Сделал вс╦ как "книжка пишет".http://mail.google.com/support/bin/answer.py?answer=32231.Постоянно появляется вот такое сообщение.Какие будут варианты в ч╦м загвоздка?

а как ты к нему стучишься? случайно не через какой-нибудь SMTP-Proxy? это может быть например антивирусная программа, которая твой мэйлтраффик прикрывает. Выполни:
telnet smtp.mailq.com 465
а почему у тебя 587 ??
а зачем тебе TLS? он что без шифрования не работает? или тебе обязательно надо шифровать весь твой мэйлтрафик на уровне TLS?
а сертификат ты кстати получил? он же ругается, что у ты ему сертификат не показал...
P.S. он прекрасно разговаривает по 25му порту. см. прицеп

Когда-то я уже поднимал такой же вопрос вот тут http://foren.germany.ru/arch/computer/f/2622413.html?Cat=&page=10&view=collapsed....
Я специально дал ссылку на сайт,где описаны настройки почтовых программ,всё сделал как там написано,а воз и ныне там!!!

1

2

ну, не знаю.... в принципе можно настроить и с TLS. зачем таким хлопотным способом шифровать приватную почту, я, откровенно говоря, не знаю.
т.е. я могу понять спецслужбы, которые шифруют свой сетевой трафик и т.д. Но зачем обычному пользователю такие хлопоты...?
Подумай сам: фактически ты хочешь свою почтовую сессию осуществлять по зашифрованному каналу. Если даже не задумываться о том, что твои сообщения врядли представляют какуюто государственную или деловую важность, то твоя зашифрованная сессия заканчивается тем, что твои сообщения приземляются на общедоступном мэйлере в обычном человеческом klar text. И чего ты добился?
По TLS ты зашифровал свой user name и пароль. ОК. Ты думаешь на него ктото по пути посягал бы?? Даже если так, то перехватить такой трафик в сети невероятно сложно. Будь ты американским президентом, наверное было бы много желающих . Но тогда бы ты не пользовался gmail
Если ты переводишь деньги в online banking, тут 2х мнений быть не может: нужен SSL. А для чего тебе TLS, не понимаю...
Попробуй "поговорить" с мэйлером по портам: 25 (отправка) и 110 (приём). Все должно получиться.
А если тебе нужна зашифрованная линия, то и такой мэйлер как gmail для тебя будет unsicher.

Опана,генич появился,привет,Шура.Спасибо за помощь,не канает тоже,не понимаю что за фигня)))

Смени сервер на pop.googlemail.com i smtp.googlemail.com

Для информации - TLS - это наследник SSL.
В ответ на вопрос "Зачем?" - отвечу вопросом на вопрос - зачем люди пишут письма в конвертах, когда есть открытки? Вс╦ равно ведь те, кому надо, вскроют и прочитают - не так ли? Шифровка почты по дороге к провайдеру - это простой и эффективный способ защитить себя от особо любопытных, который, к тому же, ничего не стоит. К сожалению, любопытных в сети достаточно много - это может быть, если угодно, хотя бы сам провайдер, точнее, админ провайдера, которому делать нефиг...
зашифрованная сессия заканчивается тем, что твои сообщения приземляются на общедоступном мэйлере в обычном человеческом klar text.
Зато по дороге никто ничего не прочитает, и не узнает ни имени пользователя, ни пароля (которыми можно потом воспользоваться - зачем и как - другой вопрос).
Ах да - относительно первого твоего комментария - это не сервер у автора просит сертификат, а наоборот - сообщает о том, что сертификат сервера не известен, точнее, подписан кем-то, кто неизвестен (что, впрочем, не мешает ничему).
Автору: нужно просто нажать "OK" когда появляется вопрос про сертификат. Если не получается - что происходит потом?

по моему мнению может осуществляться PGP (или похожими продуктами)

именно это я и имел в виду.
не углубляясь сильно в основы TCP/IP i OSI-модели, можно лишь сказать: защищая свой мыл однокласснику, где написано, как ты классно попил в воскресенье пива с друзьями , ты защищаешь его от админа твоего провайдера. И не более того.
Если для тебя это представляет жизненно важный интерес, можно и нужно разобраться в OSI, воспользоваться TLS, а уж потом, для надежности --PGP...
желательно, кстати, для такой корреспонденции избегать всяких free-Мэйлеров
(У меня был коллега, коорый мэйлы своей маме шифровал 2048-битным PGP-ключ╦м... Он и вправду во всех этих делах шарил, т.к. является членом CCC. На мой вопрос, что он такого маме пишет, что надо шифровать 2048-битным ключ╦м у него ответа тоже не было )
В-общем, ежли кому сильно захочется почитать твой мэйл про поход в пивную, то будь спок, они это сделать смогут.
Касаемо же шифрования линии: если есть предположения, что админы твоего немецкого провайдера могут воспользоаться твоими логинами, чтобы разослать, например, спам или ее какую каку.., надо посмотреть, а нет ли поблизости других провайдеров...
да и не до этого им, веришь? я просто знаком с транспортировкой эл. почты в больших объемах так сказать, изнутри и, смею тебя заверить: никто не станет напрягаться, чтоб отловить твои логины...

ты защищаешь его от админа твоего провайдера. И не более того.
Да? Не более? Ты забыл, сколько может быть хопов по дороге от моего провайдера к конечной точке, и ты _никогда_ не можешь быть уверен, что никто по дороге не проявит любопытство (особенно в наше время). И ты не ответил на вопрос - зачем люди пишут письма в конвертах, если те, кто хочет, вс╦ равно смогут прочитать?
можно и нужно разобраться в OSI, воспользоваться TLS, а уж потом, для надежности --PGP
Для надежности, говоришь... И чем, по твоему, PGP улучшит надежность? Или ты не в курсе, что надежность любой системы безопасности (в частности, шифрования) не выше, чем надежность самого слабого звена? А теперь назови-ка - что у нас самое слабое звено? Ах да - зачем разбираться в OSI, для того что бы пользоваться TLS? Ты хочешь блеснуть знаниями красивых слов, не совсем понимая их связи друг с другом?
В-общем, ежли кому сильно захочется почитать твой мэйл про поход в пивную, то будь спок, они это сделать смогут.
О да, безусловно. В крайнем случае, меня можно поймать у двери в квартиру, надеть голову на мешок, немножко побить и узнать вс╦, что я писал кому-то, а также, заодно, все мои пин-коды, тан-коды для онлайн банкинга etc. По твоей логике, двери на замок закрывать бесполезно - опытный вор, а особенно ЦРУ, ФБР, АНБ и прочие жуткие службы вс╦ равно е╦ откроют за 5 секунд, более того, я даже не узнаю что они там побывали. Ответь мне - зачем ты закрываешь дверь на замок?
надо посмотреть, а нет ли поблизости других провайдеров...
А если у меня есть предположение, что у провайдера моего друга есть любопытный админ? Или что по дороге есть любопытные? Не то что бы я сильно переживал по поводу того, что кто-то узнает, с кем и что я пил вчера в баре - но как-то не хочется делиться _личным_ с _чужими_, не находишь? К тому же, даже крупицы информации о человеке могут быть легко обращены против него - про такую вещь, как social engineering, ты, надеюсь, слышал?
да и не до этого им, веришь? я просто знаком с транспортировкой эл. почты в больших объемах так сказать, изнутри и, смею тебя заверить: никто не станет напрягаться, чтоб отловить твои логины...
Не верю. Потому что точно знаю, _кто_ там попадается, и _чем_ они иногда занимаются. Потому что безопасность (в IT и не только) - это то, чему посвящена большая часть моей жизни, и я великолепно осведомлен, что и как там бывает.

Неа,не получается,почта приходит,но сообщение при проверке осталось,но так же было и без того что я меня поп и смтп.

от меня до Г-мэйл -- 15. И что? возможно, ради тебя кто нибудь и станет хлопотливо зеркалить рутерные порты, чтобы где-нибудь на opentransit.net поснифать твой траффик... я себя такой важной персоной не считаю. А уж тем более не считаю свою приватную корреспонденцию достойной такого административного геморроя

люди, отправляющие письма в конвертах делают это, зная, что любой конверт может быть при желании вскрыт и письмо прочитано. Кстати, не только прочитано, но и изменено, что порой гораздо хуже.
сравнивая это все с бумажной почтой, можно сказать, что ты отправяешь, используя TLS, чемодан, закрытый на кодовый замок, ключ от которого имеется у твоего курьера.

да ради Бога! и что они такого из моего письма, например, мой сестре моут узнать, изза чего я должен городить весь этот огород? что мой ребенок принес из школы очередную хорошую оценку? Ну, пусть знают, пусть завидуют

ты, по всей видимости не уловил иронию в моих словах.
Разобраться в механизмах того что делаешь -- оно, вишь ли, никогда не плохо, если это хочешь делать сознательно и понимая, зачем ты это делаешь.
А шифрование сообщения как такогого имхо в данном случае ничуть не менее важно. Скорее даже не шифрование, а эл. подпись. Иначе моё письмо про отличную оценку в школе (см. выше) можно переделать и получится, что ребенок у меня двоечник

да незачем мне ничем здесь блестеть И твое возбуждение по этому поводу мне не совсем понятно... Да и слова, собсно, не такие чтоб очень красивые...
я полагаю, будет излишним расшифровывать аббревиатуру TLS. Или все же расшифруем? "Transport Layer Security". Вот можно (если хотеть это применять не просто так, а понимая) себя и спросить: какой такой Transport? о каком Layer идет речь?.. Вот тут и пригодилась старая схемка OSI.
Теперь нам понятна не только связь красивых слов друг с другом, но и значение аббревиатуры, которую мы прочитали у себя в настройках нашей мышки...
а чего ты и вправду так напрягся на красивые слова? Или они по твоему и вправду между собой не связаны?

а кто тебе сказал, что я ее закрываю? я ее просто захлопываю. От тупого любопытства она тем самым защищена. А кому понадобится (легально или нелегально) проникнуть в мое жилище, это смогут сделать, даже если я дверью не просто хлопну, а еще и ключ в замке разок поверну. Кстати, тех, кто это захочет сделать легально, я должен буду впустить в жилище сам, т.к. у них, например, ордер на что нибудь, и я обязан этому ордеру подчиниться. А для взломщиков мой замок тоже не представляет особой проблемы.
А как у тебя? У тебя бронированная дверь за семью кодовыми замками?

если ты имешь в виду того друга, которому писАл про пиво, то тво╦ TLS-шифрование на него уже не распространяется. Mало того, что письмо в открытом тексте лежало на сервере, так еще и забирают его без TLS. Или ты хочешь сказать, что настройками своего почтового клиента ты обеспечиваешь зашифрованную линию для почтового клиента твоего получателя?
Смею тебя разочаровать. Твой друг должен будет, чтобы обезопасить твою информацию про пиво, настраивать своего клиента сам...

я уверяю тебя, когда я захочу сообщить кому нибудь из своих корреспондентов, что мой ребенок притащил из немецкой школы пятёрку, и при этом захочу защитить эту важную информацию от любопытного админа моего или не моего провайдера, дабы не позориться , я лучше зашифрую мэйл PGP . Иначе мне надо заботиться о том, чтобы снимая почту с какогонибудь mail.ru мой корреспондент тоже пользовался каким нибудь сетевым криптографическим алгоритмом... итд.

ну, не веришь, и ладно


эти две сентенции слегка противоречат друг другу. Но если ты так считаешь, тебе как security-специалисту, наверное виднее
я, вишь ли, и вправду в приватной переписке не пользуюсь TLS. Мож оно и вправду без разницы, кто ентот сертификат подписал. да и хрен с ним, просто ОК нажмем и поедем
поскольку бОльшая часть моей жизни посвящена, именно обеспечению транспортировки эл. почты, знаю, что на этом пути, как правило ничего сверхъестественного не происходит. Правда, я обслуживаю, корпоративную сеть, а ты в курсе про ISP, где сидят злые любопытные админы, перехватывающие и читающие мою переписку с друзьями.... Тут я и вправду, не очень в курсе.
Может расскажешь, что там и как в мире любопытных ISP-админов?
заодно, предупредил бы читателей форума о том, с кем из местных ISP по этому поводу лучше дела не иметь?

Разобраться в механизмах того что делаешь -- оно, вишь ли, никогда не плохо, если это хочешь делать сознательно и понимая, зачем ты это делаешь.
Ты тщательно изучаешь электротехнику, перед тем как воспользоваться выключателем для лампы в квартире? Или тебе достаточно знать, что он выполняет свою функцию?
Скорее даже не шифрование, а эл. подпись.
TLS включает в себя и это тоже. Как и SSL.
какой такой Transport? о каком Layer идет речь?.. Вот тут и пригодилась старая схемка OSI.
Умничаем? Ну а может расшифруем аббревиатуру SSL - Secure Socket Layer - и потом обнаружим, что уровень у них - один - а именно - если говорить про OSI - presentation, а вовсе не transport. TLS - всего лишь _название_ протокола, который не имеет отношения к транспортному уровню OSI (которыми являются, в частности, TCP, UPD, ICMP etc).
Или они по твоему и вправду между собой не связаны?
Исходя из вышесказанного - завяжи-ка мне TLS/SSL (presentation layer, 6 по OSI) и transport layer (4 по OSI). И пусть названия не вводят тебя в заблуждение - TLS не более чем наследник SSL (как говорится - "учите матчасть").
Повторно процитирую твои слова:
можно и нужно разобраться в OSI, воспользоваться TLS
Мне жутко интересно, зачем кому-то разбираться в OSI, что бы _воспользоваться_ TLS (или SSL) - если (грубо говоря) достаточно поставить "галочку" в нужном месте (собственно, так оно и должно быть для конечного пользователя).
Может быть, ты не считаешь нужным скрывать от любопытных свою _личную_ корреспонденцию - но - пока ты закрываешь дверь (и тебе нужен ключ, что бы е╦ открыть), или отправляешь письма в конвертах - ты сам отвечаешь на свой вопрос - "Зачем?".
Считаешь, что ты никому не нужен? Никому неинтересно, что ты кому пишешь? Считай. Но массы людей, думая точно также, будучи уверенны, что они никому не интересны и не нужны, становятся жертвами мошенников - это и identity theft, и классическое воровство (копирование) кредиток, проникновение в квартиры (да, твой ребегок не будет сильно сомневаться, я думаю, если некий дядя, позвонивший в дверь, окажется очень осведомленным о его (е╦) оценках, и представится лучшим другом его (е╦) отца), etc, etc. Это, кстати, классика - пока кто-нибудь не станет жертвой, он уверен, что никогда ей не станет.
В наше время - время Сети (именно с большой буквы), когда много делается электронным пут╦м - вс╦ это особенно важно. Увы, многие вс╦ ещ╦ не отдают себе в этом отчета.
если ты имешь в виду того друга, которому писАл про пиво, то тво╦ TLS-шифрование на него уже не распространяется.
Ты забыл один момент - друг тоже может использовать TLS. А кроме TLS/SSL/PGP, есть масса других способов. Например, Hushmail - где подписчики просто _не смогут_ получить ничего, не используя шифрования. Хотя, разумеется, если уж я захочу полной приватности - я не буду посылать email или звонить по телефону - я сделаю это _лично_, в месте, в котором я смогу обеспечить 99.99% невозможность прослушивания.
В заключение - в ответ на вопрос - зачем нужно шифрование, когда, казалось бы, оно не нужно (типа, нечего скрывать) - ответ Фила Циммермана (автора PGP): http://www.pgpi.org/doc/whypgp/en/ (англ).
PS: Тем, кто уверен, что скрывать им нечего - дайте мне свои данные - имя, фамилию, адрес, номер счета и BLZ, когда вы встречались с друзьями в барах (а жена думала, что вы на работе) - я _поверю_, что скрывать вам нечего

эти две сентенции слегка противоречат друг другу. Но если ты так считаешь, тебе как security-специалисту, наверное виднее
Нисколько. Важно то, что сессия будет защищена (а она будет защищена). Тот факт, что сертификат сервера не подписан кем-то, кто _считается_ достойным доверия (Verisign, Microsoft, etc) - роли не играет. Важно только то, доверяет ли этому сертификату (серверу) пользователь. Грубо говоря, если я доверяю другу, то мне чихать, что кто-то с улицы, пусть даже его считают авторитетом, за него не поручился.
Правда, я обслуживаю, корпоративную сеть
Сколько пользователей? 100? 200? Думаю, вряд ли больше - если ты _единственный_ админ, кто обслуживает эту сеть (и то, слегка многовато для одного). Если не один - всё, забудь - ты _не_ знаешь, и знать не может, чем заняты другие админы. Даже если ты "самый главный", даже если за каждым админом наблюдает камера. Понимаешь, о чём я? И это не теория - это реальные случаи из жизни.
заодно, предупредил бы читателей форума о том, с кем из местных ISP по этому поводу лучше дела не иметь?
Всё равно с кем. Потому что _все_ провайдеры _обязаны_ сотрудничать с соответвующими органами в Германии (и в ряде других стран Европы, не исключая, впрочем, США), коли таковая надобность наступит - и у многих есть _средства_, что бы это обеспечить. И тю-тю, ваша приватность - даже без санкции прокурора - _если_ это будет clear text. Если не будет, им придётся попотеть - тогда уж будет тяжко без санкции. Нечего скрывать? Вперед - шлите открытки вместо писем, ибо _любой_ email - если проводить аналогию - это открытка в реальном мире. Которую может прочитать любой любопытный (если захочет) - а их немало. Как он эту, на первый взгляд, невинную (типа оценок в школе) может использовать? Пишите - узнаете. Со временем. Может быть. А пока радуйтесь, что не ваша очередь

Смотри как у меня стоит.
<==============

Я не пойму зачем здесь этот спор. С инструкции к ящику четко написано, что нужно использовать шифрованное соединение.
Тоесть вопросы не к пользователю, а к Gmail.

у меня www. pochta.ru и там вс╦ также настраевал
как у тебя крое POP - IMAP ставил ,а так работает хорошо ящик.

все равно выходит это сообщение,ну его НАХ,я сношу с почтовика этот ящик.СПАСИБО!!!

шла речь не о сервер-сертификате? станет ли обычный пользователь записывать мэйлер в свои друзья? тем более, если сертификат не подтвержден сертифицирующими инстанциями?...
ну да ладно...

сорри. речь шла не о сети как таковой, а о серверных почтовых приложениях в этой сети. Количество обслуживаемых пользователей: порядка 85 тысяч. Разумеется я не один. Разумеется, технически возможно многое, но юридически и фактически ни один из мне знакомых технарей и, разумеется, я сам, не станет злоупотреблять доверием работодателя: это чревато.
И не надо меня убеждать в обратном... хотя возможно где-то и по другому....

да, это мне напоминает мои дискуссии с моим коллегой, который шифровал письма маме, типа: мама, у меня все хорошо, я сегодня кушал сосиску... . На мои вопросы, не паранойа ли это он говорил, что дескать "big brother watch you" (с) и я, такой беспечный, еще узнаю почем фунт лиха.
На сегодняшний день я лично вижу эту тему пока что не так параноидально. Кто знает, что будет завтра.

ну так и я приблизительно о том же. хотя к этой теме есть разные подходы. Вплоть до экстремального пофигизма . Недавно у S. Maischberger в студии обсуждался вопрос защиты данных в Германии. Присутствовали: баварский министр ВД, главный KriPo-дядя, главный ответственный в бундестаге за защиту данных..., а потом пришел некто Andreas Weigend, который раньше занимался банками данных пользовательских профилей на amazon.de. Кроме того он преподает в шанхайском и сан-франциском университетах. Как можно догадаться (см. его страницу), он в интернетовской security разбирается в разы больше чем все МВД в этой стране... Так он очень смешно рассказывал, почему на его HP прописана практически вся его приватная инфа: его телефоны в ФРГ, USA, Китае, его мобильники, его планы на отпуск...
вот тут ссылочки на разговор: http://www.daserste.de/maischberger/sendung_dyn~uid,vx6g77tmxqa6hkmy3a3x9pa6~cm.... и на страницу этого Weigend: http://www.weigend.com/

ну что же ты такой агрессивный, коллега? я же никоим образом не пытаюсь поставить под сомнение твою компетентность. Хотелось бы все таки не сбиваться на взаимные выпады. А то и вправду, дискуссия превращается в перепалку. Как ты насчет уважать собеседника, а?


Строго говоря, конечно же ты прав. К тому же я нигде и не утверждал, что TLS относится к 4му уровню. Имелось всего лишь в виду, что человек, использующий только такое шифроование, должен понимать, что зашифрованным его сообщение остается только на пути от его клиента к его серверу (по пути следования транспорта). В принципе, для такого понимания достаточно просто хотябы открыть википедию, и не штудировать даже учебники. Вот посмотришь на прицепленную картинку и становится понятно, что и где шифруется.

послушай, можно поинтересоваться, нет ли у тебя проблем в коллективе? у меня может быть не очень обычный опыт, но у нас в коллективе так общаться с коллегами не принято.

мы как раз недавно почти на эту тему дискутировали с gendy. И он был совершенно прав, говоря, что галочки, поставленные без малейшего понимания скорее дадут пользователю иллюзию безопасности чем саму безопасность.

знаешь, и все таки твоя позиция грешит противоречиями. С одной стороны ты пропагандируешь шифрование передачи данных и я должен напоминать, что шифрование заканчивается как правило в тот момент, когда твое письмо оказывается в открытом тексте на сервере провайдера (кстати, именно над этим провайдером сейчас сгущаются тучи по поводу выдачи компетентным органам логов и пр.), потом ты рекомендуешь акцептировать неизвестно чей сертификат, токма для того чтобы получить желанныю сессию и то что сертификат не подтвержден никем тебя не смущает. Но самое интерсное, именно ты размещаешь в своем профиле максимум приватной информации, включая твое фото. Конечно, это твое дело, но как то это все не очень согласуется с твоим пониманием защиты персональных данных. Или твои данные в профиле не являются персональной информацией?

если мы постараемся не передергивать, то может получится и вправду интересный разгвор.
Тебе наверняка известно, что естзь различные policy по защите информации на предприятии. В ФРГ они, AFAIK, обозначаются буквами: A, B, C, D... (какието соответствия были и у нас: "ДСП", "Секретно", "Сов. Секретно", итд.)
Так вот, каждый приватный пользователь вправе сам определять, насколько секретна его инфа и присваиваеть ей тот или иной гриф.
я лично информацию, про то как я попил пива, отправлю незашифрованной без всяких угрызений совести. Если ты хочешь, чтобы к твоей такой информации никто нигде не получил никакго доступа, тебе надо обеспечить безопасность по всей цепочке: ты --> сервер, через который ты отправляешь ╜╜--> сервер, с которого твой корреспондент будет письмо забирать --> почтовый клиент твоего корресопондента. Иначе все это не имеет большог смысла.
Хотя, я конечно на настаиваю, и ты можешь обеспечивать безопасность твоих данных только на одном участке, но если ты консультируешь кого нибудь, наверное, надо ему описать полную картину...

нужно или можно? я с Г-мэйлом вчерась спокойно разговаривал по незащищенной линии... Стало быть: можно, но не обязательно.
Кстати, некоторые антивирусные программы "вклиниваются" для сканирования почтового трафика между клиентом и почтовым сервером в качестве SMTP/POP3-Proxy. Немногие из них умеют (если вообще ктото умеет) работать по TSL. Стало быть у пользователя на выбор:
1. шифрованный трафик, по которому могуть приходить (и отправляться) вирусы без того чтобы иметь возможность этот трафи просканировать
или
2. нешифрованный почтовый трафик, за которым "присматривает" антивирусная программа.
и это пользователь должен понимать и сам расставлять свои приоритеты.

Не отвлекай, очень интересно :)

тем более, если сертификат не подтвержден сертифицирующими инстанциями?
А что дает его подтверждение сертифицирующими инстанциями? Кроме того, что не появляется окошка с предупреждением? В принципе, любой может за небольшие деньги (не более $50/год) получить сертификат на любое доменное имя (которое ему принадлежит или к которому он имеет доступ) - и ву-а-ля - сертификат "законный", предупреждения нет - а что изменилось?
но юридически и фактически ни один из мне знакомых технарей и, разумеется, я сам, не станет злоупотреблять доверием работодателя: это чревато.
Тогда я вообще не могу понять, почему возникают злоупотребления, люди совершают преступления, etc - ведь вс╦ это чревато. Но это происходит. Ещ╦ я могу напомнить о такой штуке, как промышленный шпионаж - ты ведь не знаешь, какого рода информацией люди обмениваются по email - может, там есть что искать, а? И лучший способ это сделать - изнутри. Ты не поверишь, может быть, но мне известны случаи, когда документы высокой степени секретности уходили открытым текстом на адрес в hotmail...
На сегодняшний день я лично вижу эту тему пока что не так параноидально.
Хорошо, пока вс╦ хорошо. Скажи, а твой комп без пароля? Ты, когда уходишь с рабочего места, так его и оставляешь? А коллеги?
человек, использующий только такое шифроование, должен понимать, что зашифрованным его сообщение остается только на пути от его клиента к его серверу
Разумеется, он должен это понимать - но для этого не нужно понимать (и разбираться) в OSI, TCP/IP или ч╦м-то ещ╦
послушай, можно поинтересоваться, нет ли у тебя проблем в коллективе? у меня может быть не очень обычный опыт, но у нас в коллективе так общаться с коллегами не принято.
Никаких. Никогда. Я соглашусь, что это необычный способ общения - прямо говорить то, что думаешь, но если это так и есть - зачем молчать или искать другие пути это высказать - если суть вс╦ равно останется?
С одной стороны ты пропагандируешь шифрование передачи данных и я должен напоминать, что шифрование заканчивается как правило в тот момент, когда твое письмо оказывается в открытом тексте на сервере провайдера
Зато мы исключаем всю цепь по дороге - уже лучше, чем ничего, и, как минимум, мы исключаем утечку таких данных как имя и пароль (а провайдер вс╦ равно их знает - так что защищать их там сложнее).
потом ты рекомендуешь акцептировать неизвестно чей сертификат
Э? Что значит "неизвестно чей"? Он известно чей, и это можно проверить - почему не так важна подпись кем-то - см. выше. Весь институт сертификации - это способ отъема денег. В теории (да и на практике) каждый может открыть свою собственную Certfication Authority - это займет время, деньги, но не потребует даже лицензирования от государства. Похоже, ты просто не совсем представляешь, как этот механизм функционирует (только не обижайся опять, а?) - задуман он был хорошо, но его реализация оставляет желать лучшего.
Лучше преставь ситуацию по другому - есть Коля с PGP-ключом, есть Вася - они хотят между собой обменяться данными... PGP-Public-Key - это тоже своего рода сертификат, и он тоже может быть подписан (хотя часто этого не делается) - но ничто не мешает Коле и Васе обменяться ключами, а потом и данными. Вопрос - если это не мешает Коле и Васе в случае с PGP - то чем оно помешает кому-то, кто использует TLS/SSL - если там _абсолютно_ такой же принцип?
Но самое интерсное, именно ты размещаешь в своем профиле максимум приватной информации, включая твое фото.
Вау... Это максимум? Фото, дата рождения и имя... Может, мне ещ╦ ходить с маской на лице по улицам, что бы никто не видел? Тогда бы это была параноя, не находишь? Понимаешь ли, вся информация которую я размещаю о себе (где-либо) - ничего никому не даст. Человек может знать, когда я родился, где живу, где работаю - но он никогда не узнает моих привычек, моего распорядка дня, с кем я общаюсь, в каких с ними отношениями состою, что я ем, etc - если, разумеется, он не будет за мной следить.
Я не призываю скрывать вс╦ - я всего лишь призываю не открывать вс╦, точнее, не делать это легко доступным всем.
Хотя, я конечно на настаиваю, и ты можешь обеспечивать безопасность твоих данных только на одном участке, но если ты консультируешь кого нибудь, наверное, надо ему описать полную картину...
Разумеется, мои клиенты представляют себе полную картину. Но для обычных (бытовых, если можно так выразиться) обменов почтой уже защита даже на одном участке - это своего рода конверт для письма, что-то, что лучше чем ничего. Ещ╦ раз напомню - это абсолютно ничего не стоит, это то же самое, что захлопнуть дверь, закрыть машину.

стало быть, такой брэнд, как google, просто сэкономил полтинник? Просто напросто пожалел ден╦г на сертификацию verisign? Странно. Ну да ладно....

да, я тоже не понимаю. Но ведь мы и не юристы и не социологи

Послушай, давай попробуем отделить зерна от плевел. Изначальный вопрос был о пользовании бета-версии обычного веб-мэйлера, не так ли? Слажи, ты то сам будешь свои бизнес-секреты доверять вебмэйлеру? А тому, который как раз тестируется? А тому, над которым висят сейчас америк. спецслужбы? Для бизнес-секретов есть много всяких способов и goole-мэйлер, думаю √ один из последних

откуда? С почтового ящика на web.de/gmx.de/etc. или все таки с корпоративного groupware-server?
Это важно, потому как работать с sensiblen документами через вебмэйлер √ не самое лучшее решение

Блин, ну откуда ты все знаешь?! Наверное и про пароли к жизненноважным системам знаешь, которые клеятся хлебным мякишем к монитору ? А сами системы, конечно, покупаются на блошином рынке и устанавливаютсяв коридоре, где их постоянно выключает уборщица в целях экономии электроэнергии.... А когда системы устаревают, они продаются через eBay

ну, ОК, это твой коллектив и не мне вмешиваться...
Однако, скажу так: из многих мне знакомых админов именно те, чь╦ KnowHow можно оценить как очень высокое, никогда не позволяют себе подобных выпадов. Скажем так, существует более или менее обратнопорциональная зависимость между KnowHow и arrogance. (Не подумай, ничего личного)

Ой! А я думал, провайдеры хранят мои данные не в открытом тексте а в каком-нибудь hash-варианте? Ты уверен, что админ провайдера в состоянии расшифровать захэшенный пароль? Какие же у них там системы?

* Did you click 'Save Changes' after enabling POP in Gmail? To ensure that Gmail can communicate with your mail client, be sure to click 'Save Changes' on the Gmail 'Mail Settings' page.

Тоже делал,да уже по боку снёс его с почтовика,попробую щя по новой сделать.

Погоди. Мне и вправду неясно. Предположим ты работаешь со своим банковским счетом по SSL. Во время регистрации в твоем эккаунте ты получаешь сообщение, что сертификат твоего банка не заверен/etc.. Вопрос: ты потвердишь получение информации и продолжишь работу или, осторожности ради прекратишь соединение?

Да ну что ты, меня это даже развлекает (чтобы не сказать √ умиляет )

Т.е. еще раз: во время online-banking-session ты стало быть проигнорируешь информацию о нескладушечках с сертификатом?

Встречный вопрос. Пожая ситуация: ты обменялся сервером SSH-ключами. В один прекрасный день тебя твой SSH-клиент предупреждает, что ключ твоего сервера изменен. Каковы будут твои действия?

знаешь, мне известны случаи, когда админы отказывались администрить системы по той простой причине, что username включал в себя часть даты рождения (такова namenskonvention). аргументация была такова: personbezogene Daten (каким бы маразмом это не казалось). однако, инстанции, занимающиеся защитой данных легимитизировали такие отказы... Такой вот подход. (Кстати, ты когда звонишь в какой нибудь каталог, типа Neckermann, тебя аутентифицируют практически, опираясь на дату твоего рождения...)

очевидно, это небольшие фирмы (врачебные практики, адвокатские бютро, итд.) которые не могут себе позволить корпративный сервер (и именно groupware, будь то Exchange, Lotus, или еще чего). Иначе я не понимаю, каким образом и зачем из корпоративной сети можно/нужно коннектиться с каждого отдельно взятого мэйлклиента к серверу ISP.

стало быть, такой брэнд, как google, просто сэкономил полтинник?
Нет, скорее всего, автор The Bat не позаботился внести обе Authority в список "доверенных", или не обновил этот список (он периодически меняется). Я специально проверил оба сертификата gmail - smtp подписан Verisign, pop подписан Equifax (Geotrust) - обе являются достаточно trusted, уже много лет. Так что вопросы - к автору The Bat, ибо гугль не поскупился. Кстати, лишняя иллюстрация, почему система сертификации не так эффективна, как должна быть - вс╦ на усмотрение программы клиента - будь то мылер, браузер или типа того.
Изначальный вопрос был о пользовании бета-версии обычного веб-мэйлера, не так ли? Слажи, ты то сам будешь свои бизнес-секреты доверять вебмэйлеру?
Я - не буду. Но речь не про бизнес-секреты. Речь (хотя бы) про имя и пароль, которые (без шифрования) будут передаваться в открытом тексте. И которые могут быть использованы - бо случаи есть. Как я уже упоминал, ты можешь не верить - пока тебя (твою фирму) это не коснулось. ОК, нет проблем - будем надеяться, что не коснется, как сотни тысяч пользователей hotmail, аккаунты которых однажды оказались похачены - хотя казалось бы - зачем? Ведь никто (теоретически) не должен этим пользоваться для бизне-секретов. А людям было (как минимум) неприятно...
Это важно, потому как работать с sensiblen документами через вебмэйлер √ не самое лучшее решение
Только не все про это знают. Некоторые используют веб-маил именно потому, что корпоративная почта не да╦т им возможности ничего отправить (типа зип-файлов)
Однако, скажу так: из многих мне знакомых админов именно те, чь╦ KnowHow можно оценить как очень высокое, никогда не позволяют себе подобных выпадов.
Видимо, вс╦ дело в том, что я не админ. И не программист. Я консультант.
Скажем так, существует более или менее обратнопорциональная зависимость между KnowHow и arrogance.
Да? Ссылочку на исследование можно? Или это исключительно личный опыт? Человек может быть редкой сволочью, но дело знать исключительно хорошо - этому есть масса примеров в жизни. Так что если тебе попадались случаи, когда связь была, это не значит что она есть всегда. Моя личная позиция - если я что-то знаю хорошо (и могу это доказать) - я не вижу смысла это скрывать, и не вижу смысла смягчать углы в разговоре на эту тему.
Ты уверен, что админ провайдера в состоянии расшифровать захэшенный пароль?
Зачем? Он и так может воспользовать аккаунтом. Или просто на секундочку меняется хэш, делается login, хэш возвращается - а вс╦ выгляди так, как будто пользователь сам вошел. Правда, просто, а? Да и некоторые пароли... Достаточно пройтись по словарю - более 70% находятся за час работы на среднем компе... методом перебора и сравнения с хэшем...

(offtopic) Если тебя не затруднит - не мог бы ты на _одно_ мо╦ сообщение отвечать _одним_ своим? Я буду очень обязан. Спасибо
Предположим ты работаешь со своим банковским счетом по SSL. Во время регистрации в твоем эккаунте ты получаешь сообщение, что сертификат твоего банка не заверен/etc.. Вопрос: ты потвердишь получение информации и продолжишь работу или, осторожности ради прекратишь соединение?
У меня такое было (Dresdner Bank). Правда, сертификат был expired. Я убедился, что он просто expired, позвонил в банк, убедился, что они знакомы с проблемой, и продолжил работу. С другой стороны, если бы мне в банке сразу сказали, что у них свой сертификат - мне было бы начихать, подписан он кем-то или нет. Для меня важно доверие к тому, с кем я работаю - если он уверяет, что это нормально, и я ему верю - третьи лица мне неинтересны.
Т.е. еще раз: во время online-banking-session ты стало быть проигнорируешь информацию о нескладушечках с сертификатом?
См. выше - если банк мне сообщит, что это нормально.
В один прекрасный день тебя твой SSH-клиент предупреждает, что ключ твоего сервера изменен. Каковы будут твои действия?
Я удивлюсь, попробую связаться с администратором сервера, и спрошу, в ч╦м дело. Если мне сообщат, что вс╦ ок (сервер может быть заново инсталлирован, а старый ключ не сохранен) - я это приму как нечто в порядке вещей, возможно, сравню fingerprint. Разумеется, при условии, что я буду уверен, что общаюсь с человеком, которому я доверяю. Но, извини, уровень моего доверия измеряется не Verisign, а мной самим.
Кстати, ты когда звонишь в какой нибудь каталог, типа Neckermann, тебя аутентифицируют практически, опираясь на дату твоего рождения
Что я потом могу оспорить - если захочу. И они окажутся в щекотливом положении. Но это их проблемы.
очевидно, это небольшие фирмы (врачебные практики, адвокатские бютро, итд.) которые не могут себе позволить корпративный сервер
Нет, это очень большие фирмы. С инфраструктурой практически по всему миру. Которые могут себе позволить вс╦ и даже больше чем вс╦.
Иначе я не понимаю, каким образом и зачем из корпоративной сети можно/нужно коннектиться с каждого отдельно взятого мэйлклиента к серверу ISP.
Иногда мне это тоже непонятно. Особенно непонятно, когда люди в email присылают пароли, файлы с описаниями внутренней инфраструктуры... Объяснение простое - "я пробовал отправить корпоративной почтой, но получил сообщение об ошибке - "нельзя отправлять аттачи", поэтому воспользовался своим личным ящиком на ..." (если почта приходит не с ожидаемого адреса, я всегда связывают с оправителем лично). Вот так... А ты говоришь - бизнес-секреты...

если вернуться к behavior, описанному автором ветки, то это доверие еще не возникло при первой попытке соединения. Т.е. не не утверждаю, что тестируя какойнибудь новый сервис google, я стал бы болезненно реагировать на такие штуки. Однако, если мы вели речь о sensibel данных (логины, пароли, тексты сообщений, итд), то предупреждение такого рода меня бы насторожило. Ты прав, говоря, что сертификаты -- одна из методик обеспечения безопасности. Может быть не самая главная. Но имхо, просто так "абкликивать" (сорри за жаргон ) предупреждения о "неправильных" сертификатах -- слегка не вписывается в понятия безопасной работы в сети.

пральна, я чтото такое и имел в виду: ты не просто "абкликиваешь" такое предупреждение, а разбираешься, что происходит, потом обращаешься в банк. А уж потом продолжаешь работу. Было бы беспечностью с твоей стороны, если бы ты не читая предупреждения (или прочитав его и приняв к сведению), не предпринял мер предосторожности (звонок в банк) и продолжил бы работу. К тому же, ты в курсе дела, что такое сертификаты и как это работает. Обычного же пользователя (который может и английским в данном объеме не владеть, не говоря уже о технических подробностях) такое предостережение должно имхо удержать от дальнейшей работы с таким сервером. Если есть возможность, можно поинтересоваться по телефону, что и как. Ну а если это машинка в Америце или Австралии?...

А кто из администрации сервера сообщил автору ветки, что это нормально?

я вообще то имел в виду сервер, который ты сам администришь. я бы в таком случае предположил какую то угрозу безопасности (keyword: IP-spoofing). По крайней мере, я, прежде чем продолжить работу, выяснил бы причины такого предупреждения.
Т.е. любое предупреждение "выбрасывается" системой не для тренировки указательного пальца пользователя ("клик и поехали дальше"), а должно нести в себе какую то инфу.

в случае с каким нибудь вебмэйлером в России или, например, в Америце, я не могу сказать априори доверяю я или нет. А вот verisign я более или менее доверяю и если они мне говорят: да, этот сертификат в порядке, то даже без "личного" доверия я более или менее спокойно продолжу работу.
(Повторюсь, я никогда в приватных целях не пользовался TSL, но если я уже начну шифровать свой траффик, то постараюсь, чтобы это был гарантированно траффик между мной и тем сервером, к которому я обращаюсь).
Кстати, подумалось. Если я после предупреждения не проверив, что там за фигня с сертификатом, продолжаю работу с банком, а потом выясняется, что я захренячил свои данные какой нибудьь другой машине, где ими воспользовались против меня (например, перевели остатки моих денег с моего счета куданибудь в Уганду...)... Имею ли я право предъявлять какие то претензии моему банку, дескать, они прощелкали...? Они, думаю, ответят мне: их системы работают ОК и если бы я не "абкликнул" предупреждение о корявом сертификате, все было бы нормально...

мне рассказывала одна коллега, что от имени ее матери в свое время были заказаны в Neckermann какие то украшения на 800 ДМ (еще до евро). Деньги благополучно сняли со счета, украшения отправили хрен знамо куда, а старушка потом, подключив адвокатов, несколько лет билась за возврат своих денег...

тогда мне не совсем понятно, каким образом почтовые клиенты в таких фирмах могут коннектиться по TSL к серверу ISP.

ну, тут сказать нечего. против глупости не поможет TSL.
хотя, есть куда более эффективные ( не такие рестриктивные) способы удержать юзера от отправки бизнес-секретов в интернет
А против злонамеренности способов вообще нету...

мы кажется ходим по кругу, что наверное еще больше сбивает с толку автора ветки
Итак:
твоя первая сентенция описывает защиту данных при транспортировке, что совершенно не имеет никакого отношения к твоей второй сентенции, т.к. похачены были эккаунты не во время сессии с сервером, а уже на самом сервере.
В действительности, тысячи эккаунтов хотмэйл были похачены. Однако в том числе и тех юзеров, которые для передачи сообщений шифровали свой трафик по TSL. Т.е. шифрование этим юзерам не помогло ни капельки.

и, добавлю, которые должны быть перехвачены гдето по дороге, (что не есть очень просто), ибо в тот момент, когда мессага оказалась на сервере, она уже незашифрована.
Странно, что ты пытаешься сбить меня с толку . Очень просто: есть шифрованное соединение и есть шифрованные данные. твои зашифрованные соединения на хотмэйле не помогут тебе ни капельки, если хакнут весь сервер.

ты не Воланд?

дык никто же и не сомневается в твоей крутости . И никто не пытается доказать, что кто-то круче
Но возникает ощущение, что ты думаешь, что ты самый крутой , а это часто мешает дискуссиям, будь то технические, научные или политические...
Кстати, мне часто приходится иметь дело и с консультантами (из довольно именитых фирм). И KnowHow консультанта тоже можно (и иногда нужно) подвергать сомнению . По крайней мере, мне здесь встречались консультанты, которые у нас здесь кое чему даже учились
Не подумай, ничего личного. это для меня самого было почти откровением (грустным), но это так...

да какие там углы, мы ж не о политике

никто и не спорит, но это уже несколькоо больше, чем "он его (пароль) и так знает", как ты писАл, не так ли? Т.е. провайдер не знает твоего пароля, но может без труда воспользоваться твоим эккаунтом. Для этого он должен нарушить закон, произвестио манипуляции с твоим эккаунтом, итд. Разумеется это так. Однако же это всетаки нечто другое, чем пароли, записанные в открытом тексте, которые "провайдер знает". И шифруя свой трафик по TSL ты защищаешься отнюдь не от провайдера, а от диких и/или организованных кнакеров/хрякеров , которые должны еще каким то образом получить доступ к твоему трафику, что в случае, когда он (трафик) бежит по всяким рутерам возможно, если взломан рутер или на рутере сидят те самые дикие или организованные .

А кто из администрации сервера сообщил автору ветки, что это нормально?
Как я уже писал выше - администрация сервера не смогла бы помочь автору, ибо проблема в The Bat, а не в сертификате сервера.
А вот verisign я более или менее доверяю и если они мне говорят: да, этот сертификат в порядке, то даже без "личного" доверия я более или менее спокойно продолжу работу.
Verisign ничего не гарантирует, как это не прискорбно. Их подпись на сертификате значит только две вещи: 1) сертификат выдан тому, кто в н╦м указан в качестве владельца; 2) имя хоста на сертификате имеет какую-то связь с владельцем сертификата. О том, честный ли владелец сертификата, что он будет делать с данными, etc - Verisign _никаких_ гарантий не да╦т (и не может). Точно также, как ты можешь узнать, существует ли некая фирма X, но сам факт подтверждения е╦ существования не даст тебе никакой информации о е╦ надежности.
Грубо говоря - если я прикинулся веб-шопом, купил у Verisign сертификат (а никто мне не помешает это сделать), "напродавал" кучу всего, собрал денежки и смылся - Verisign претензий не примет и затраты обманутых не компенсирует. Почему? Да потому что пользователь сам должен проверять, может ли он доверять _сервису_. Подпись же Verisign (или любой другой CA) избавляет пользователя от предупреждения в браузере (или другом клиенте - и то не всегда, как мы можем видеть из случая с автором - ибо зависит от клиента) - так что ещ╦ вопрос - что бОльшее зло - предупреждение, или его отсутствие, дающее ложное чувство безопасности.
А теперь вопрос - ты вс╦ ещ╦ доверяешь Verisign? :)
Деньги благополучно сняли со счета, украшения отправили хрен знамо куда, а старушка потом, подключив адвокатов, несколько лет билась за возврат своих денег...
Нереальная история. Деньги, снятые со сч╦та (т.е. не собственноручно отправленные) можно вернуть за 10 минут по звонку в банк (в зависимости от банка - может потребоваться факс или личное присутствие, но у меня достаточно звонка, например), особенно если это сделано без авторизации владельца счета. Если снимающий потом будет заявлять претензии - то снова получить деньги он может только через суд.
твоя первая сентенция описывает защиту данных при транспортировке, что совершенно не имеет никакого отношения к твоей второй сентенции, т.к. похачены были эккаунты не во время сессии с сервером, а уже на самом сервере.
Если исходить из того, что инфраструктура провайдера состоит не из одного хоста, и злобные квакеры захватили только часть из них (например, парочку LB) - то шифрование позволит избежать снифания имен и паролей. Неизвестно, как именно это случилось с хотмаил - увы - вполне возможно, что именно так. В любом случае, шифрование исключает целую цепь возможностей для злоумышленников, хотя, разумеется, далеко не все.
Очень просто: есть шифрованное соединение и есть шифрованные данные. твои зашифрованные соединения на хотмэйле не помогут тебе ни капельки, если хакнут весь сервер.
См. выше - смотря где хакнуть :)
Но возникает ощущение, что ты думаешь, что ты самый крутой
Как это ни нескромно, но между нами двумя, в обсуждаемом вопросе о безопасности, в данной конкретной теме - да, я самый крутой :) Почему - я уже объяснял.
И KnowHow консультанта тоже можно (и иногда нужно) подвергать сомнению
Я в курсе. В отличие от большинства консультантов, которые этим занимаются с нуля (т.е. имея теоретическую подготовку, и не практикуя ничего), я прошел все этапы, включая и админство, и программерство, да и сейчас не гнушаюсь сделать что-то сам, если нужно - это помогает не сходить с дистанции
Т.е. провайдер не знает твоего пароля, но может без труда воспользоваться твоим эккаунтом.
Я именно это и имел в виду, собственно - просто, видимо, неверно сформулировал.
Для этого он должен нарушить закон, произвестио манипуляции с твоим эккаунтом, итд.
Какой закон? Закон не запрещает провайдеру манипуляцию данными пользователей на своих серверах, а уж тем более на бесплатных серверах. Советую иногда читать AUP/AGB - там много мелкого текста, который да╦т провайдерам большую свободу :)
И шифруя свой трафик по TSL ты защищаешься отнюдь не от провайдера, а от диких и/или организованных кнакеров/хрякеров
Я бы не назвал их дикими или неорганизованными... Далеко не всех... Хотя организованных единицы на тысячи, а то и десятки тысяч - но они есть. Увы, многие (в т.ч. большие провайдеры) уверены, что они никому нафиг не нужны, а посему не уделяют достаточно внимания безопасности. К счастью, ситуация меняется в лучшую сторону в последнее время.

а я и не имел это в виду. а всего лишь то, что получая программные сообщения (ошибки, предупреждения, итд) пользователь может их проигнорировать, а может насторожиться. Как ты уже писАл, предупреждение твоего банка тебя насторожило и ты, так сказать, провел собственное расследование. А автору ветки ты предложил просто отмахнуться от предупреждения. Ну и ладно. Пусть будет по твоему. Тебе видней

да я и себе доверяю с оговорками

ну вот, какая есть . Не думаю, что моя коллега эту историю выдумала, хотя я и сам сперва не хотел верить. С другой стороны: если ты не проверяешь свой банковский счет каждый день, обстоятельства могут сложится и вправду не лучшим образом: заказ от твоего имени в каталоге (предпосылки: твоя фамилия, и дата рождения. они, по моему даже KundenNr. не требуют) -> деньги снимаются со счета --> и т.д. С точки зрения же каталога -- все чисто: товар отправлен - деньги получены. И они будут оочень сильно сопротивляться, т.к. не захотят остаться без товара и без денег...

ужас! Просто мурашки по коже, воспоминания о фильмах, типа "Крепкий орешек" и желание перейти обратно на голубиную почту (в надежде на то что голуби не подхватят гдето по дороге грипп ).
На самом то деле все не так страшно: злобные квакеры не очень интересуются приватными эккаунтами на gmx.de, а у босяков, которые уроки прогуливают, не хватит KnowHow; чтобы похакать более или менее приличный сервер.
А те, кстати, у которых (может быть) KnowHow и хватило бы, называют себя CCC и не устраивают никаких гадостей.

нуу..., скажем так: не пытаясь оценить степень твоей крутизны , можно сказать, только, что у тебя незаурядное чувство юмора

т.е. не только здесь и сейчас, но и вообще и везде ты самый крутой?!
Блин, ну почему нам так не везет? Из многих "консультантов", которых приходилось встречать, молча снимаю шляпу только перед парнями из ISS и перед одним конкретным из SBS.
Ну вот еще с тобой пообщался, рука уже сама к пилотке тянется: не то честь отдать, не то тоже шляпу снять

вероятно. однако, я был и остаюсь при своем мнении, что шифровать сообщения про сосиски -- слегка черсчур. Ну, типа ремней безопасности на велосипеде: т.е. в принципе можно, но зачем..?
Думаю, что каждый должен решать это для себя. И, однажды решив, последовательно придерживаться своих policy, а не посылать хлопотно зашифрованный по TLS трафик, с тем, чтобы это письмо забирал получатель в открытом тексте (где нибудь в С. Корее или Китае).
А вообще, было прикольно пообщаться.
Автор ветки, кажется, давным давно уже забИл на этот мэйлер. я б тож так сделал: их по инету как грязи. И не каждый сидит под колпаком у NSA

А автору ветки ты предложил просто отмахнуться от предупреждения.
Я же смотрел скриншот. В данном случае это совершенно безопасно.
С другой стороны: если ты не проверяешь свой банковский счет каждый день, обстоятельства могут сложится и вправду не лучшим образом:
На вовзрат снятых кем-то денег есть несколько месяцев. В общем, там что-то нечисто.
На самом то деле все не так страшно: злобные квакеры не очень интересуются приватными эккаунтами на gmx.de
Они всем интересуются. Зачем? Затем же, зачем и хачат компы обычных юзверей, используя вовсе не KnowHow, а гуляющие по сети эксплойты. Потом из тысяч похаченных компов (среди которых и простые, невинные домохозяйки, и совсем не невинные банки, и даже атомные электростанции - было-было, не сомневайся) строятся сети для... ну допустим... ирк-ботов... или организации DoS... или... много или. Любой похаченный комп - ресурс. Любой похаченный аккаунт - ресурс. Это как возможность продать его, так и возможность злоупотребить.
Это большая ошибка - думать, что кто-то никому не нужен в силу своей незначительности или отсутствия интереса - если бы вс╦ было так, то проблем вообще бы не было, или о них бы никто, кроме профессионалов не слышал.
т.е. не только здесь и сейчас, но и вообще и везде ты самый крутой?!
А хз. Я могу говорить только за здесь и сейчас
Ну, типа ремней безопасности на велосипеде: т.е. в принципе можно, но зачем..?
Затем же, зачем и каска - а она обязательна
Автор ветки, кажется, давным давно уже забИл на этот мэйлер. я б тож так сделал: их по инету как грязи.
Но не каждый - без навязчивой рекламы и с неограниченным (относительно) ящиком. К тому же, исключительно маловероятно, что гугль умр╦т сам, или что его кто-то купит - т.е. это "вечный" сервис. Ах да - у них _очень_ удобный интерфейс (если через веб) - так что для тех, у кого нет возможности иметь что-то сво╦ и уникальное, и нужно простое и надежное решение - самое то.

нельзя ли примерчик, когда в "одной кастрюле" оказались виндовсы всяких домохозяек вместе с банковскими серверами и серверами атомных электростанций. А то я, несмотря на твои заклинания , сомневаюсь. Ссылочку хочу на инфу про такие случаи. эксплойты, кстати, были одни и теже: виндовые с юниксовыми и с прочими другими? эдакие универсальные

человек невиданной скромности ! ОК. Кажется ты меня уже тоже убедил...., что с твоей точки зрения ты -- здесь и сейчас самый крутой . Спорить с этим и вправду сложно

если ты имел в виду не солдатскую каску , а велосипедный шлем, то ты еще раз проиллюстрировал одно из основополагающих качеств крутых консультантов : безаппеляционность суждений, даже если они ничего не имеют общего с действительностью. Главное -- интонация заявления .
В Германии каски обязательны, наверное, для солдат или полицейских во время Einsatz. Велосипедисты же могут наслаждаться ветерком, треплющим их хайера .
Вот здесь глянь, например:
http://www.adfc-bayern.de/helme.htm#Rechtslage
и на следующую велосипедную прогулку можешь свой шлем не надевать

а, дело вкуса. Мне симпатичен, например (кроме прочих) www.mailgate.ru. Возможность иметь адрес, типа: u-menja_at_sigaret.net приятно греет
P.S.
Кстати по теме ветки, вчера в heise:
http://www.heise.de/newsticker/meldung/70296

нельзя ли примерчик, когда в "одной кастрюле" оказались виндовсы всяких домохозяек вместе с банковскими серверами и серверами атомных электростанций.
Зя. Вот: http://www.theregister.co.uk/2003/08/20/slammer_worm_crashed_ohio_nuke/ и вот: http://www.theregister.co.uk/2003/11/25/nachi_worm_infected_diebold_atms/
Обычные черви, попавшие в корпоративные сети. Или ты будешь утверждать, что в них (банк и станцию) целились? А вообще покопайся на SecurityFocus - там таких историй целые пачки...
что с твоей точки зрения ты -- здесь и сейчас самый крутой
Ты можешь опровергнуть это утверждение? Не выходя за рамки обсуждаемой темы (безопасность в IT)?
В Германии каски обязательны, наверное, для солдат или полицейских во время Einsatz. Велосипедисты же могут наслаждаться ветерком, треплющим их хайера
Да ну? Может, это у вас в баварии. А может, информация устарела (Stand 25.8.2004; к тому же, там не ссылок на законодательство). Или меня неверно информировали насчет обязательности - но - мы обсуждали не обязательность, а цель использования - так что не надо насчет "безапеляционности" (где ты только е╦ увидел - это было замечание по ходу) Кстати - может, ты ещ╦ скажешь, что для мотоциклистов каски не обязательны? ;)

не, не буду . Именно это я и имел в виду, собсно: под тупого червя может попасть в принципе кто угодно. (кстати, описанные случаи -- в принципе, пример халатности админов, что разумеется встречается часто).
Однако речь была, по моему немножко о другом: именно о том, кто куда целится. Киберпреступность неоднородна и, если черви могут доставить пару неприятных моментов как домохозяйке, так и большой фирме, то намеренного взлома (прослушанный трафик, итд) домохозяйка может практически не опасаться. в этих областях (написание червей и намеренный взлом) задействованы разные специалисты. И так же, как обычный квартирный вор вряд ли позарится на ограбление банка (равно как и наоборот: медвежатник не станет лезть в форточку к пенсионерке, чтобы утащить у нее какие нибудь шмотки), так же и парни, которые технически в состоянии намеренно навредить большой фирме, вряд ли будут связываться с пользователем mail.ru

Ах, знаешь, коллега, нет в мире, наверное, более неблагодарного и бесцельного занятия, чем переубеждать кого-нибудь, убежденного в своей исключительности, в том, что все в мире относительно
не думаю, что мне охота заниматься какими-нибудь опровержениями и тд. что я TÜV что-ли ?
Главное, что ты чувствуешьж себя в этом форуме исключительным и самым-самым . Вот и хорошо. это прида╦т тебе уверенности в себе. Посему, я вижу это твое убеждение только с положительной точки зрения (не знаю, как перевести, на русский, но есть славное немецкое слово: Selbstbestätigung )

ух ты, блин, в╦рткий !
ты утверждал, что нечто обязательно а не целесообразно. чуйствуешь разницу?
Ты меня с пантелыку-то не сбивай. я и сам кого угодно собью (шутка). А для мотоциклистов (и не только в Баварии, а и у нас в Ганновере ) и вправду шлемы обязательны (хоть это и оффтопик)

обычный квартирный вор вряд ли позарится на ограбление банка
Угу - в целом верно - если только ему вдруг не подвернется возможность - например - окажется, что ограбленная квартира - квартира менеджера этого самого банка, с ключами и прочим Точно также и детишки - крушат вс╦ что смогут, но если среди накрошенного подвернутся пароли/кредитки/аккаунты - не преминут им воспользоваться. Собсно, так оно и случается...
парни, которые технически в состоянии намеренно навредить большой фирме, вряд ли будут связываться с пользователем mail.ru
Нууу... Бывает, что что бы навредить большой фирме, ничего особо не нужно - при такой халатности админов Собственно, об том и речь - поскольку никто не думает, что он кому-то нужен, халатность и проявляется... Что может быть, теоретически, опасно... Смотря кому попад╦тся...
Главное, что ты чувствуешьж себя в этом форуме исключительным и самым-самым
Не-а. Не самым-самым - мне это достоверно неизвестно. А вот насчет уверенности в себе ты прав - есть такое. Но - пока - обоснованно - не подводило - да и ошибки я умею и не боюсь признавать, коли уж совершаю (таки да, случается)

я не криминалист. можно поискать инфу на этот счет. думаю, что любая профессиональная деятельность, даже профессиональная преступность, подчиняется более или менее четким законам: вряд ли профессиональный карманник, вытащив в трамвае ключ от сейфа из кармана банковского клерка, ломанется в банк за деньгами. Так же как и профессиональный жулик, продающий участки земли на дне Марианской впадины , врядли пойдет "щипать" по трамваям. Так же и кибермошенники: scriptkids мастерят из конструкторов всяких червяков, но врядли замахнутся на корпоративную сеть (максимум: просканируют порты).
Но, wie gesagt, если ты убежден в своей правоте, и считаешь, что пользовательские данные и вообще безобидная приватная переписка бета-пользователя вебмэйлера, может стать объектом атаки со стороны профессионалов (именно в сети. я не говорю о недобросовестных админах провайдера, которым TLS сильно до лампочки ), то так тому и быть. У меня, как я уже говорил, другое мнение: способы защиты (кстати, от чего угодно, не только от киберпреступников) должны быть angemessen (блин, сорри, с русским иногда проблема ).
Можно, чисто теоретически, защитить например свое жилье по стандартам американских военных баз ..., но тут вспоминается старый анекдот про неуловимого Джона . я надеюсь, ты помнишь его.

ну и классно: главное, коллега, верить в себя

вряд ли профессиональный карманник, вытащив в трамвае ключ от сейфа из кармана банковского клерка, ломанется в банк за деньгами.
Не ломанется - зато он его кому-нибудь продаст :) А если карманник непрофессиональный (начинающий) - то может и ломануться. В конце концов, как там говорится - "Действия профессионалов предсказуемы, но мир полон любителей"...
способы защиты (кстати, от чего угодно, не только от киберпреступников) должны быть angemessen
Оставляя открытой дверь, ты напрашиваешься на неприятности - разве нет? Или - оставляя кошелек на столе в людном кафе, отворачиваясь при этом - даже если у тебя 10 центов в этом кошельке - ты напрашиваешься. Вот отсюда и пляши - шифруя данные, ставя файрволл, etc - ты просто закрываешь двери и не оставляешь кошелек, не более того. Я же не предлагаю тебе ставить бронированную дверь или привязывать кошелек на цепь Я готов спорить, что ты закрываешь машину, оставляя е╦ на публичной парковке - а зачем? Там ведь нет ничего, а? А от профессионала вс╦ равно не закрыть :P
но тут вспоминается старый анекдот про неуловимого Джона
В наше время анекдот безнадежно устарел... Потому, что для того что бы ловить кого-то, использовать данные кого-то, ничего не нужно - можно спокойно сидеть дома, в кафе, где угодно где есть инет, использовать нарытые в сети тулзы и просто ради скуки лезть во все дыры - авось чего перепад╦т. Увы, так и происходит... Если бы жулики (обычные жулики) могли также спокойно лазить по карманам, будучи уверенными, что их трудно поймать, и что этого никто не заметит - то число неуловимых джонов из анекдота уменьшилось бы в миллионы раз - а интернет дал им именно такую возможность...
Как я уже говорил - считаешь что ты никому не нужен - считай. Скорее всего, так оно и есть - но... От случайности никто не застрахован - если бездумно относится к своим данным

ты как профи должен себе гораздо лучше чем я, любитель , представлять, что для перехвата данных во время клент-сервер-сессии (например почтовой) необходимо обладать некими знаниями и оборудованием. думаю, что модератор нас предупредит, если мы начнем выходить за пределы дозволенного, но тем не менее: есть следующий расклад:
мэйлклиент, который коннектится через своего провайдера к стороннему мэйлеру (скажем так: через provider.com к mailer.net, например)
Между клиентом и мэйлером N хопов. 2 первых из них ---- хопы provider.com, остальные принадлежат сторонним провайдерам (между мной и gmail-ом я насчитал, например, 15). (сеть разумеется организована не на хабах )
Итак, если исключить "прослушку" на узлах (хопах) (зазеркаленные порты и т.д), считаешь ли ты, что перехватить такой трафик несложно и доступно?
(мне известны методики прослушки в засвитчеванной небольшой сети). Скажи мне, плиз как эксперт, известны ли тебе методики, позволяющие это сделать "по пути".
я готов предложить тебе свою кандидатуру (поелику ты утверждаешь, что крут в безопасности, стало быть, должен разбираться и в методиках тех, от кого ты своих подопечных защищаешь).
Итак предлагается тест: я открываю почтовый ящик на том же, например, gmail. Сообщаю тебе (могу даже прямо здесь в форуме) свой мэйладрес. Настраиваю своего TheBat!. Могу тебе сообщить свой IP, если хочешь. Какая инфа тебе еще понадобиться? (номер кредитки, PINы и пароли на служебные сервера просьба не спрашивать ).
Итак, ты говоришь мне, какая инфа тебе нужна для перехвата моих данных, и я тебе эту инфу после короткого обсуждения (можно прямо здесь в форуме) предоставляю в распоряжение.
Проводим минимум 2 Теста:
1. мой клиент коннектится изза рутера (из домашней локалки)
2. я выношу свой PC из локалки в DMZ
Если тебе хотя бы в рамках одного из этих тестов удастся перехватить мой пароль к почтовому ящику, я признаю, что ты не только в этом форуме самый крутой, но и в других тоже
Ну что, сэр, принимаете вызов?
P.S. Ах да, в целях соблюдения профессиональной этики, методики, которыми ты пользуешься не упоминаются и не обсуждаются. цель -- получение тобой пароля из незашифрованного траффика моего клиента с сервером gmail и не больше.

Итак, если исключить "прослушку" на узлах (хопах) (зазеркаленные порты и т.д), считаешь ли ты, что перехватить такой трафик несложно и доступно?
Считаю, что сложно, но не недоступно (см. ниже).
Скажи мне, плиз как эксперт, известны ли тебе методики, позволяющие это сделать "по пути"
Методики - известны. Но увы, в рамках поставленной задачи - это достаточно дорогие методики - мне прид╦тся найти админа одной из сетей по дороге (т.е. между твоим провайдером и гуглем, а может, и их самих), убедить его проснифить траффик (это реально) - а это - время и деньги Другой вариант (увы, маловероятный - поэтому его можно не рассматривать как методику) - найти систему с уязвимостью на одном из хопов.
Исходя из этого - поставленная тобой задача - увы, нереализума в рамках разумных временных и материальных затрат (хотя и реализуема в принципе).
Но, несмотря на это - как я уже говорил, смысл шифрования в рассматриваемом случае - такой же, как и в закрывании двери дома и машины на улице. То есть - исключить возможность того, что кто-то (кто _уже_ имеет возможность - вариант "любопытный админ" или "похаченный хост" по дороге) воспользуется тем, что данные не зашифрованы.
И я нигде не утверждал что перехватить информацию легко _извне_ (т.е. любопытный находится вне пути провайдер-мейлер) - я утверждал, что она легко перехватываемая _изнутри_ (любопытный находится по пути провайдер-мейлер).
Так что, можешь не считать меня крутым вообще - но вызов я не принимаю
Вот когда сможешь гарантировать, что в принципе по дорогое провайдер-мейлер не может быть любопытных (включая, например, даже органы дознания), которые просто от нечего делать (или на всякий случай) снифают вс╦ подряд - тогда будешь вызовы лепить

итак, резюмируем: для выполнения поставленной задачи необходимо располагать деньгами. Технические знания в IT -- более чем необязательны. Стало быть, можно с вероятностью 99,99(9)% сказать, что так называемые "хакеры" чисто технически не в состоянии перехватить мой (даже нешифрованный) трафик (без подкупа админов на узлах).
Если же на перехват моих писем о погоде в Ганновере будут тратиться деньги (и немалые), я должен буду лопнуть от гордости. А если узнаю, кто это (за деньги) делает, то предложу за полцены отправлять им CC
Касаемо органов дознания, то они все раавно в состоянии получить все данные на твоих носителях (если ты им интересен). Так что это я тоже не вижу как угрозу моей частной жизни: если им будет надо, они ко мне обратяться с ордером

видишь ли. мне за последние несколько лет приходилось несколько раз прибегать к таким методам для ведения дискуссий с оппонентами, которые аргументировали приблизительно так: "это шайсе, потому что просто шайсе...". Приходилось приглашать их к столу, строить маленькое тестовое окружение и просить аргументировать технически а не фекально . И надо сказать, фекальная аргументация еще ни разу не была подтверждена технической...

И надо сказать, фекальная аргументация еще ни разу не была подтверждена технической...
А где ты у меня нашел фекальную аргументацию? Перечитай нашу дискуссию с начала - я всегда говорил о возможности только _по дороге_, а не извне. Вот поставь меня внутрь пути "провайдер-мылер" в сво╦м тестовом окружении (именно на этом аргументация и была основана) - тогда и поговорим
И насч╦т адекватности мер защиты... Ты упорно (уже в который раз) уходишь от ответа на вопрос - зачем ты закрываешь двери в квартире и в машине - хотя для профи это не преграда. Обсуждаемый вопрос - из этой же серии. Но если в жизни неадекватные (т.е. ты думаешь, что они неадекватные) меры защиты стоят чего-то (денег, времени, ресурсов) - то в сети (в обсужаемом случае и похожих) они не стоят _ничего_, но исключают одно из звеньев утечки данных.
Если твои данные (имя и пароль) для мылера ничего для тебя не стоят - назови их здесь. Не скажешь? Ну так и не надо ля-ля про неуловимого Джо - был бы ты никому не нужен (как ты говоришь) - то выкладывание данных здесь тебе ничем абсолютно не грозит

да нет, конечно же я не имел в виду твою аргументацию. я имел в виду, что иногда имеет смысл для проверки тех или иных тезисов, просто провести эксперимент.

погоди, не я тебя должен "ставить", а ты должен был бы попробовать туда ""вклиниться"

не ухожу вовсе. закрываю, чтобы отсечь внимание любителей.
поверну по другому:
ок. ты закрываешь свою машину. но я надеюсь, ты понимаешь, что если пользоваться методами, описанными тобой в одном из твоих постингов (подкуп админа итд) и перенести эти методы на автомобили, то машину твою ты закрывай или нет -- для профессионала твой замок -- просто шутка. Т.е., твоя закрытая машина на самом деле тоже не закрыта

не передергивай . речь не шла о публикации данных, или?

погоди, не я тебя должен "ставить", а ты должен был бы попробовать туда ""вклиниться"
Не-а. В моей аргументации я как раз подразумевал (подозревал - если угодно) наличие man-in-the-middle, а не внедрение оного.
машину твою ты закрывай или нет -- для профессионала твой замок -- просто шутка
Это именно то, что я написал выше - а закрываю я е╦ от любопытных. По этой же причине я письма кладу в конверт (а не пишу открытки), и при использовании публичных серверов использую (при наличии возможности) SSL/TLS. Что бы исключить _возможность_ легкой добычи - в случае, если бы я этого не делал.
Впрочем, для меня лично это скорее привычка и образ жизни - не расслабляться - что бы не забыть на работе, так что даже дома у меня комп с паролем, и я автоматом его блокирую если отхожу на кухню, даже если я один дома Смешно? Может быть - зато я вряд ли забуду это сделать тогда, когда это будет не нужно делать - а вовсе не потому, что там есть что-то ценное, или потому что я опасаюсь человека-невидимки
речь не шла о публикации данных, или?
Речь шла о том, что вс╦, что человек не захочет опубликовать, имеет смысл скрывать от публики - в том числе любопытных админов и прочих техников по дороге. Точнее, не принимать все возможные и невозможные меры для этого - а просто _элементарные_ меры. Дома это закрытие двери на защелку, в интернете - использование SSL/TLS. Всего-то.
Вовсе необязательно располагать секретами или ценной информацией, что бы имело смысл е╦ скрывать - но большинству людей, вс╦ же, неприятна мысль, что их _личная_ переписка (пусть даже о том, что было вчера в баре, да ещ╦ при куче свидетелей) будет доступна (_может быть_ доступна) совершенно чужим людям (например тем, кого не было в баре, и кто об этом знать не должен).

ну, может быть, я понял тебя не совсем верно. т.е. исключая man-in-the-middle, можно спокойно говорить о невозможности перехвата трафика. Учитывая же man-in-the-middle и считая это проблематичным для своих данных, нельзя ограничиваться только шифтрованием одной сессии, а надо позаботиться о том, чтобы шифрование было обеспечено на всем пути от отправителя до получателя. Иначе это напоминает рыцаря, одетого до пояса в латы и в семейных трусах

да нет, не смешно. Наверное, для тебя нормально. Для когото другого -- немножко черезчур....

твоя точка зрения имеет столько же права на существования, сколько и моя. Любые меры предосторожности (и не только в IT) можно выстраивать под себя. Можно, например, переходить на шепот, разговаривая с в кафе женой об искусстве Кафки, а можно в блогах под своим именем писать свою почасовую автобиографию. Каждый решает для себя сам....
Кстати, если мы еще в наших философствованиях не забыли с чего началась ветка: я гдето писАл, что некоторые, например, антивирусы "вклиниваются" между клиентом и сервером провайдера в качестве SMTP-Proxy. И вот тут может возникнуть дилемма: с чем я готов мириться -- с тем что ктото, переворачиваясь через жопу, будет подкупать админов на рутерах, чтобы почитать мое письмо про поход в бар или с тем, что по моей шифрованной линии ко мне будут приходить вирусы, отлавливать которых мне надо будет уже другим способом...
А в общем, чтобы дискуссия не превратилась в бесконечную, можно сказать, что каждый должен понимать степень риска и соответственно себя вести. Вот и все. И совсем необязательно, будучи одному дома и отходя по малой нужде лОчить комп, а потом еще, например, запираться на три замка в туалете, только для того чтобы не забыть все эти операции произвести, будучи в общественном месте

нельзя ограничиваться только шифтрованием одной сессии, а надо позаботиться о том, чтобы шифрование было обеспечено на всем пути от отправителя до получателя.
Я и не говорил, что этого достаточно. Но - повторюсь - это исключает уже большую цепь - и - ничего не стоит.
или с тем, что по моей шифрованной линии ко мне будут приходить вирусы, отлавливать которых мне надо будет уже другим способом
Не проще ли просто не открывать ничего (аттачи), пришедшего по почте? Точнее - грубо говоря - тупо сохранить то что хочется открыть - уже во время этой операции сохраняемый файл должен быть проверен антивирусом, и если не проверяется - то сделать это ручками. Сложно? Да нет - просто это операция по предохранению. Неудобно? Ну извини - презерватив тоже неудобно, но ведь сами надевают, ручками, а не ждут что вс╦ само собой наденется :) Я вообще сторонник той точки зрения, что всем, кто желает пользоваться Интернет, нужно сдавать экзамены - как на права... Не знаешь элементарных правил - вс╦, до свидания - тогда бы у вирусов шансов бы не было (точнее, были бы мизерные).
И совсем необязательно, будучи одному дома и отходя по малой нужде лОчить комп
Конечно необязательно. Но это привычка - отходишь - лочишь. И не только комп, вс╦ что лочится и закрывается. Точно также я рефлекторно ставлю блок, если кто-то резко в мо╦м направлении движение сделает - даже если это мой друг и я знаю (на сознательном уровне) что это просто движение...