HdkiLLeR wrote:WoLfeN Ilic wrote:Δεν εχεις αδικο, απλα δεν ξερω για ποσο ακομα θα ειναι ασφαλες το tls
οποτε αν οντως καταληξω προς τα εκει μαλλον μονο σε vbasic θα το κανω και αργοτερα ισως κοιταξω και για υλοποιηση σε *nix
θελω να ριξω πρωτα μια ματια σε αυτο
http://venus.cslab.aueb.gr/forum/viewto ... f=8&t=7265
Τι εννοείς πόσο ακόμη ασφαλές θα έιναι το TLS? Τo TLSv1 είναι ουσιαστικά το SSLv3. Είναι
IETF standard και είναι αρκετά extensible ώστε να καλύπτει νέα ciphers κλπ. Οι διαδικασίες για authentication (mutual or not), key exchange, rekeying, etc είναι όλες μελετημένες πάνω απο 10 χρόνια (~95 όταν η Νetscape μεσουρανούσε) και σε επίπεδο διαδικασιών είναι
safe. Το security είναι θέμα implementation οπότε κάτι που είναι τόσο χρησιμοποιημένο και έχει περάσει τόσα source code reviews δεν νομίζω ότι θα είναι χειρότερο απο κάτι που θα γράψεις εσύ (no offense). Eπίσης ο AES η NSA τον προτείνει για
secret και
top-secret rated traffic.
Σε γενικές γραμμές είναι ένα protocol που έχει λάβει by-design υπόψην του το πως θα δημιουργείς
random/one time keys για ένα και μόνο session (οπότε έχεις forward secrecy), πότε και πως θα γίνεται rekeying και πως θα κάνεις auth χρησιμοποιόντας ένα συνδιασμό απο public key crypto, diffie hellman key exchange, και symmetric crypto. Προσωπικά δεν νόμίζω ότι μπορείς να βρεις κάτι που να σου δίνει καλύτερο
assurance γι' αυτό που θέλεις να κάνεις -- υποθέτοντας πάντα ότι θα το κάνεις σωστά integrate, κάτι που όπως στην πράξη δεν γίνεται ποτέ γι΄αυτό και υπάρχουν όλα αυτά τα breaches παρά την χρήση strong crypto.
