подмена обновлений ос и приложений

Вопрос второй. Если провайдер использует собственные dns сервера (они назначены в роутере через DHCP), то по сути он имет возможность проводить махинации?

Имея свой DNS, пров может выдать тебе другой ip-шник. Правда, если там https - то браузер ругнется на левый сертификат.

Как этого избежать?

Назначит DNS ручками. Не ходить на http-сайты.

Но, AFAIK, пров может и подменять DNS-ответы, тогда остается DNSSEC. Гуглоdns его умеет, по слухам. Но, если пров таки подменяет ответы, то при использовании dnssec у тебя просто перестанет работать dns.

Гуглоdns его умеет, по слухам.

dig @8.8.8.8 gentoo.org +dnssec
Судя по выхлопу умеет без слухов.

Спасибо за ответы.

А откуда браузер знает, какие вообще должны быть сертификаты? С чем он сравнивает, перед тем как обругать левый? Если пользователь внимательный, насколько сложно обойти такую защиту?

Браузер смотрит, во-первых, кем был выдан сертификат. Если корневой УЦ сертификата не добавлен в доверенные - будет ругаться. Ещё он сравнивает subject name сертификата с доменным именем сервера, к которому ты обращаешься.

откуда он знает, какие УЦ доверенные? Браузер уже идет со списком доверенных УЦ? Что мешает подделать subject name? Что мешает сертификат от Васи (левый) пометить как выданный Борей (доверенный).

откуда он знает, какие УЦ доверенные? Браузер уже идет со списком доверенных УЦ?

ЕМНИП, не браузер, а ось.

Что мешает подделать subject name? Что мешает сертификат от Васи (левый) пометить как выданный Борей (доверенный).

Ты не сам выдаешь себе сертификат, а запрашиваешь у доверенного УЦ (можно и самому быть УЦ, но это сложно). УЦ проверяет, что ты запросил сертификат для своей сайта.

А подделать сертификат мешает отсутствие закрытого ключа УЦ, которым подписывается сертификат.

Возможно цру себе уже понаделала фальшивых сертификатов. Трояны же свои подписывала фальшиввми, но валидными сертификатами, пока не поймали за руку.

Возможно цру себе уже понаделала фальшивых сертификатов.

Может, да. А может, нет.

Трояны же свои подписывала фальшиввми, но валидными сертификатами, пока не поймали за руку.

Трояны, AFAIR, и просто хацкерами подписывались.

И что?

PS Продолжая тему. Один из глобальных УЦ - Thawte, принадлежит Symantec. А сама Symantec, по слухам, тесно связана с АНБ и ЦРУ. Примерно, как Лаборатория Касперского с ФСБ :)

PPS А McAfee - с DOD :)

Я не до конца понял, ты пытался меня опровергнуть, или дополнить?

Дополнить, и намекнуть, что анализ рисков должен быть рационален. Поднимать свой сервер обновлений и проводить анализ исходников собственными силами - это круто, но дорого.