В Fedora Linux 39 планируют по умолчанию отключить поддержку подписей на основе SHA-1

Эй! У меня оранжевые волосы.

И каждый пользователь компьютера обязательно перед тем как зайти на любой сайт в сети проверяет whois после чего nslookup'ом обращается именно к неймсерверу, держащему зону, а не к тому, который получил, например, по dhcp.

└─> grep -E '^address' /etc/dnsmasq.conf 
address=/microsoft.com/10.20.30.40
└─> nslookup microsoft.com 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   microsoft.com
Address: 10.20.30.40

… через зашифрованный и свободный от MITM DNS и whois, ага. Построение зашифрованных свободных от MITM DNS и whois оставляется читателю в качестве упражнения.

windows10, у тебя если действительно есть практически реализуемое решение, как аутентифицировать вторую сторону по незащищенному каналу при условии первого с ней контакта, ты не томи, иди сразу получай медаль Тьюринга и спасай человечество от страдания фигнёй с PKI.

Что значит провайдер выдал ?

Провайдер может прозрачно завернуть и ns запросы и http/https трафик и даже whois запросы. Да любой трафик. Неожиданно, да?

И каждый пользователь компьютера обязательно перед тем как зайти на любой сайт в сети проверяет whois после чего nslookup'ом обращается именно к неймсерверу, держащему зону, а не к тому, который получил, например, по dhcp.

Клиент!=Человек.

100500 шифрований и валидаций клиентской программе проверить не лень, а одну А-запись с неймсервера - лень. Вот так и живем, раздувая гигабайты костылей.

у тебя если действительно есть практически реализуемое решение, как аутентифицировать вторую сторону по незащищенному каналу при условии первого с ней контакта, ты не томи, иди сразу получай медаль Тьюринга и спасай человечество от страдания фигнёй с PKI.

В моем примере валидации - аутентификация вообще лишняя. Если цель всей этой мышиной возни - выдать в браузере плашку «not secure» - это можно сделать и проще.

Шаг 1. Ввел в браузер URL;

Шаг 2. Браузер определил IP домена;

Шаг 3. Браузер полез во whois и нашел что домен использует ns1.godaddy.com;

Шаг 4. Браузер считал А-запись с ns1.godaddy.com;

Шаг 5. Если IP с шага 2 не совпадает с IP с шага 4 - выдаем плашку. Если нет - красим все секюрным зелененьким. Если А-записей несколько, то перебираем их все.

Шаг 2. Выдан левый айпи.

Шаг 3. Запрос к серверу имён от whois перехвачен и выдан адрес подконтрольного нам DNS-сервера, возвращающего тот же левый айпи.

или

Шаг 4. Браузер ищет ns1.godaddy.com, спрашивая у дефолтного DNS-сервера, который наш и отдаёт свой айпишник. Таким образом как и на шаге 2 браузер получает левый айпи.

PROFIT.

Test Day будет в понедельник, заходите на #fedora-test-day на libera

https://fedoraproject.org/wiki/Test_Day:2022-09-05_StrongCryptoSettings3

Что такое уязвимый алгоритм, для чего он нужен, и почему он мне не мешает играть в Крузис, смотреть ютубчик и отправлять своего котика девушкам ?

Вот тут запись с первого занятия моего полгодового вводного курса по прикладной криптографии: https://www.youtube.com/watch?v=yrOKSZ6CxtU Можешь послушать и разобраться.

А если не можешь, то не мешай взрослым дядям заниматься делом. Они знают, что творят.