznam selhala

vy si řeknete tam není a pochybuji no před ní nepřišel protože

pokud se zeptáte na neexistující doménové jméno a dostanete odpověď mx domény

nebo dostavil to vyser fail

tak jako tak se dostal prádlo po vy prostě zajet a povědět donese selhalo a

většinou vás nezajímá

případě že niveč vám je odnese se chová data

tak je to ovšem zásadní rozdíl

pokud dostanete rss jako vodpojej těmi kdo mi znamená trest roztaje podepsaný mutes o tom

že ta doména opravdu existuje

a vy víte že nejste zatímco

ji dostanete návratový kód se na fail

tak se dostali pouze informaci o tom že selhal pokus o validaci což nemusí znamenat

že ten záznam instaluje taky znamená že někdo se snaží dosud lůza do schovat

a předstírat že nejste prostě byl odhalen podobné lese si

teorie pokud je odhalen polovinu desek uvidět ten obrázek

znamená to je selže adresování toho donese z toho záznamu

a zpráva je odložena do fronty a složitě za chvíli znovu takže

to byl ten druhý problém

na který sem během těch let narazil ale jsou to opravdu ojedinělé problémy a můžu

vám s klidným svědomím říct že

oba dva u se podaří jo

víceméně eliminovat a současné době měření té sem provedl před ní je tak sem na

žádný rozbitý ten lesa nenadsadil takže zapnout validaci já jsem jel jsem byl je bezpečné

jak to otestovat

můžete to dělat ručně to jsem dělal před rokem jsem ještě neznal nástroj ty jsi

nepustil se finger který je součástí ostře co a který slouží právě proto abyste otestovali

jsem a to pro komunikaci s tím tell se zabezpečení bude strašně jednoduše zavoláte postoj

se finger a zadáte jméno domény

autor souboje atomic záznam rosou je to případné ty případné tyto lesa záznamy a

jako že to trošku bude vědět bohužel se to nebo to udělat větší aby to

vzal že ne že to vím že to jedinej zkouším seznam cz a

ono znají a tady je zjistí že telefon certifikát se ní mailovy na vystavení certifikát

podle mého tohle myslel

a ne

protože základní nastavení ne postel set lidí nedůvěřuje žádnej certifikační autoritě tak vám to stejně

řekne to spojení a metra state prostě navázal se to lze spojení a není a

důvěryhodné

proti tomu diskusi kterýho doménu třeba ten co se

stay vidíte záznam že i uzeniny a hranách nenašels nějaký ls a nám

a

vidíte certifikáty taky vystaven a záviděl sameťáka a korupce je chtěl bych vidět

a vidíte že tato spojení zadní standardně na verify které zásadní rozdíl tady vyjde prostě

ty pana spojení kterej umí a spojení s té funkční není já když už je

takle vypadá tak samozřejmě to vede k tomu že to chce taky nějak změřit takže

co sem udělal minulý týden

jednorázově asi by to bylo lepší nás litovat ale zase nějaké měl čistej jsem tak

udělat neměnná zaměření

že sem se sbíral logy

z některých poštovní se mnou

a s těch logů sem jenom publikoval

právě

cílového a cílová doménová jména tam se jako píšou skutečnej měl dělat skutečně ale ta

je voliči to bude se tadydle měření dělá je někdo to dělá třeba s alexem

to něco tok tisíc stop s to tak si uděláte měření

což ale alexe seznam excelu tady to uplně nemusí korespondovat s těmi jinými dobrými stránkami

a naopak já se teda vzal hranatá za poslední nějaký asi rok

jo ty mailové adresy se tak asi dva na jednu hromadu našel jsem jich asi

čtyři a půl tisíce a tohle se zjistit takže donese set no je to poměrně

dobré ne

ale mohlo by to být výrazně lepší takže vidíte že jako dvacet jedna procent tisíc

přesně tisíc domem je chráněn se těm

další tři tisíce šest set není za dvě tři byste šest je tudle chvíli vlastně

uškodil psaný že nemůžou být nějak lépe chráněny

jak je to s tím stát ls

tak pořád nemáme čtvrtý no teraz tato se nepodporuje

ale ne

tři štvrtiny skoro docela pěkné to podporující vše

zase naopak velmi pozitivní čekal jsem to mnohem horší no a ta zelený mísečky rušení

nevíte kolik toho je tam je padesát to sou k té přesně palisádou nezaniknete města

máte lesa záznam je které tím pádem jsou před zapsali do toho do toho programu

pro bezpečnější předávání mailu

tak

když jsem zjistil že těch

tele se ještě jsem chtěl podpořit ls je tolik

mě začla pivo tak sedí to je vozem podívat se blíž

jaké druhy certifikátů jsou tam umí nasazené takže

další dělat to ukazuje

tak

když to vemu té červené nějaká značná část je se ofsajd znamená sou ty

vyšel jsou takové které se vidíme utře už máte debian instalujete space tak se vám

automaticky vygeneruje sám sem certifikát na vás není to se nula takže aniž byste něco

mu se aktivně dělat tak se tady bude stát do červeného stalo

pak je poměrně velká část a je ta oranžová okrová

kde máme nedůvěryhodného vydavatel znamená je to certifikát vydaný jediný nechám sebou ale my toho

někoho jiného neznáme pro účely tohodletoho tohleto měření jsem použil vlastně standardní sadu důvěryhodný certifikátu

kterou má

myslím že debian to byl

učenců ten účet než prostě standardní sadu kterou a nějaká linuxová distribuce sobě a prostě

pokud vyšly jako nedůvěryhodní tak děkuju šescet

její ale poměrně a zbytek vlastně nic certifikát to znamená něco kolem řekněme dvou třetin

sou

už du jo nečerpá měli taky zajímavé

že i pro takovouhle službu je to vlastně

dá se říc zbytečně nebo téměř nepoužitelné tak

je takové velké množství certifikátu které jsou důvěryhodné s tím že

těch osm procentních říci důvěryhodných ale vystavených na úplně jiném io které se neshoduje ani

se mi serverem

a nikdo maily jménem

tyhle šestnáct šedesát dva skoro polovina

chtěli zeseru procent tak

ty jsou vystaveny právě na to

na to jméno které odpovídá doménové mu jméno u toho serveru to znamená ty sou

vystaveni správně a ten server ale pokud ta doména nemá dnes esej tak vlastně stejně

žádnou ochranu nepředstavují a teprve těch čtyři sta padesát šest zelených

těch třináct procent

jsou ty se dali té

by teoreticky mohli být důvěryhodné i bez dnssec o protože mají

protože mají certifikát vystavený na jméno domény pro kterou všímají poštu

jo

takže vidíte že

i nějž těch důvěryhodných je takové množství

jen tak na část je tam mluvil máte vo hlavu a vezmeme ze zvyku

víte že se těch opravdu potřeba a hlavně vy nemáte žádnou šanci se to ty

kdo jsou tihle

dosud tahle části byste chtěli ten seznam spravovat nějaký na nichž tom nenese se ubohosti

to záznamu tak není žádná strana možnost jak prostě zjistíte že jsou chvíle které si

má dát stavi do white listu že ty tyto dělají správně

a uplně závěr tady je

no ostrým tohle je těch padesát doménových ne která mají správně tele s záznam a

samozřejmě tady už trošku vidíte že takže je to trošičku nevyvážené protože se to za

našeho firemního sednul

takže tam vyskytují takové věci jako jo mimochodem ta velikost těch von to je naprosto

náhodná to nemá vůbec žádnou souvislost ničím to prostě o ten software který dělá ten

cloud před tebou klaus to prostě náhodně aby to bylo zajímavější o to že perioda

nějaké velké no jako něco co jste zač že nějaká podivná testovací lidské a udává

nefunguje

a pak jsou tady asi jaké malinké chocolates ne pak já teďka je té call

a který takovejch jako nevíte ale jak chcete

nich té evoluce se

takže vidíte že to docela jestli je to jako

nemůžeme se zahrady věci mám prsty nám jo tak třeba je té for tam prsty

nemám turisté ze taky není moje a třeba tady kterou nám bude taky není moje

určitě

takže

jednotlivce

tak

takže artistovými tak

když to řadím opakovat tak se může začal přidat teda ten to je to je

toho tak cloud dalo udělat znovu jako přednášku znova no

ano

já to zkusím drazí jak je plná znám rozvede jestli jako nadhled je ten certifikát

je které nemají nic nestane jméno nebo sou sepsaný nebo neznámého vydavatel jestli by se

vůbec měl určovat pošta a já říkám že měla protože nemá smysl

nemá smysl jako by

protože jí opačný stavem by bylo že pro ty lety kdy pokud bych řekl že

to jsou špatně nemá sem určovat tak bych tam musel za plyn textem

a cokoliv je lepší dyž kontext

a to stojí když se taky nemůžu uvěřit

no

jo takle

jo

ano je ten zásadní problém s tou že prostě zatímco webový prohlížeč je to stejně

jako vyližte prostě že tam takový a certifikát jo tak vyhlásí hroznou chybu a dělá

takovéhle tři kusy

problém je že u toho push to měl jsem není žádný uživatel který vydal na

tlačítko a je dobrý

takže

a

zásadní věci je

že pokud by to tak nebylo je říká tak by to

po hubě takové rozhodnutí skutečně bylo

tak by to kompletně zabilo podporu tells co předávání pošty protože by to nikdo nikdy

nasadil

protože to je přesně nebylo že by to

je duševní se bojí nasadit něco co by mohlo potenciálně rozbít stávající systémy takže ne

že prostě pokud by se

pokud by vydání certifikátu který je nedůvěryhodný zvláště když si vezmeme to že abychom se

dostavit do byl neatomický stojí

nejenom nějaké úsilí dokonce vše stojí nějaké peníze tak jako je jasné že prostě

samozřejmě teoreticky je možné stopy dole i a ne není tele se zde se pouze

šifruje a nejprve neověřuje se strany takže ekvivalent toho když tam jeden ze kterých dát

dělali a já si mysim že ale není to se je pořád mnohem lepší ještě

plain text a tím pádem já to bylo že prostě a není byl se

ano ale se já si myslím že nikoliv

já se já jsem si je fialová lepší nějž ještě do saint třeba jo ale

já si nemyslím že jako prostě to potom poho přímém fajn že prostě

když se obsahem přímá ne protože nás je nezajímá tak si myslím že nás nemůže

zajímat není že to krásně ani že to cokoliv jinýho prostě

jakoby nemůžeme zvýším standardem

mít víc mít jakoby horší nazelovaný pohlížet jako horší certifikát

přesně ták no tak se teďka sou

ano tak se to dá říct přesně tak je to prostě a volatile se umožnili

ale není a není režimu že tam ani žádnej certifikát je jsou ale

mysim že to je problém nakonfigurovat samo o sobě funguje tak co vám ochránil pro

jestli znáte nagios remote

něco tak nedopadne funguje pomocí a není hotel se dnes dešifruji ale nic není neprokazuje

tak

na tím se dostáváme k závěru mojí přednášky takže

co by chtěl říct

abyste pomohl je šifrování jasně se leda pro servery jestli pozor vezmu třeba debil nám

to nejste základu ta chtěla žen tom ne

takže žen two

včetně mají pracovní stanice má posty

který šifrování je podporu jenom protože tam nikdo neviděl texasem certifikát a nezapo tam pro

konfiguraci

nic to nestojí a vůbec nemá cenu utrácet za nějaký certifikát

je to úplně jedno protože písemná ne úplně jiných nejlepší certifikát který existuje zaplatit za

ní úplně nejvíc peněz

tak je to stejně úplně jedno protože každý vás můžu bernoulliovy dohodne dát dosáhla a

jak měla a zase naopak

jakmile rád klesá záznam vůbec nezáleží na tom jaký ty certifikát tam máte ten sem

se mě úplně dostatečně

donese se prostě musíte mít dnes jako to nejde a bez deme sekundy můžete doručil

bezpečný a když máte nenese se kartel s vlastně nic nestojí jenom pokud máte nějaký

divný systém na zprávu vynesl dát tak prostě styl se a

toho se a třeba nebude tam zadat no a

validovat ty validovat tyhle ty tele s záznamy na straně toho se mu ty jdou

přes právě toho se metoda klienta je bezpečné

ale

můžu vám doporučit a udělal jsem dobrá tedy poslední incident dvou přidat si kontrolní na

hlášku s postfixu server se techniky no trasy

kterou když uvidíte tak víte že právě došlo k tomu že prostě podle toho se

a bych se tam není ho doučovat a proto se to spravovat žádost dobu byl

do fronty a když zjistíte tak má to vy dočasně tři něco ta zpráva leží

ve frontě zatelefonovat na druhou stranu přiznáte to blbě rozbili jste to už ani já

jsem tam vlastně tady ta jedna parcela zaplněná pak se měnil certifikát

přesně takhle to dopadlo asi dvou firem znak nevolal

jo takže já je takže vám ani se tak jako svoji ty postupy já čtu

nebo je taky oběžně nerozšířil jako je teď tak to bude úplně úplný standard no

eště nižší růst plně se rozloučím tak

by chtěl říct jako kam dál

že když se tedy dostaneme do tohodletoho ověřování sem etapou hotel s kam dát by

se dalo nízkým použitím že se kolem jejího pro

nebezpečnější než tak první věc sou třeba záznamy které sou teďka všude tím

jakoby v diskuzi a to sou open výživný tý a se má jinej záznamy

kde bychom si vlastně pomocí se uloženy očisti veřejných klíčů neuspíší pí je boleslavi

a

to nám vydrží ten program té zelené šátku že bych kdybyste chtěli ale šifrovat

tak vlastně nemá máte velký problém nezjistit ověření když ne protistrany vystihl poslat šifrovaný jo

když bude nějaký standard jak se na takovéto ta systému donesl

tak je ten problém třeba je vyřešen a

dokonce tohle umožní takovou věc a už existuje experimentální implementaci která se děsím jedna

co všem byl teda to znamená to software kdy pustíte na poštovní serveru

a on

a pro stahujete přes něj zprávy která posílají uživatele ve svých notebooku a podobný

a hned software se pro každý ten podržíte mi ho podívá komu je určen a

podívá se právě nikam nenesl já zkusím najít veřejný že když ale že vezme ten

tak nemel našeho je pude na straně sem

takže vy můžete mi kompletně se zbavíte té toho problému s tím predikovat uživatelé mají

ještě tato šifrování jak mají se starat o svůj certifikát

a prostě nebo je to podepisování ale šifrování

vy zajistíte aby prostě ani když to správné putovat přes ty další se vydat i

další ze vy si v ní je počet lidí to je docela hezká myšlenka

tudle chvíli té že tam ještě není úplně implementace existuje nějaká testovací ale ještě to

není

ještě to není rozhodně něco co bych moh někdo doporučit nebo je to spíš jako

takový směr kudy se vydat

no a další možnost zatím ne se tam byl sám a vede hotel závazné pro

prokazování je tedy serveru ale čistě teoreticky vydat se mohlo zajímat aby se takle před

prokazovat klienta by ten to je používat klientský certifikát

nebyl anonymní vůči tomu serveru

a zase ověření trestal certifikát místo aby se dělalo pomocí pelikáni modelu kdyby to bylo

komplikované tak se musí a pomocí klientského chce pomocí dějinnou

čemu by taková informace byla možná no tak jen aby ten server teoreticky mohl žít

že nějakou zprávu o ní nevíš tendence nepředstaví jako ten správný klient

atomicky dá to může být takový vlastně já bych to nazval s ten asteroid je

stejná dsp kde se vlastně upřel pomocí lese

dobře vyznají já prosím dokončím ještě dvě věty

teď sem totiž úplně ztratil nic

hezké za starých ano takže řekněte sklepě pouze

nějaká deklarace

tady můžete mít

ty pro graficky zabezpečen a to je všechno dobrou noc