Ребят а можно ли вытищить сертификат с чужого сайта и поставть его себе на сайт?

Question

[Илья лук]

И если можно то как это сделать ?

И еще такой вопрос правда кривой немного.
Чего именно выдается сертификат ? домену или ип адрессу ? или там вообще по другому все ?

Answer 1

[Андрей]

Сначала администратором сайта создается ключевая пара : секретный закрытый ключ (которым сервер будет "подписывать" отправляемые в интернет страницы) и общедоступный открытый ключ (которым будут пользоваться все для проверки этих страниц). (На самом деле чуть сложнее). Вторым действие администратор сайта отправляет открытый ключ в один из удостоверяющих центров, те (разными способами) проводят проверки того факта, что отправитель действительно является администратором того домена, на который он хочет выпустить сертификат и если все ОК, то выпускают сертификат (сертификат - это открытый ключ сайта, подписанный электронной подписью УЦ).

Теперь по Вашим вопросам:
Можно ли вытащить сертификат с чужого сайта и поставить его себе на сайт?
Сертификат и так общедоступен. Вашей целью на самом деле является "вытащить закрытый ключ", чтобы Ваш сайт мог подписывать запросы от имени того сайта. Если администратор в ладах с головой, то доступ к закрытому ключу Вы не получите.

Однако ! Если Вы имеете возможность добавлять сертификаты в список доверенных на машине клиента, то ничего Вам не мешает добавить туда собственный корневой самоподписанный сертификат, а затем выпустить свой на имя того домена, который хотите перехватить. Например, можно почитать как это делает squid - ключевое слово для поиска "ssl bump".

Чего именно выдается сертификат ? домену или ип адрессу ? или там вообще по другому все ?
Домену + (более дорогие) огранизации, подтверждая дополнительно тот факт, что организация владеет этим доменом.

Comments

[Андрей]

sim3x: https://search.thawte.com/support/ssl-digital-cert...
https://support.comodo.com/index.php?/Default/Know...
https://ru.godaddy.com/help/generirovanie-zaprosa-...

[Femon]

Андрей, да

Answer 2

[CityCat4]

1. Можно. Имея админские права на том сайте :)
2. Домену или группе доменов. Или человеку. Или устройству. Сертификат - это некий электронный документ, который подтверждает некую информацию авторитетом организации, его выдавшей. Именно поэтому многие косятся на бесплатные сертификаты. С IP-адресов сертификат никак не связан.

Comments

[CityCat4]

SyavaSyava: Еще как определю - по сертификату выдавшего его УЦ. Коситься могут оттого, что данный УЦ выдает сертификаты например без достаточной проверки.

Answer 3

[Дмитрий Беляев]

Вытащить то можно, только толку от этого будет 0, приватный ключ от него Вы все равно не получите.

Чего именно выдается сертификат ? домену или ип адрессу ? или там вообще по другому все ?

Сертификат подтверждает, что лицо получившее его является владельцем домена, собственно этим обеспечивается гарантия, что трафик не был перехвачен посередине.

Вопрос, а зачем Вам это? Сегодня можно получить официальный сертификат бесплатно, например у Let'sEncrypt

Comments

[CityCat4]

Вытащить можно только имея админские права. Потому как сертификат состоит из двух частей - собственно сертификата и ключа сертификата и работать одна часть без другой не будет. Собственно сертификат он вообще всем рассылается при установлении соединения.

[Дмитрий Беляев]

CityCat4: логично, подправлю ответ))

[CityCat4]

Сертификаты выдаются не только домену. Сертификат доменного имени - частный случай. И к МитМ ("человек посередине") сертификат имеет опосредованное отношение - его задача подтвердить, что ты зашел на www.google.com, если говорить под доменные имена, что ты получил письмо от Уильяма Гейтса, если говорить про почту, что ты соединился с тем узлом, который тебе нужен, если говорить про VPN-сертфиикаты.
Сертификаты от Let's Encrypt опасны тем, что им могут тупо не доверять. Потому что доверять или не доверять определенному УЦ - дело производителя и не во всех устройствах можно добавить свой корневой сертификат.

[Илья лук]

да перенаправить хочу человека с vk.com на другой локальный сайт.
Думаю делать это через днс.
А люди ну гуглят вконтакте и там ссылка на https://vk.com/
А для https нужен сертификат.
Вот и думаю можно ли взять сертификат из вк и вставить на мой локальный сайт.

[Дмитрий Беляев]

Илья лук: а просто блочить трафик на роутере с его машины на конкретные ip не вариант?

[Илья лук]

Дмитрий Беляев: Можно но так же не интересно! :-)

[CityCat4]

SyavaSyava: Если человек прошареный, то он сразу заметит, что сертификат поддельный, потому что вчера он был выдан GoDaddy, а сегодня - Рога и Копыта, Inc

[Олег Nerwin]

SyavaSyava: надо юзать https everywhere, он предупредит если сертификат левый

[Олег Nerwin]

SyavaSyava: начитаешься тут таких вопросов, и не по-барабану становится=)

[Олег Nerwin]

SyavaSyava: Ну это уже крайности. Я не думаю что провайдер будет перехватывать переписку во вконтактике, или транзакции с банком, но на работе с такими админами штука полезная.