какой сертификат если запрос идет по HTTP. А ключ как узнают? А хрен его знает   догадаются например. Я не знаю, я не говорю что проверка обязательна..но во всяком случае если она хоть 0.0001 процент повышает безопасноть, она не помешает, и не настолько тормозит процесс обработки данных..а твой пример вообще ничего не повышает, он бессмысленен. Так что думаю сравнению не подлежит.   

 Сертификат при задании ключа на сайте webmoney.
Не на сайте магазина.


 Эта вероятность 2^128. т.е. бесконечна на текущем уровне развития. Даже если учитывать закон Мура и взять срок несколько десятков лет.

 Ровно как и твой.
Ты считаешь себя умнее специалистов, разработавших или применяющих https, что уверен, что злоумышленник спокойно может применить MITM? )
Без знания же ключа вероятность  = 0.

Если ты нен согласен - опровергни. Я дам сылку на магазин, подберешь ключ.


Это сообщение отредактировал(а) nerezus - 28.3.2009, 23:32

Это ключ который ты сам ввел, т.е. пароль. Я не знаю как его можно узнать. Но пароли иногда узнают.



нет, я не считаю себя умнее. Но причем тут вообще HTTPS? О чем мы сейчас говорим? На твоем сайте нету HTTPS вообще, там одна защита - секретный ключь. Без знания ключа - вероятность - 0, я согласен! но речь о том что ключь могут узнать..я не знаю как, может пьяный проболтаешся, может догадаются что это имя твоего любимого хомячка, может еще что, я не могу предугадать, потому на всякий случай ставлю проверку. Если теоретически хотя бы есть вероятность что секретный ключь могут узнать, моя проверка спасает, твой вариант - нет. Это теоретическия проверка. Пусть каждый поступает по своему, но я бы ее все равно не убрал. 

 Как ты его узнаешь, повторюсь?)
Я тебе говорить не буду, нигде в системе он не сохранен, передается по безопасному соединению.
Его НЕЛЬЗЯ узнать. И это факт.
Если несогласен - опровергни, только не надо говорить в стиле "у моей сестры же как то аську увели, как-то пароль 123456 узнали, значит все сломать могут."

 Про передачу ключа на сайт WM.

 Именно так.

 Моих хомячков не зовут 30значным набором рандомных символов. И тем более я не способен помнить такое. Ключ придумывается , вводится на сайте WM(через https), прописыввается в конфиг. Все, про него можно забыть. Запоминать и записывать его не нужно.

 Назови хоть 1 реальный способ, по которому его могут узнать? Я это десятый пост тебе твержу =)

Я вижу один: взломать сервер с сайтом.
Но при этом они могут подменить номер кошеля, так что смысла узнавать ключ, но оставлять старый номер у них нет.

Ех, еслиб я знал  



я просто пример привел. Хочешь реальный пример? Пожалуйста..Кейлогер. Простой кейлогер установленный на твоем компьютере, о котором твой антивирус не подозревает (и такое бывает) может свести на нет весь твой 30 символьный секретный ключь и SSL с его современными методами криптозащиты.



назвал  но наверняка это не единственный. Еслиб я знал все, я бы был не программистом а хакером  

nerezus я понимаю что есть фаерволы, антивирусы итд...но
1. Многие их не используют..
2. При большем желании можно обойти их всех, я могу тебе за пару дней написать програмку, которая отправит данные, обойдя все твои фаерволы если у тебя есть доступ к интернету вообще..ты же не запретишь доступ в интернет своему браузеру? Не буду тебе рассказывать как легко делать что-либо от имени любого запущенного процесса, ты наверняка это и без меня знаешь..под виндоуз - раз плюнуть...эта проверка не настолько замедляет процесс, чтобы быть лишней..во всяком случае по моему, хоть теоретически, хоть чуть чуть.. но гарантию безопасности она повышает..

Это сообщение отредактировал(а) azesmcar - 29.3.2009, 13:58

 Вот именно, ты пытаешься доказато то, что не знаешь.

см выше.

 И контроль компонентов это не запалит?)
Я не спорю, что FW обходятся, а антивири изначально ничего не могут сделать. Протсо не все так просто ;)

Тем более что ты сможешь узнать ключ лишь когда я пойду менять его на панели WM(т.е. никогда).

Я имел ввиду

я не хакер чтобы знать все способы, но один я тебе привел. Не думаю что ты их знаешь, и не думаю что на форуме сидит человек имеющий опыт взлома финансовых систем. Они в основном не сидят на форумах, они либо сидят на гаваях, либо в тюрьме   



не факт


я не говорил что просто, но ради денег можно постараться.



а ты не думал что может быть у тебя кейлогер стоит во время первого ввода?

Это сообщение отредактировал(а) azesmcar - 29.3.2009, 14:18

azesmcar, 
nerezus, беседа вышла у вас ну очень содержательная, тока вы пыл умерте. 

MoLeX ну я думаю мы к этому и стремимся..в спорах рождается истина. У нас тут родился спор, со специалистом мнение которого я со своим стажем на форуме уважаю, но в некоторых ситуациях появляются спорные вопросы, никто из нас не идеален, и все могут ошибатся.

nerezus я искренне надеюсь что ничем тебя не оскорбил во время нашей милой беседы и ни коим образом не собирался этого делать 
я всегда рад встретить конструктивную критику и рад учавствовать в аргументированных спорах.

не, это все хорошо но ИМХО в некоторых местах ваш спор проходил на грани фола (хотя могу и ошибаться   )

спор - это хорошо, особенно на форуме программистов. 

Если этого боишься - поставь второй системой Юникс, с него вводи все ключи...  А винда для дома... но увы твоя система не поможет  кейлогер может пароль от фтп свиснуть (или ссх и т.д.) а оттуда все стянуть или сделать что им угодно 

Djinn

Ну зачем начинать все заново?

Да конечно, столько всего можно придумать чтобы убрать один if. Может откроем отдельную тему и поизвращаемся там?


Такие проблемы решаются в два щелчка. Ту же самую проверка по IP можно внести в фаервол на сервере и к вашему FTP не будет иметь доступа никто кроме вас. Плюс использование SFTP и SCP вместо FTP (если уж говорите о безопасности). Плюс добавить кроме авторизации по паролю - авторизацию по RSA/DSA ключу.

Это сообщение отредактировал(а) azesmcar - 25.4.2009, 12:50

угу, у нас что к сайту что к фтп на сервер имеет человек тока из нашей сети, так что этот фариант идет лесом)