Как расшифровать HTTPS на стороне клиента

[dil]

А вот так: установить переменную окружения SSLKEYLOGFILE, указывающую на писабельный файл. Увидев эту переменную, Firefox и Chrome сами запишут в этот файл все ключи в открытом виде

Comments

[blacklion]

Но зачем, зачем эта фича в браузерах?!

[justy_tylor]

Это фича в библиотеке. Скорее всего, для упрощения отладки при рассмотрении багрепортов от пользователей браузеров. Можно скачать релиз, а не муторно собирать со своими DEBUG+TRACE. А что на одну дыру больше - так браузеры же, и так решето.

[dil]

Да это и не дыра вовсе. Вот как-то так: http://securityblogru.livejournal.com/126704.html?thread=1618160#t1618160

[justy_tylor]

Для реальной угрозы должно сойтись много обстоятельств. И здесь плохо то, что поведение тихо активизируется без установки стороннего программного обеспечения или изменения настроек самого браузера.

[dil]

Да у многих программ поведение меняется в зависимости от установки переменных окружения. Вот хоть взять общесистемные настройки проксирования, которые устанавливаются через переменную http_proxy. Её многие программы используют. И это не баг, это фича.

[justy_tylor]

В продукте, документировано - фича.
В либе, народное знание - дыра.

[dil]

Ну, типа, вот оно документировано: https://developer.mozilla.org/en-US/docs/NSS_reference/NSS_environment_variables

[justy_tylor]

Это описание внутренностей библиотеки, а не документация продуктов Chrome и Firefox.

[dil]

В man wget слова http_proxy тоже нет. И что, возможность перенаправить его запрос в прокси-сервер путём установки соответствующей переменной надо считать дырой?

[justy_tylor]

"The standard way to specify proxy location, which Wget recognizes, is using the following environment variables: ..."
http://www.gnu.org/software/wget/manual/html_node/Proxies.html

[dil]

А в линуксовом мане такого слова нет..

[huzhepidarasa]

В линуксовом мане также написано: This is not the complete manual for GNU Wget. For more complete information, including more detailed explanations of some of the options, and a number of commands available for use with .wgetrc files and the -e option, see the GNU Info entry for wget.