Здравствуйте, vsb, Вы писали:

vsb>Здравствуйте, Sharowarsheg, Вы писали:

ДП>>>>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

vsb>>>Чтобы провайдер не подменил юзеру закачку.

S>>Это проблема между провайдером и юзером, нефига меня впутывать в их взаимоотношения.

vsb>И как ты предлагаешь решать эту проблему? Задача гугла — обеспечить безопасный интернет пользователю, даже в условиях, когда враги контролируют его трафик.

Ты как-то дофига позволяешь гуглу. Задача гугла, в целом, найти урл по запросу. Задача браузера — отрендерить страницу. Не слишком хорошая идея давать корпорации решать, какие страницы хорошие, а какие плохие, и кто именно враги пользователя.

vsb>Для решения этой задачи придумали HTTPS. Других вариантов не придумали.

Это неправда. Придумали ещё, например, контракты и суд. Если провайдер подменяет файлы при передаче, на него можно подать в суд, если эта подмена не соответствует контракту. А в некоторых случаях, может быть, даже и соответствует. Например, некоторые архивы заворачивали дистрибутивы, которые им сабмитили, в свой инсталлер, в котором был drive-by download. Я сейчас не помню точно, но, кажется, download.com этим баловался, и кто-то ещё. Ну то есть таких было больше одного. И это было написано в контракте, вместе с бесплатным хостингом дистрибутивов или что-то типа того. Некоторые провайдеры, по крайней мере в РФ, скажем, иногда суют свою рекламу между страницами, или там может объявления, где написано "ваш баланс будет ноль через три дня". Это тоже написано в контракте, если поискать. Не дело гугля и не дело сайта лезть в это.

vsb>Если ты не способен обеспечить безопасную передачу своего файла, значит браузер пометит его, как небезопасный. Вроде всё логично.

Нет, я не занимаюсь бизнесом по передаче данных, и мне не платят за это. Бизнесом по передаче данных занимается провайдер, и он получает за это деньги или другую компенсацию. Это его обязанность обеспечивать даже не достоверность передачи, а соответствие передачи условиям контракта.

Здравствуйте, Дон Педро, Вы писали:

ДП>Кто сидит на последнем хроме, как там с закачками по HTTP, запрещает уже?
ДП>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?
Таки начинайте сопротивлятся. Не начинайте закачку если в агенте стоит google chrome.
Пишите что google chrome не безопасен и шпионит за пользователем используйте другой браузер (и ссылку на яндекс браузер)
И раздавайте через torrent и ссылки в виде base64 или magnet

Здравствуйте, vsb, Вы писали:

Pzz>>У гугля нет задачи обеспечить пользователю бесплатный интернет. Это — задача оператора связи.

vsb>Безопасный, а не бесплатный.

Я опечатался, разумеется.

vsb>Может быть и так. Хотя требование TLS для скачивания файлов с этой теорией не стыкуется.

Стыкуется. Гугль делает все, что может, чтобы незашифрованный трафик перестал проходить через операторов связи.

vsb>Ну да ладно. Суть в том, что чем меньше за мной следят, тем лучше. Тем более, что слежку гугла зачастую я могу ограничить или убрать, модифицировав свой браузер (адблоки и тд). А слежку оператора я убрать не могу никак.

Слежку гугля ты еще в меньшей степени можешь убрать. Даже на государственном сайте по выдаче ковидовских пропусков в Москве стояла капча от гугля — так что гугль в курсе, сколько людей получали эти пропуска, с каких устройств они это делали, и какие другие сайты с запчастями от гугля они посещали.

Браузер ты можешь модифицировать, по большей части, заменив гуглевский хром с одной мордой, на гуглевский хром с другой мордой. Да, пока еще существует мазила и сафари, но гугль старательно работает над устранением этого упущения.

Здравствуйте, vsb, Вы писали:

vsb>Тогда я не согласен. У провайдера нет никакой заинтересованности в том, чтобы дать пользователю безопасный интернет, т.к. вставка рекламы это прямое вмешательство в работу сайта, которое иными словами называется "атака человек посередине". И этой вставкой рекламы баловались многие. Пассивную слежку так просто не обнаружишь, но и про неё у меня сомнений нет. Не будь сейчас шифрования везде, в мой физический почтовый ящик сыпалась бы реклама автосалонов после хождения по drom.ru (и боюсь представить что, после хождения по порнхабу).

Ну, водопроводчики бы тоже с удовольствием соединили вход водопровода с выходом канализации, да им санэпиднадзор не велит.

В общем, я хочу сказать, что Интернет — это общенародное достояние, и нехорошо, что крупная частная компания его почти полностью контролирует.

vsb>Это частный и достаточно редкий случай. Обычно гугл следит за пользователями с помощью рекламы и аналитики. Это всё внешние скрипты и их можно отключить блокиратором.

Гуглевская аналитика есть чуть менее, чем на каждом сайте. Более того, она измудрилась вычислить, что мои устройства каким-то образом связаны с устройствами моей жены, и теперь у нас на двоих реклама общая. Это ли не семейное счастье!

Здравствуйте, vsb, Вы писали:

vsb> С точки зрения сервера получить валидный HTTPS сертификат несложно и бесплатно, поэтому тут тоже непонятно, о чём спорить, никакого злодейства тут нет.

Несложно и бесплатно получить валидный сертификат только и исключительно милостью гугла. Милость гугла, однако, переменчива. С сертификатами и безопасностью будет такая же фигня, как с числом бесплатных результатов на первой странице поиска, которых со временем становится всё меньше и меньше.

Хз, не вижу смысла тут дискутировать. У гугла есть своё мнение (данные должны шифроваться от сервера до браузера). Это мнение на стороне пользователя в данном случае, поэтому лично я только рад этому. Гугл имеет возможность отстаивать свою позицию. С точки зрения сервера получить валидный HTTPS сертификат несложно и бесплатно, поэтому тут тоже непонятно, о чём спорить, никакого злодейства тут нет. Если ты работаешь на провайдера и гугл отжимает у тебя возможность следить за пользователем и совать ему рекламу, ну что могу сказать, сочувствия всё равно не вызовешь.

Ни один пользователь в своём уме не согласится на то, чтобы ему сували рекламу. Это всё называется кабальные условия контракта, вот и всё.

https://3dnews.ru/1003172
https://habr.com/ru/news/t/487472/

Как отмечается, начиная с марта пользователи начнут получать уведомления при попытке загрузить файл с незащищённого сервера. Будет говориться о загрузке «сомнительного контента». Начиная с июня, система будет принудительно блокировать загрузку файлов с расширением .exe, а также начнёт сообщать о «сомнительности» ZIP-архивов и ISO-образов.

В будущем список ещё больше расширится. А с выходом Chrome 86 в октябре все закачки по протоколу HTTP заблокируют.

Кто сидит на последнем хроме, как там с закачками по HTTP, запрещает уже?
Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

Здравствуйте, Дон Педро, Вы писали:

ДП>У меня статика на сайте сплошная, зачем мне HTTPS?

какое отношении имеет контент к протоколу? https защищает канал связи

Здравствуйте, vsb, Вы писали:

vsb>И как ты предлагаешь решать эту проблему? Задача гугла — обеспечить безопасный интернет пользователю, даже в условиях, когда враги контролируют его трафик. Для решения этой задачи придумали HTTPS. Других вариантов не придумали. Если ты не способен обеспечить безопасную передачу своего файла, значит браузер пометит его, как небезопасный. Вроде всё логично.

У гугля нет задачи обеспечить пользователю бесплатный интернет. Это — задача оператора связи. Я полагаю, гугль хочет добиться, чтобы операторы связи не могли анализировать, чем там пользователи занимаются, а гугль — мог. Затем и нужно повсеместное внедрение криптографии, в т.ч. на сайтах, не имеющих к гуглю никакого отношения.

Здравствуйте, vsb, Вы писали:

vsb>Хз, не вижу смысла тут дискутировать. У гугла есть своё мнение (данные должны шифроваться от сервера до браузера). Это мнение на стороне пользователя в данном случае, поэтому лично я только рад этому. Гугл имеет возможность отстаивать свою позицию. С точки зрения сервера получить валидный HTTPS сертификат несложно и бесплатно, поэтому тут тоже непонятно, о чём спорить, никакого злодейства тут нет. Если ты работаешь на провайдера и гугл отжимает у тебя возможность следить за пользователем и совать ему рекламу, ну что могу сказать, сочувствия всё равно не вызовешь.

Мне не нравится, что решения такого рода принимаются одной отдельно взятой частной компанией. Совершенно не обязательно, что все ее решения будут в интересах пользователя, но скоро настанет время, когда поделать с этим будет ничего нельзя.

Здравствуйте, Михaил, Вы писали:

М>Но, в целом, требование https — здравое, как и предпочтение везде, где возможно, защищенных соединений.

Такое же здравое, как требовать на всех сортирах, включая уличные "будка с очком и ямой", замки как в Форт-Ноксе. А кто не согласен, тот хочет, чтобы маленькие дети ночью утонули в сортирной яме.

Здравствуйте, vsb, Вы писали:

S>>Несложно и бесплатно получить валидный сертификат только и исключительно милостью гугла. Милость гугла, однако, переменчива. С сертификатами и безопасностью будет такая же фигня, как с числом бесплатных результатов на первой странице поиска, которых со временем становится всё меньше и меньше.

vsb>Letsencrypt это too big to fail. Никуда он уже не денется. На нём полинтернета работает.

Too big to fail не бывает. Даже Солнце погаснет, если достаточно подождать. Число бесплатных результатов на первой странице уменьшалось сколько? лет десять-пятнадцать? Вот статья 2012 года — https://searchengineland.com/7-new-10-google-showing-fewer-results-131006 — ну вот и извращение https займёт те же самые десять-пятнадцать лет. Начало истории с https примерно в 2017, к 2030 примерно будет видно, что получилось.

Здравствуйте, Дон Педро, Вы писали:

ДП>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

Чтобы провайдер не подменил юзеру закачку.

Здравствуйте, Sharowarsheg, Вы писали:

vsb>>Чтобы провайдер не подменил юзеру закачку.

S>Это проблема между провайдером и юзером, нефига меня впутывать в их взаимоотношения.

ну тогда дайте юзеру инструкции как скачать ваш файл через другой браузер, раз уж на его безопасность и собственную репутацию вам плевать.

Здравствуйте, Sharowarsheg, Вы писали:

ДП>>>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

vsb>>Чтобы провайдер не подменил юзеру закачку.

S>Это проблема между провайдером и юзером, нефига меня впутывать в их взаимоотношения.

И как ты предлагаешь решать эту проблему? Задача гугла — обеспечить безопасный интернет пользователю, даже в условиях, когда враги контролируют его трафик. Для решения этой задачи придумали HTTPS. Других вариантов не придумали. Если ты не способен обеспечить безопасную передачу своего файла, значит браузер пометит его, как небезопасный. Вроде всё логично.

Здравствуйте, Sharowarsheg, Вы писали:

S>Несложно и бесплатно получить валидный сертификат только и исключительно милостью гугла. Милость гугла, однако, переменчива. С сертификатами и безопасностью будет такая же фигня, как с числом бесплатных результатов на первой странице поиска, которых со временем становится всё меньше и меньше.

Letsencrypt это too big to fail. Никуда он уже не денется. На нём полинтернета работает.

Здравствуйте, Pzz, Вы писали:

vsb>>И как ты предлагаешь решать эту проблему? Задача гугла — обеспечить безопасный интернет пользователю, даже в условиях, когда враги контролируют его трафик. Для решения этой задачи придумали HTTPS. Других вариантов не придумали. Если ты не способен обеспечить безопасную передачу своего файла, значит браузер пометит его, как небезопасный. Вроде всё логично.

Pzz>У гугля нет задачи обеспечить пользователю бесплатный интернет. Это — задача оператора связи.

Безопасный, а не бесплатный.

Pzz>Я полагаю, гугль хочет добиться, чтобы операторы связи не могли анализировать, чем там пользователи занимаются, а гугль — мог. Затем и нужно повсеместное внедрение криптографии, в т.ч. на сайтах, не имеющих к гуглю никакого отношения.

Может быть и так. Хотя требование TLS для скачивания файлов с этой теорией не стыкуется. Ну да ладно. Суть в том, что чем меньше за мной следят, тем лучше. Тем более, что слежку гугла зачастую я могу ограничить или убрать, модифицировав свой браузер (адблоки и тд). А слежку оператора я убрать не могу никак.

Здравствуйте, Pzz, Вы писали:

Pzz> Мне не нравится, что решения такого рода принимаются одной отдельно взятой частной компанией. Совершенно не обязательно, что все ее решения будут в интересах пользователя, но скоро настанет время, когда поделать с этим будет ничего нельзя.

А они и не принимаются отдельно взятой компанией. За защиту от MITM "проголосовали" подавляющее большинство компаний как только для этого сложилась благоприятная инфраструктура — никто не хочет нести потери (любого рода) из за того, что кто-то посторонний засунул свой нос в трафик между компанией и пользователем.

Здравствуйте, Михaил, Вы писали:

М>Для этого нужны конкуренты. Как Android в свое время потеснил iOS, так и для гугла что-нибудь появится рано или поздно на смену,...
Android не теснил iOS, а захватил не занятую iOS часть ниши.

Здравствуйте, Pzz, Вы писали:

Pzz>Разве letsencrypt существует по милости гугля?

В какой-то мере да. Если гугл решит отозвать их сертификаты для хрома, то letsencrypt перестанет существовать. Но это гуглу сейчас не выгодно, и даже наоборот, наличие letsencrypt на текущий момент выгодно, так как позволяет пропихивать такие вот запреты загрузки по http.

Помимо прочего, это бьёт по старым архивам. Чем дальше, тем меньше таких мест, но есть еще адреса, которые неизменными остались еще с 90-х даже годов (обычно западные университетские) и это здорово. Естественно там http, а https туда вероятно никто и не будет ставить. Проще прикрыть древний архив какой-нибудь.

Здравствуйте, Дон Педро, Вы писали:

ДП>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

Потому, что могут.

Поставь себе уже бесплатный сертификат от let's encrypt.

Здравствуйте, Дон Педро, Вы писали:

ДП>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

Это не тебе, а гуглю, для какой-нибудь монополии на что-нибудь.

Здравствуйте, vsb, Вы писали:

ДП>>Что это вообще такое за беспредел? У меня статика на сайте сплошная, зачем мне HTTPS?

vsb>Чтобы провайдер не подменил юзеру закачку.

Это проблема между провайдером и юзером, нефига меня впутывать в их взаимоотношения.

Здравствуйте, Sharowarsheg, Вы писали:

S>Несложно и бесплатно получить валидный сертификат только и исключительно милостью гугла. Милость гугла, однако, переменчива. С сертификатами и безопасностью будет такая же фигня, как с числом бесплатных результатов на первой странице поиска, которых со временем становится всё меньше и меньше.

Разве letsencrypt существует по милости гугля?

Здравствуйте, Pzz, Вы писали:

Pzz>>>У гугля нет задачи обеспечить пользователю бесплатный интернет. Это — задача оператора связи.

vsb>>Безопасный, а не бесплатный.

Pzz>Я опечатался, разумеется.

Тогда я не согласен. У провайдера нет никакой заинтересованности в том, чтобы дать пользователю безопасный интернет, т.к. вставка рекламы это прямое вмешательство в работу сайта, которое иными словами называется "атака человек посередине". И этой вставкой рекламы баловались многие. Пассивную слежку так просто не обнаружишь, но и про неё у меня сомнений нет. Не будь сейчас шифрования везде, в мой физический почтовый ящик сыпалась бы реклама автосалонов после хождения по drom.ru (и боюсь представить что, после хождения по порнхабу).

vsb>>Ну да ладно. Суть в том, что чем меньше за мной следят, тем лучше. Тем более, что слежку гугла зачастую я могу ограничить или убрать, модифицировав свой браузер (адблоки и тд). А слежку оператора я убрать не могу никак.

Pzz>Слежку гугля ты еще в меньшей степени можешь убрать. Даже на государственном сайте по выдаче ковидовских пропусков в Москве стояла капча от гугля — так что гугль в курсе, сколько людей получали эти пропуска, с каких устройств они это делали, и какие другие сайты с запчастями от гугля они посещали.

Это частный и достаточно редкий случай. Обычно гугл следит за пользователями с помощью рекламы и аналитики. Это всё внешние скрипты и их можно отключить блокиратором.

Pzz>Браузер ты можешь модифицировать, по большей части, заменив гуглевский хром с одной мордой, на гуглевский хром с другой мордой. Да, пока еще существует мазила и сафари, но гугль старательно работает над устранением этого упущения.

Система расширений хрома позволяет блокировать всё, что нужно. Другие браузеры от гугла и вовсе берут только движок.

Здравствуйте, Sharowarsheg, Вы писали:

S>Это неправда. Придумали ещё, например, контракты и суд. Если провайдер подменяет файлы при передаче, на него можно подать в суд, если эта подмена не соответствует контракту.

у тебя на входной двери замок есть?

Здравствуйте, Pzz, Вы писали:

Pzz>Мне не нравится, что решения такого рода принимаются одной отдельно взятой частной компанией. Совершенно не обязательно, что все ее решения будут в интересах пользователя, но скоро настанет время, когда поделать с этим будет ничего нельзя.

Для этого нужны конкуренты. Как Android в свое время потеснил iOS, так и для гугла что-нибудь появится рано или поздно на смену, более качественное, или хотя бы могущее составить достойную альтернативу на западном рынке. Тогда и правила изменятся.
Ну а пока имеем то, что имеем, и приходится играть по их правилам, чтобы не оказаться за бортом. К сожалению.

Но, в целом, требование https — здравое, как и предпочтение везде, где возможно, защищенных соединений.

Здравствуйте, icezone, Вы писали:

I>Здравствуйте, Sharowarsheg, Вы писали:

S>>Это неправда. Придумали ещё, например, контракты и суд. Если провайдер подменяет файлы при передаче, на него можно подать в суд, если эта подмена не соответствует контракту.

I>у тебя на входной двери замок есть?

В дом — есть, а на сарае — нет.

Лучше бы Гугл следил за сайтами, которые принимает в АдВордс. А то рекламит откровенных жуликов и хоть бы что. А те, между прочим, прекрасно так себе на HTTPS работают. И всем на это насрать...

Здравствуйте, temnik, Вы писали:

t> Лучше бы Гугл следил за сайтами, которые принимает в АдВордс. А то рекламит откровенных жуликов и хоть бы что. А те, между прочим, прекрасно так себе на HTTPS работают. И всем на это насрать...

HTTPS защищает от MITM, а не от жуликов, так что это ортогональные вещи.

Здравствуйте, Sharowarsheg, Вы писали:

S>В дом — есть, а на сарае — нет.

по той же логике — сайт приносящий деньги с https, файлопомойка — без

Здравствуйте, Дон Педро,

речь про смешанные загрузки

Здравствуйте, Pzz, Вы писали:

Pzz>Здравствуйте, Sharowarsheg, Вы писали:

S>>Несложно и бесплатно получить валидный сертификат только и исключительно милостью гугла. Милость гугла, однако, переменчива. С сертификатами и безопасностью будет такая же фигня, как с числом бесплатных результатов на первой странице поиска, которых со временем становится всё меньше и меньше.

Pzz>Разве letsencrypt существует по милости гугля?

Конечно. Завтра гугл скажет "Let's Encrypt Не Соответствует Нашим Представлениям О Безопасности!!!1111" и послезавтра хром перестанет признавать эти сертификаты. Не первый раз. Нет и не будет никакого стандарта, который будет заставлять или запрещать принимать какие-то сертификаты, хотя бы потому, что каждая страна может в своей юрисдикции иметь своё мнение.

Здравствуйте, Pzz, Вы писали:

Pzz>Браузер ты можешь модифицировать, по большей части, заменив гуглевский хром с одной мордой, на гуглевский хром с другой мордой. Да, пока еще существует мазила и сафари, но гугль старательно работает над устранением этого упущения.

А MS сдался?

Здравствуйте, Pzz, Вы писали:

Pzz>Гуглевская аналитика есть чуть менее, чем на каждом сайте. Более того, она измудрилась вычислить, что мои устройства каким-то образом связаны с устройствами моей жены, и теперь у нас на двоих реклама общая. Это ли не семейное счастье!

Порно-спам, надеюсь, тоже общий?

Здравствуйте, Erop, Вы писали:

E>Здравствуйте, Pzz, Вы писали:

Pzz>>Браузер ты можешь модифицировать, по большей части, заменив гуглевский хром с одной мордой, на гуглевский хром с другой мордой. Да, пока еще существует мазила и сафари, но гугль старательно работает над устранением этого упущения.

E>А MS сдался?


https://support.microsoft.com/en-us/help/4501095/download-the-new-microsoft-edge-based-on-chromium

The new Microsoft Edge is based on Chromium and was released on January 15, 2020. It is compatible with all supported versions of Windows, and macOS. Downloading the browser will replace the legacy version of Microsoft Edge on Windows 10 PCs. With speed, performance, best in class compatibility for websites and extensions, and built-in privacy and security features, it's the only browser you'll ever need.

Мда, развели разговоров на 4 страницы.
Бесплатный сертификат ставится 10 минут, в 100 раз быстрее чем обсуждается эта ниочемная проблема ))

Здравствуйте, Chaser81, Вы писали:

C>Мда, развели разговоров на 4 страницы.
C>Бесплатный сертификат ставится 10 минут, в 100 раз быстрее чем обсуждается эта ниочемная проблема ))

Деньги платятся вообще мгновенно. Вопрос-то не в скорости.