1. Forum
  2. FidoNet Russia
  3. RU.INTERNET

  • граф эхохождения

    From Oleg Artemjev@2:6078/80.1354 to All on Mon Oct 5 17:54:11 2026

    *** Ответ на сообщение из ru.ai (ru.ai).

    Привет, All!

    19 сен 26 22:36, Oleg Artemjev -> Alex Barinov:
    Привет, Alex!

    17 сен 26 17:23, Alex Barinov -> All:

    Приветствую Вас, All!

    авайбкодил небольшую игрушку с эхами. Сырое, но симпатишное. ;-)
    Там всё интуитивно, но на всякий случай инструкция ниже.
    Замечания/предложения приветствуются.

    https://graph.fido.huba715.ru/


    Websites prove their identity via certificates. Firefox does not trust this site because it uses a certificate that is not valid for graph.fido.huba715.ru. The certificate is only valid for the following names: *.yandex.tr, xn--d1acpjx3f.xn--p1ai, *.xn--d1acpjx3f.xn--p1ai, yandex.aero, *.yandex.aero, yandex.jobs, *.yandex.jobs, yandex.net, *.yandex.net, yandex.org, *.yandex.org, yandex.de, *.yandex.de, ya.ru, *.ya.ru, yandex.it, *.yandex.it, yandex.uz, *.yandex.uz, yandex.tm, *.yandex.tm, yandex.tj, *.yandex.tj, yandex.ru, *.yandex.ru,
    yandex.md, *.yandex.md, yandex.lv, *.yandex.lv, yandex.lt,
    *.yandex.lt, yandex.kz, *.yandex.kz, yandex.fr, *.yandex.fr,
    yandex.ee, *.yandex.ee, yandex.com.tr, *.yandex.com.tr, yandex.com.ge, *.yandex.com.ge, yandex.com.am, *.yandex.com.am, yandex.com,
    *.yandex.com, yandex.co.il, *.yandex.co.il, yandex.by, *.yandex.by, yandex.az, *.yandex.az, yandex.tr

    Error code: SSL_ERROR_BAD_CERT_DOMAIN

    ну был бы он самоподписанным я бы ещё понял. А это то как понимать?

    С наилучшими пожеланиями, Oleg.

    --- -Уютно у вас, а только странно. И солнца мало.
    * Origin: А мы народ трудящийся... (2:6078/80.1354)

    Собственно антиоффтопик отквочен, в ru.ai ил попросил этот топик не развивать.

    асколько я помню это было в яндекс браузере, но ещё могло прилететь в Qubes в Firefox.

    Для затравки обсуждения - а что собственно это за нахрен такой - митмом (mitm-attack) попахивает!

    С наилучшими пожеланиями, Oleg.

    --- -Уютно у вас, а только странно. И солнца мало.
    * Origin: А мы народ трудящийся... (2:6078/80.1354)
  • From Dmitry Protasoff@2:5001/100 to Oleg Artemjev on Mon Oct 5 15:49:46 2026
    Hello Oleg!

    In a message of 05 Oct 26 17:54, Oleg wrote to All:

    асколько я помню это было в яндекс браузере

    А зачем нормальные сайты открывать в этом подгебешном браузере?

    Его единственный смысл - заходить на сайты, владельцы которых попали под санкции и не могут получить нормальный сертификат.

    Да и то - истинные фанаты Internet заводят для этого отдельный профиль Firefox, куда вставляют российский госушный сертификат и заходят с ним только на эти кривые сайты.



    See you,
    dp.
    --- FidoMail v0.1.4-214-g25f77470
    * Origin: livin' on the edge (2:5001/100)
  • From Andrei Ivanov@2:5023/24.3586 to Dmitry Protasoff on Tue Oct 6 08:45:36 2026
    Hello, Dmitry!

    05.10.2026 15:49, Dmitry Protasoff пишет:

    DP> Да и то - истинные фанаты Internet заводят для этого отдельный
    DP> профиль Firefox, куда вставляют российский госушный сертификат и
    DP> заходят с ним только на эти кривые сайты.

    е проще в Firefox просто добавить исключение?

    --
    With best regards, Andrei Ivanov
    --- InterSquish NNTP Server/FTN Gate
    * Origin: www.wfido.ru (2:5023/24.3586)
  • From Nil A@2:5015/46 to Oleg Artemjev on Tue Oct 6 02:27:48 2026
    * Originally in ru.internet
    * Crossposted in 715.echo
    Hello, Oleg!

    Monday October 05 2026 17:54, from Oleg Artemjev -> All:

    https://graph.fido.huba715.ru/

    Websites prove their identity via certificates. Firefox does not
    trust this site because it uses a certificate that is not valid for
    graph.fido.huba715.ru.

    асколько я помню это было в яндекс браузере, но ещё могло прилететь в Qubes в Firefox.

    Яндекс браузер сделан на Хромиуме, а не на Файрвоксе. Выше сообщение содержит слово Файрфокс.

    И тут я Яндекса не вижу.

    % IP=$(dig +short graph.fido.huba715.ru | tail -n1); echo "Resolved IP: $IP"; whois "$IP" | grep -iE "org|netname|descr|owner"
    Resolved IP: 95.143.217.246
    % for more information on IANA, visit http://www.iana.org
    organisation: RIPE NCC
    netname: GC-BB
    descr: Gorcom dynamic broadband customers
    org: ORG-JI4-RIPE
    descr: GORCOM-NET

    Для затравки обсуждения - а что собственно это за нахрен такой -
    митмом (mitm-attack) попахивает!

    Давай поисследуем.

    % openssl s_client -connect graph.fido.huba715.ru:443 -servername graph.fido.huba715.ru -showcerts </dev/null 2>&1 | openssl x509 -noout -subject -issuer -ext subjectAltName
    subject=CN=graph.fido.huba715.ru
    issuer=C=US, O=Let's Encrypt, CN=YE1
    X509v3 Subject Alternative Name:
    DNS:graph.fido.huba715.ru

    С сертификатами всё в поряде.

    Щас, надо curl сделать

    % openssl s_client -connect graph.fido.huba715.ru:443 -servername graph.fido.huba715.ru -showcerts </dev/null 2>&1 | openssl x509 -noout -subject -issuer -ext subjectAltName
    subject=CN=graph.fido.huba715.ru
    issuer=C=US, O=Let's Encrypt, CN=YE1
    X509v3 Subject Alternative Name:
    DNS:graph.fido.huba715.ru
    nil@iMac Downloads % curl -vkI https://graph.fido.huba715.ru
    * Host graph.fido.huba715.ru:443 was resolved.
    * IPv6: 2001:470:1f0b:879:f1d0:2:5020:715
    * IPv4: 95.143.217.246
    * Trying [2001:470:1f0b:879:f1d0:2:5020:715]:443...
    * connect to 2001:470:1f0b:879:f1d0:2:5020:715 port 443 from 2600:4040:5005:7500:1870:e600:9edf:1901 port 65330 failed: Connection refused
    * Trying 95.143.217.246:443...
    * Connected to graph.fido.huba715.ru (95.143.217.246) port 443
    ...
    server: Caddy
    ...

    А вот тут возможная проблема. Caddy фигачит через Let's Encrypt, и он мог обновляться в моменте.

    о, скорее всего, хостится же на 95.143.217.246 - на динамическом IP домашнего провайдера Gorcom.


    Best Regards, Nil
    --- GoldED+/LNX 1.1.5-b20260305
    * Origin: I'm not AI but still can make mistakes, so double-check. (2:5015/46)
  • From Dmitry Protasoff@2:5001/100 to Andrei Ivanov on Tue Oct 6 13:50:34 2026
    Hello Andrei!

    In a message of 06 Oct 26 08:45, Andrei wrote to Dmitry:

    е проще в Firefox просто добавить исключение?

    Проще, но опаснее - по невнимательности или ошибке можно сильно налететь..

    See you,
    dp.
    --- FidoMail v0.1.4-216-gb597e392
    * Origin: livin' on the edge (2:5001/100)
  • From Andrei Ivanov@2:5023/24.3586 to Dmitry Protasoff on Tue Oct 6 17:03:49 2026
    Hello, Dmitry!

    06.10.2026 13:50, Dmitry Protasoff пишет:

    AI>> е проще в Firefox просто добавить исключение?

    DP> Проще, но опаснее - по невнимательности или ошибке можно сильно
    DP> налететь..

    Мне кажется можно налететь гораздо сильнее, по невнимательности или
    ошибке зайдя на чувствительный сервис в браузере с установленным
    MITM-сертом.

    --
    With best regards, Andrei Ivanov
    --- InterSquish NNTP Server/FTN Gate
    * Origin: www.wfido.ru (2:5023/24.3586)
  • From Dmitry Protasoff@2:5001/100 to Andrei Ivanov on Tue Oct 6 14:13:34 2026
    Hello Andrei!

    In a message of 06 Oct 26 17:03, Andrei wrote to Dmitry:

    Мне кажется можно налететь гораздо сильнее, по невнимательности или
    ошибке зайдя на чувствительный сервис в браузере с установленным MITM-сертом.

    Это психологически проще - когда понимаешь, на какие сайты ты ходишь каким браузером.
    Оно и раньше так было - когда держали отдельный IE с сертификатами от всяких КриптоПро для доступа к интернет-банку, я сам держал виртуалку для этого.

    See you,
    dp.
    --- FidoMail v0.1.4-216-gb597e392
    * Origin: livin' on the edge (2:5001/100)
  • From Andrei Ivanov@2:5023/24.3586 to Dmitry Protasoff on Tue Oct 6 17:29:03 2026
    Hello, Dmitry!

    06.10.2026 14:13, Dmitry Protasoff пишет:

    DP> Это психологически проще - когда понимаешь, на какие сайты ты
    DP> ходишь каким браузером.
    DP> Оно и раньше так было - когда держали отдельный IE с сертификатами
    DP> от всяких КриптоПро для доступа к интернет-банку, я сам держал
    DP> виртуалку для этого.

    Если прям отдельный браузер, а не отдельный профиль в FF - то наверное да.

    --
    With best regards, Andrei Ivanov
    --- InterSquish NNTP Server/FTN Gate
    * Origin: www.wfido.ru (2:5023/24.3586)
  • From Dmitry Protasoff@2:5001/100 to Andrei Ivanov on Tue Oct 6 15:03:30 2026
    Hello Andrei!

    In a message of 06 Oct 26 17:29, Andrei wrote to Dmitry:

    Это психологически проще - когда понимаешь, на какие сайты ты
    ходишь каким браузером.
    Оно и раньше так было - когда держали отдельный IE с сертификатами
    от всяких КриптоПро для доступа к интернет-банку, я сам держал
    виртуалку для этого.

    Если прям отдельный браузер, а не отдельный профиль в FF - то
    наверное да.

    Проблема с яндекс-браузером на десктопе в том, что не понятно, к чему он имеет доступ и что передает.
    Это же не iOS.

    See you,
    dp.
    --- FidoMail v0.1.4-216-gb597e392
    * Origin: livin' on the edge (2:5001/100)
  • From Nil A@2:5015/46 to Dmitry Protasoff on Wed Oct 7 09:11:04 2026
    Hello, Dmitry!

    Tuesday October 06 2026 15:03, from Dmitry Protasoff -> Andrei Ivanov:

    Проблема с яндекс-браузером на десктопе в том, что не понятно, к чему
    он имеет доступ и что передает. Это же не iOS.

    А что в iOS? Понятно заранее, что ВСЁ передаётся в Эппл?

    Best Regards, Nil
    --- GoldED+/LNX 1.1.5-b20260305
    * Origin: I'm not AI but still can make mistakes, so double-check. (2:5015/46)
  • From Dmitry Protasoff@2:5001/100 to Nil A on Wed Oct 7 13:14:42 2026
    Hello Nil!

    In a message of 07 Oct 26 09:11, Nil wrote to Dmitry:

    Проблема с яндекс-браузером на десктопе в том, что не понятно, к
    чему он имеет доступ и что передает. Это же не iOS.

    А что в iOS? Понятно заранее, что ВСЁ передаётся в Эппл?

    В iOS яндекс браузер не получит доступ к документам и переписке на компьютере. И не передается, конечно же, ВСЕ в Эппл.

    See you,
    dp.
    --- FidoMail v0.1.4-221-gc89062fb
    * Origin: livin' on the edge (2:5001/100)
  • From Oleg Artemjev@2:6078/80.1354 to Dmitry Protasoff on Sun Oct 11 15:32:45 2026
    Привет, Dmitry!

    07 окт 26 13:14, Dmitry Protasoff -> Nil A:
    Проблема с яндекс-браузером на десктопе в том, что не понятно, к
    чему он имеет доступ и что передает. Это же не iOS.
    У меня проще - для параноий у меня есть отдельная ось - Qubes OS, для
    реальной жизни в которой мне нужно работать с ПО созданным в РФ и для РФ
    я не вижу проблемы воспользоваться таковым.

    А что в iOS? Понятно заранее, что ВСЁ передаётся в Эппл?
    В iOS яндекс браузер не получит доступ к документам и переписке на компьютере. И не передается, конечно же, ВСЕ в Эппл.
    Конечно в эппл не передается всё, зачем - передается on demand по первому требованию дежурного анбшника и только чуствительная информация.
    Забыл откровения Сноудена? Впрочем тебе, как адепту невыгодно про это упоминать. :-)

    Вообще с сертификатами забавная ерунда - то, что владелец корневого сертификата в
    стране пяти глаз может делать mitm тебя не огорчает. А вот то, что аналогично может
    поступать владелец корневого сертификата в РФ тебя огорчает прям в сто раз больше.

    Меня лично интересует ситуация в которой не смогут так делать никакие владельцы центров
    доверия. о вот возможно ли такое?

    С наилучшими пожеланиями, Oleg.

    --- -Уютно у вас, а только странно. И солнца мало.
    * Origin: А мы народ трудящийся... (2:6078/80.1354)
  • From Dmitry Protasoff@2:5001/100 to Oleg Artemjev on Sun Oct 11 20:11:44 2026
    Hello Oleg!

    In a message of 11 Oct 26 15:32, Oleg wrote to Dmitry:

    У меня проще - для параноий у меня есть отдельная ось - Qubes OS,
    для реальной жизни в которой мне нужно работать с ПО созданным в РФ
    и для РФ я не вижу проблемы воспользоваться таковым.

    Для реальной жизни у меня есть скрепофон со всеми российскими приложениями - которые ведь стучат товарищу майору даже про VPN, так что пускать никуда дальше загончика их не желательно.
    И на этом скрепофоне стоит GrapheneOS и security chip, на который у ФСБ нет эксплоита.

    Конечно в эппл не передается всё, зачем - передается on demand по
    первому требованию дежурного анбшника и только чуствительная
    информация.

    ет в iOS такого механизма, а вот российские приложения замечены за сканированием локальной сети пользователя.

    Забыл откровения Сноудена? Впрочем тебе, как адепту невыгодно про

    Видимо я единственный, кто их реально читал. Ты вот читал? Помнишь, что там было?

    это упоминать. :-)

    Чего это не выгодно? аоборот - я за точность, а не за слухи. Я за конкретную точность - и могу детально рассказать, чем отличается работа российских спецслужб от не российских, мне как человеку из телекоммуникаций это отлично известно, с ними по работе приходится сталкиваться регулярно.

    Вообще с сертификатами забавная ерунда - то, что владелец корневого сертификата в стране пяти глаз может делать mitm тебя не огорчает.

    MITM на что? икакой майор с пятью глазами не может сделать MITM на мои ресурсы. Слабо ему ;) Как не может и на те средства общения, которые я использую для передачи чувствительной для меня информации.

    А вот то, что аналогично может поступать владелец корневого
    сертификата в РФ тебя огорчает прям в сто раз больше.

    Меня огорчает, что в России пытки стали нормой и майоры-оборотни в погонах постоянно пытают людей, уже даже внесудебные казни не редки. Аж про торговлю информацией вообще молчу.

    а этом фоне майор с MITM - это фигня, с которой понятно, как бороться.

    Меня лично интересует ситуация в которой не смогут так делать
    никакие владельцы центров доверия. о вот возможно ли такое?

    Берешь мой клиент FidoMail и прописываешь там TLS certificate SHA-256 pin:

    openssl x509 -in /etc/letsencrypt/live/domain/cert.pem -noout -fingerprint -sha256
    или из браузера и все, никто MITM устроить не может.

    Читать, конечно, придется эхи по IMAP или NNTP (но скоро это изменится).

    See you,
    dp.
    --- FidoMail v0.1.4-244-ge3911329
    * Origin: livin' on the edge (2:5001/100)